Jak podaje ENISA w komunikacie z 11 września, platforma zgłoszeń CRA, Single Reporting Platform, osiągnęła początkową zdolność operacyjną. Według ENISA dostępne są także materiały pomocnicze, w tym FAQ, podręczniki i punkt wsparcia. Wniosek redakcyjny na poniedziałek: sprawdź, kto w organizacji zbiera informacje o podatności, potwierdza ich jakość i przekazuje je osobie uprawnionej do zgłoszenia.

Czy po pytaniu o gotowość do korzystania z Single Reporting Platform usłyszysz nazwisko osoby odpowiedzialnej, czy tylko zapewnienie, że zespół zna adres platformy? Poproś o pokazanie drogi informacji od zespołu technicznego do osoby uprawnionej do zgłoszenia. Kto przygotuje opis podatności, kto wyjaśni niepewności i kto potwierdzi odbiór materiału? Przy każdej odpowiedzi szukaj konkretnego ustalenia w swojej organizacji. Jeśli znasz tylko nazwę zespołu, poproś o wskazanie osoby, do której trafi pytanie o brakujące dane. Tak proponujemy wykorzystać wiadomość o uruchomieniu platformy: jako początek przeglądu odpowiedzialności za informacje, które mają do niej trafić.

Single Reporting Platform: zaplanuj drogę informacji

ENISA określa ogłoszony etap jako początkową zdolność operacyjną Single Reporting Platform. Zachowajmy to rozróżnienie przy omawianiu komunikatu. Samo ogłoszenie startu nie opisuje przygotowania konkretnej organizacji do korzystania z platformy. Własną gotowość sprawdźmy więc na drodze informacji o podatności, zanim uznamy temat za załatwiony.

Zacznij od wskazania osoby, która zbierze ustalenia zespołu technicznego. Poproś ją o opis podatności wraz z odniesieniem do materiałów, na których oparto rozpoznanie. Przygotowywane informacje podziel na potwierdzone ustalenia i niewiadome do wyjaśnienia. Przy tych ostatnich zapisz, kto ma dostarczyć odpowiedź. Potraktuj taki zapis jako roboczy sposób porządkowania danych wewnątrz organizacji; zakres informacji do samego zgłoszenia sprawdź osobno w materiałach platformy.

Następnie nazwij odbiorcę tego zestawu: osobę uprawnioną do zgłoszenia. Ustal, jak potwierdzi przyjęcie materiału i jak zwróci pytania do zespołu technicznego. Uwzględnij również drogę przekazania poprawionego opisu, jeżeli podczas wyjaśnień zmienią się ustalenia. Przegląd zakończ zapisem, kto odpowiada za aktualność wersji przekazywanej dalej.

Gotowość do zgłoszenia oceniaj po wskazaniu właściciela danych i ich odbiorcy, z potwierdzoną drogą przekazania informacji.

FAQ i podręczniki wykorzystaj do sprawdzenia procedury

Jak podaje ENISA, dostępne są FAQ, podręczniki oraz punkt wsparcia. Wykorzystaj dostępność tej pomocy do przeglądu własnego sposobu pracy. Osobie, która ma korzystać z platformy, powierz sprawdzenie, gdzie szukać odpowiedzi na pytania o jej obsługę. Poproś o zapisanie rozstrzygniętych wątpliwości i wskazanie tych, które pozostają otwarte.

Obok materiałów ENISA połóż wewnętrzną procedurę przekazywania informacji o podatności, jeśli organizacja ją ma. Wybierz fragment dotyczący przejścia od ustaleń technicznych do przygotowania zgłoszenia. Sprawdź, czy zapis pozwala wskazać nadawcę, odbiorcę oraz sposób wyjaśniania braków. Ogólne przypisanie zadania zespołowi potraktuj jako punkt do doprecyzowania, jeżeli nie pozwala ustalić osoby odpowiedzialnej za następny krok.

Zderzenie procedury z praktyką zaplanuj jako ćwiczenie bez wysyłania zgłoszenia. Poproś uczestników o przejście przez opisany obieg i wskazanie miejsc, w których potrzebowaliby dodatkowych ustaleń. Wynik zapisz jako obserwacje z tego ćwiczenia. Wiadomość ENISA nie dostarcza dowodów, jak ludzie wykonują procedury w twojej organizacji; ustal to podczas własnego przeglądu.

Pytania o korzystanie z platformy zestaw z FAQ i podręcznikami. Dla pytań, które chcesz skierować do punktu wsparcia, przygotuj krótkie opisy oraz wskaż osobę, która przełoży uzyskane odpowiedzi na wewnętrzną instrukcję.

