ENISA opublikowała 13 lipca model samooceny obejmujący między innymi zarządzanie, ryzyko, podatności i cykl życia produktu. Agencja zaznacza, że nawet zaawansowany poziom dojrzałości nie dowodzi zgodności prawnej. Dla MŚP rozwijających produkty cyfrowe oraz ich integratorów proponujemy więc konkretny cel pracy z oceną: plan poprawy wraz z dowodami wykonania.
Czy na pytanie o bezpieczeństwo produktu wystarczy odpowiedzieć, że firma wysoko oceniła własną dojrzałość? Przy lekturze modelu ENISA postawmy obok inne pytanie: co potrafimy pokazać na potwierdzenie tej oceny? Wybierzmy produkt, za który odpowiadamy, i spróbujmy wskazać działanie wymagające poprawy. Następnie zapiszmy, po czym poznamy, że zespół je wykonał. Jeżeli odpowiedź kończy się na ogólnym zapewnieniu o dobrych procedurach, pozostawmy ją do wyjaśnienia. Nie dopowiadajmy brakujących dowodów za zespół. Taki początek rozmowy proponujemy jako redakcyjne rozwinięcie samooceny: od rozpoznania obecnej praktyki, przez wybór zadania, po sprawdzenie jego wyniku. Poniższe zalecenia są propozycją pracy dla czytelnika, a nie opisem wdrożenia w konkretnej firmie ani dodatkowymi wymaganiami modelu.
Samoocenę przełóżmy na pytania o produkt
Według ENISA zakres modelu obejmuje między innymi zarządzanie, ryzyko, podatności oraz cykl życia produktu. Przy własnym przeglądzie przypiszmy do tych obszarów pytania, na które zespół ma odpowiedzieć dla wybranego produktu. Zachowajmy ten sam zakres produktu podczas całej rozmowy, aby nie zastępować odpowiedzi o nim ogólnymi deklaracjami dotyczącymi firmy.
W obszarze zarządzania zapytajmy, kto odpowiada za oceniane działanie i gdzie można sprawdzić jego wykonanie. Przy ryzyku wskażmy, czego dotyczy rozpoznany problem. Przy podatnościach poprośmy o dostępne potwierdzenie sposobu postępowania. Przy cyklu życia produktu określmy, którego etapu dotyczy odpowiedź. Gdy informacji brakuje, wpiszmy pytanie do wyjaśnienia zamiast korzystnej oceny.
Przy każdym takim zapisie zostawmy miejsce na proponowaną poprawę i sposób jej sprawdzenia. Nie ustalajmy kolejności zadań wyłącznie po to, by podnieść wynik samooceny. Poprośmy o uzasadnienie, dlaczego wybrane działanie dotyczące produktu ma pierwszeństwo przed pozostałymi.
Każdej proponowanej poprawie przypiszmy dowód wykonania jeszcze przed rozpoczęciem pracy.
Procedurę zestawmy z potwierdzeniem wykonania
Przegląd inspirowany modelem ENISA zacznijmy od dostępnego opisu postępowania dotyczącego wybranego produktu. Obok połóżmy materiał, którym zespół potwierdza wykonanie opisanego działania. Sprawdźmy, czy oba zapisy dotyczą tego samego zakresu. Samo znalezienie dokumentu potraktujmy jako początek weryfikacji odpowiedzi udzielonej w samoocenie.
Jeżeli opis przewiduje określone działanie, poprośmy osobę odpowiedzialną o wskazanie, jak potwierdziła jego wykonanie. Gdy potwierdzenia nie uda się znaleźć, zapiszmy dokładnie ten brak. Nie wyciągajmy z niego automatycznie wniosku, że działania nigdy nie wykonano; poprośmy o wyjaśnienie. Z kolei samego zapewnienia o wykonaniu nie zamieniajmy w potwierdzony wynik przeglądu.
W planie poprawy rozróżnijmy zadanie polegające na ustaleniu stanu faktycznego od zadania zmieniającego sposób pracy. Jeśli nie wiemy, co zrobiono, zacznijmy od zebrania informacji. Jeśli potwierdzimy brak działania, opiszmy, co zespół ma wykonać i kto pokaże rezultat. Do kolejnej samooceny zachowajmy zapis tej decyzji oraz podstawę, na której ją podjęto.
