Вразливість не завжди говорить сама за себе. Технічній команді потрібні причина й виправлення. Керівництву - вплив, пріоритет і рішення. Якщо ці рівні не з’єднати, знахідку легко або перебільшити, або недооцінити.
Мінімальний переклад
Технічне спостереження: що саме знайдено.
Зачеплений актив: яка система, сервіс або процес зачеплений.
Бізнес-вплив: що може статися з користувачами, операціями, даними, compliance або репутацією.
Ймовірність: наскільки реалістичний сценарій з огляду на exposure, засоби контролю і зусилля атакувальника.
Засіб контролю: що зменшує ризик.
Рішення: що робимо зараз, що плануємо пізніше, що приймаємо як залишковий ризик.
Приклад формулювання
Не так:
У нас критична вразливість, треба терміново все виправити.
Краще:
Знахідка зачіпає public-facing компонент. Поточний ризик - розкриття технічної інформації, яка може покращити розвідку. Рекомендований засіб контролю - зменшити докладність помилок і додати перевірку до чекліста релізу. Пріоритет: середній, якщо немає додаткового exposure.
Чому це важливо
Добре сформульований бізнес-ризик не лякає і не заспокоює штучно. Він допомагає вибрати дію: виправити зараз, запланувати, моніторити, прийняти або дослідити.
Наступний крок
Для кожної знахідки з безпеки додайте один абзац про бізнес-вплив. Якщо такий абзац не виходить написати, можливо, знахідка ще недостатньо зрозуміла.