Zarząd powinien wskazać właściciela jakości danych

W rozmowie zarządu o Single Reporting Platform proponujemy zacząć od odpowiedzialności za materiał przekazywany do zgłoszenia. Wskaż właściciela całego obiegu i odróżnij jego zadanie od przygotowania opisu technicznego oraz samego zgłoszenia. Ustal, kto zbierze odpowiedzi, gdy poszczególni uczestnicy procesu zgłoszą sprzeczności lub braki.

Jako kryterium jakości przyjmij możliwość powiązania każdego stwierdzenia o podatności z ustaleniem zespołu technicznego. Poproś o oznaczanie niewiadomych wprost. Gdy opis zmieni się po przekazaniu materiału, wymagaj wskazania, co poprawiono i do kogo trafiła aktualizacja. Niech osoba uprawniona do zgłoszenia potwierdzi, którą wersję otrzymała i jakie pytania nadal pozostają bez odpowiedzi.

Zarządczą ocenę ryzyka oprzyj na rozpoznanych przerwach w tym obiegu. Jeśli w ćwiczeniu nie udało się wskazać odbiorcy danych, zapisz ten konkretny brak. Jeśli uczestnicy pracowali na różnych wersjach opisu, ustal sposób wskazywania wersji aktualnej. Każdą propozycję dodatkowej pracy lub wydatku powiąż z takim wynikiem przeglądu. Przed rozmową o budżecie poproś o określenie zadania do wykonania oraz osoby odpowiedzialnej za sprawdzenie rezultatu.

Brak odpowiedzi o podatności zapisuj jako zadanie do wyjaśnienia; kompletność dokumentu oceniaj także po widoczności niewiadomych.

W polskiej organizacji sprawdź własny obieg danych

Dla polskiego odbiorcy wiadomość o Single Reporting Platform jest okazją do sprawdzenia własnych ustaleń. Zacznij od zespołu technicznego i osoby uprawnionej do zgłoszenia: poproś obie strony o opis tego samego przekazania informacji. Porównaj, kto według każdej z nich odpowiada za wyjaśnienie niepewności. Rozbieżność zapisz do rozstrzygnięcia przez właściciela procesu.

Samo uruchomienie platformy nie rozstrzyga, czy konkretny podmiot i zdarzenie podlegają zgłoszeniu. Takiej oceny nie da się wyprowadzić z faktów o starcie narzędzia i dostępności pomocy. Przy przeglądzie pozostaw to jako odrębne zadanie wymagające właściwej weryfikacji. Nie uznawaj przećwiczenia obiegu danych za odpowiedź na pytanie o obowiązek zgłoszenia.

Materiały ENISA włącz do wspólnego przeglądu zespołu technicznego i przyszłego zgłaszającego. Poproś, by wspólnie zapisali, jakie informacje potrafią już przekazać, czego brakuje i kto uzupełni te braki. Na tej podstawie ustal następny krok przygotowań w swojej organizacji.

Co z tym zrobić w poniedziałek

  1. W ciągu 30 minut naszkicuj drogę informacji od zespołu technicznego do osoby uprawnionej do zgłoszenia. Przy zbieraniu danych, wyjaśnianiu braków i przekazaniu materiału wpisz osobę odpowiedzialną albo oznacz brak przypisania.
  2. Przeznacz 30 minut na sprawdzenie fragmentu wewnętrznego opisu podatności. Oznacz potwierdzone ustalenia, niewiadome i osobę, która ma je wyjaśnić. Jeśli takiego opisu nie masz, przygotuj pusty wzór do wykorzystania podczas ćwiczenia.
  3. W ciągu 30 minut rozpocznij przegląd FAQ i podręczników wskazanych przez ENISA. Zapisz odpowiedzi na wybrane pytania o obsługę oraz te, które nadal wymagają wyjaśnienia. Wskaż osobę odpowiedzialną za zebranie odpowiedzi i aktualizację wewnętrznej instrukcji.

Uruchomienie Single Reporting Platform potraktujmy jako powód do sprawdzenia, kto odpowiada za dane przed ich przekazaniem. Gotowość organizacji oceniajmy na podstawie prześledzonego obiegu informacji i nazwanych braków. Właściciel procesu powinien umieć wskazać następny krok także wtedy, gdy odpowiedź zespołu technicznego brzmi „jeszcze nie wiemy”.

Źródła

Redakcja cyberinsight.pl.