Organizational cybersecurity risk management performance

Organisaatio on määritellyt menettelyt riskienhallintastrategian suorituskyvyn ja toteutuneiden riskien tulosten mittaamiseksi ja arvioimiseksi.

• Strategiaa ja tuloksia tulisi arvioida esimerkiksi sen perusteella, miten hyvin strategia on auttanut johtoa tekemään päätöksiä ja saavuttamaan organisaation tavoitteet ja pitäisikö strategioita tai toimintatapoja mukauttaa.
• Riskienhallintastrategiaa tulisi säännöllisesti tarkistaa organisaation sisäisen (esim. riskinsietokyky ja toimintaperiaatteet) ja ulkoisen (esim. lait ja määräykset) vaatimustenmukaisuuden kannalta, ja tässä yhteydessä olisi otettava huomioon myös tapahtuneet kyberturvallisuuteen liittyvät vaaratilanteet.
• Organisaation riskienhallinnan suorituskykyä mitataan ja tarkastellaan keskeisten suorituskykyindikaattoreiden (KPI), keskeisten riski-indikaattoreiden (KRI) ja muiden mittareiden avulla, jotta riskienhallintaprosessia voidaan tarvittaessa mukauttaa.

Tuloksista tiedotetaan ylimmälle johdolle ja muille asiaankuuluville sidosryhmille, ja tarvittavat toimet ja mukautukset toteutetaan.

Organisaatio arvioi tietoturvan tasoa ja tietoturvallisuuden hallintajärjestelmän tehokkuutta säännöllisesti.

Organisaatio on määrittänyt:

• seurattavat mittarit, joilla saadaan vertailtavissa olevia tuloksia tietoturvan kehittymisestä
• vastuuhenkilöt mittareiden seurannalle
• tavat, aikataulun ja henkilöt mittareiden katselmointiin ja arviointiin
• tavat mittareiden ja niihin liittyvien arviointien dokumentointiin

Tehokkaita mittareita tulisi pystyä käyttämään heikkouksien tunnistamiseen, resurssien parempaan kohdistamiseen sekä oman onnistumisen / epäonnistumisen arviointiin.