Zarząd powinien otrzymać plan i sposób odbioru pracy
ENISA zastrzega, że zaawansowany poziom dojrzałości nie jest dowodem zgodności prawnej. Uszanujmy tę granicę także w materiale dla zarządu. Wyniku samooceny nie przedstawiajmy jako potwierdzenia, że firma spełniła obowiązki prawne. Wniosek dotyczący poprawy bezpieczeństwa produktu oprzyjmy na rozpoznanych brakach i proponowanych działaniach.
Przy zadaniu wymagającym decyzji zarządu podajmy zakres pracy, osobę odpowiedzialną, proponowany termin i oczekiwane potwierdzenie wykonania. Koszt, jeśli jeszcze go nie znamy, pozostawmy zespołowi do oszacowania. Nie wpisujmy kwoty tylko po to, aby plan wyglądał na kompletny. Nieznany zakres pracy potraktujmy podobnie i najpierw wyznaczmy zadanie jego rozpoznania.
Przy odbiorze poprawy wróćmy do pytania zapisanego przed jej rozpoczęciem. Czy przedstawiony materiał potwierdza wykonanie właśnie tego działania? Jeśli zakres się zmienił, poprośmy o wyjaśnienie i aktualizację planu. Postęp oceniajmy przez wykonane zadania dotyczące produktu, z zachowaniem informacji o tym, co nadal wymaga sprawdzenia.
Wynik samooceny przedstawiajmy zarządowi wraz z planem poprawy; nie nadawajmy mu znaczenia dowodu zgodności prawnej.
Polskie MŚP i integratorzy potrzebują ustalonego zakresu rozmowy
Dla polskiego MŚP rozwijającego produkt cyfrowy proponujemy rozpocząć pracę z modelem ENISA od własnego zakresu odpowiedzialności. Nie oceniajmy działań partnera na podstawie samego przekonania, że powinien się nimi zajmować. Zapiszmy, które odpowiedzi możemy potwierdzić u siebie, a które wymagają informacji od integratora.
Integratorowi proponujemy analogiczny przegląd po swojej stronie. W rozmowie o wybranym produkcie wskażmy konkretnie, jakiej informacji potrzebujemy i do czego użyjemy jej w samoocenie. Jeżeli obie strony inaczej rozumieją zakres ocenianego działania, najpierw uzgodnijmy jego opis. Dopiero potem ustalajmy, kto przedstawi potwierdzenie wykonania.
Nie przypisujmy polskim firmom określonego poziomu dojrzałości na podstawie samego opublikowania modelu. Własny plan oprzyjmy na odpowiedziach z przeglądu produktu. Po otrzymaniu informacji od partnera zaznaczmy, które pytania partner wyjaśnił, a które pozostają otwarte. Przy ponownej ocenie wróćmy do tego samego zakresu albo jawnie opiszmy jego zmianę.
Co z tym zrobić w poniedziałek
- Przeznacz 30 minut na wybór produktu i zapisanie pytania o jego bezpieczeństwo w jednym z obszarów wskazanych przez ENISA. Dopisz zakres przeglądu oraz osobę, która może pomóc ustalić odpowiedź. Nie próbuj w tym czasie ocenić całej firmy.
- W ciągu 30 minut sprawdź dostępny opis wybranego działania i poszukaj potwierdzenia jego wykonania. Zapisz, co udało się ustalić. Jeśli materiału brakuje, przygotuj konkretne pytanie do osoby odpowiedzialnej lub integratora, bez zgadywania odpowiedzi.
- Poświęć 30 minut na szkic zadania wynikającego z przeglądu. Wskaż proponowanego wykonawcę, termin do uzgodnienia i dowód, który pozwoli odebrać pracę. Jeśli stan faktyczny pozostaje nieznany, zadaniem niech będzie jego wyjaśnienie.
Od samooceny wymagajmy decyzji o dalszej pracy nad produktem. Plan uznajmy za gotowy do realizacji dopiero wtedy, gdy wiadomo, kto ma działać i jak sprawdzimy rezultat. Zastrzeżenie ENISA zachowajmy przy każdej prezentacji wyniku: zaawansowana dojrzałość nie dowodzi zgodności prawnej.
Źródła
Redakcja cyberinsight.pl.