terça-feira, dezembro 22, 2009


RE: Security decision making

Augusto Paes de Barros iniciou um debate no Goggle Wave sobre o processo de tomada de decisão de segurança. Segue a minha resposta sobre o assunto:
Hello Augusto
Security decisions are risk decisions (directly or indirectly), but what kind of risk does it matter? For me, the most important is the risk of a company doesn't achieve its objectives. Although all these security decision processes that we have today are deficient to address the organizations' objectives.
Let's see ourselves. Most of security professionals don't "waste" their time to define which is the objective of a security control and if it is aligned with company objectives . Even an enlightened professional, when proposes a control to minimize some threat, almost never evaluates the impact of controls on company's opportunities. A control, once it has been implemented, became sacred and no one can even propose its revoke, why? I would like to see something like "zero-based budgeting" on security process, so every year security personnel should justify every existing and planning security controls.



Janeiro 2000   Fevereiro 2000   Março 2000   Julho 2005   Agosto 2005   Setembro 2005   Outubro 2005   Novembro 2005   Dezembro 2005   Janeiro 2006   Março 2006   Abril 2006   Maio 2006   Junho 2006   Julho 2006   Agosto 2006   Setembro 2006   Outubro 2006   Novembro 2006   Dezembro 2006   Janeiro 2007   Fevereiro 2007   Abril 2007   Maio 2007   Junho 2007   Julho 2007   Agosto 2007   Setembro 2007   Outubro 2007   Novembro 2007   Janeiro 2008   Fevereiro 2008   Março 2008   Junho 2008   Setembro 2008   Novembro 2008   Dezembro 2008   Junho 2009   Julho 2009   Agosto 2009   Setembro 2009   Outubro 2009   Dezembro 2009   Fevereiro 2010  

This page is powered by Blogger. Isn't yours?

Assinar Postagens [Atom]