Hmmm. Penso di essere un po 'preoccupato per il modo in cui la tua azienda sta pensando a cosa è da che parte della linea critica rispetto a quella meno critica. Perché (dal modo in cui lo metti) sembra che stia adottando un approccio di tipo presunto "tradizionalista", tangibile, centrato sull'apparecchiatura, centrato sulla posizione, per determinare ciò che è e non è critico in termini di potenziale di rischio. il mio punto di vista, (sì, un leggero tocco di opinione che perde qui dentro, forse) è una tendenza che vorresti correggere presto.
Ci sono veramente due tipi di cose * che devi proteggere nella categoria critica: informazioni critiche e sistemi critici. Per dirla in breve ma in modo maldestro, la cosa sulle informazioni critiche è che l'informazione non esiste o passa a "dove dovrebbe essere". Non c'è modo di dire "Tutte le informazioni importanti ovunque nelle nostre reti, entra nel nostro datacenter, ora!" e farlo funzionare Devi uscire e trovare informazioni / dati vitali che sono estremamente importanti e che la tua azienda deve assolutamente proteggere. Devi andare dove è stato creato all'interno della tua azienda o dove entra nella tua azienda e vedere dove si trova. Hai bisogno di vedere chi scorre e dove. E poi vedi dove finisce per finire e viene memorizzato (probabilmente quel datacenter, finalmente.) E poi, una volta determinato quale sia l'informazione critica e dove si trova e dove scorre allora puoi iniziare fare la valutazione del rischio e tutta l'altra divertente pianificazione burocratica e così via.
Ma prima devi uscire sul campo e capire dove si trovano effettivamente le informazioni critiche. Non dico solo di valutare cose nella Location X perché Beh, le cose importanti sono teoricamente presumibilmente lì, e quindi è tutto lì. (E questo in particolare non è un ottimo approccio per affrontare questa era di uso onnipresente degli smartphone e utilizzo del cloud sempre crescente, a volte con pre-approvazione da parte della gestione centralizzata e talvolta senza.)
Per quanto riguarda i sistemi critici, penso che valga la stessa analisi. La cura dei rischi legati ai costosi server e alle apparecchiature di rete nel vostro datacenter è sicuramente un buon e amp; cosa necessaria da fare, ma una persona ragionevole potrebbe concludere che esaminando i rischi rilevanti per gli smartphone la R & I dirigenti di D portano in giro ogni giorno sono ancora più meritevoli di essere etichettati come "critici".
Ad ogni modo, i miei due centesimi. Saluti.