Vorrei astrarre la valutazione di "impatto" per i tuoi utenti di questo sistema di valutazione. Il sistema risultante deve essere chiaro, semplice e non ambiguo. Deve anche produrre un risultato verificabile (qualcosa che qualcun altro può verificare).
L'ho fatto riducendo la complessità dell'analisi ai dati e ai sistemi di dati con cui la funzione interagisce. Utilizza la tua classificazione dati esistente e il modello di rischio dati per definire le caratteristiche dei vari tipi di dati che hai (personali, finanziari, carte di pagamento, salute, sensibili, ecc.) E definire quali protezioni dovrebbero avere quei dati (crittografati, determinati livelli di accesso, eccetera.). Probabilmente hai già un livello di comprensione degli impatti dei vari dati che hai, quindi prendilo in prestito invece di reinventare la ruota.
Quindi è possibile classificare il livello di protezione / rischio dei dati toccati dalla funzionalità, direttamente o tramite chiamate ad altre funzionalità / sistemi.
Esempio:
The data the feature processes has:
* names or personal identifiers
* payment card data, bank details
* health information
* internal financial information
* internal configuration
* passwords, crypto keys
* ...
The feature interacts with:
* users
* Database A
* Database B
* 3rd party service C
* payment processors
* external researchers
* ...
Il risultato è semplice: lo sviluppatore verifica le caratteristiche dei dati dei nuovi processi di funzionalità e dei sistemi con cui interagisce, e l'elenco di controllo dovrebbe restituire la classificazione della funzionalità. I revisori / i colleghi devono solo verificare che i dati abbiano effettivamente quelle caratteristiche dei dati.
Tutto sommato, il sistema risultante è veloce, semplice e facile da capire. Ciò che lo fa funzionare è tutto il lavoro svolto in precedenza per identificare i rischi e le protezioni richieste da determinati tipi di dati (sia per classificazioni di rischio interne, leggi, regolamenti, ecc.)
Se non si dispone già di una classificazione dei dati e della comprensione del rischio di trasmissione dei dati, sarebbe più semplice crearla prima, invece di reinventare quella ruota ogni volta che si dispone di una nuova funzione da valutare. Sarebbe anche più semplice aggiornare questo sistema di valutazione quando le cose cambiano, come le leggi o la tolleranza al rischio dell'azienda (tre applausi per l'astrazione e l'incapsulamento!)
Un ulteriore vantaggio nell'approccio all'inventario delle caratteristiche dei dati: se un regolamento cambia, disponi di un inventario predefinito delle caratteristiche dei dati, in modo da conoscere il flusso di tali dati attraverso i tuoi sistemi. È come un diagramma di flusso dei dati organico aggiornato.