Managing what is discoveredGérer ce qui a été découvertGestionar lo descubierto
Finding an asset is the start of a decision, not the decision itself. The right response depends on what the asset does, who relies on it and what it would take to change it safely.Trouver un actif, c’est le début d’une décision, pas la décision elle-même. La bonne réponse dépend de ce que fait l’actif, de qui en dépend et de ce qu’il faudrait pour le modifier sans risque.Encontrar un activo es el comienzo de una decisión, no la decisión misma. La respuesta adecuada depende de lo que hace el activo, de quién depende de él y de lo que haría falta para cambiarlo con seguridad.
Six steps, in orderSix étapes, dans l’ordreSeis pasos, en orden
Understand itLe comprendreEntenderlo
Its operational purpose, location, owner, vendor and the business process it supports.Sa fonction opérationnelle, son emplacement, son responsable, son fournisseur et le processus d’affaires qu’il soutient.Su función operativa, ubicación, responsable, proveedor y el proceso de negocio que sostiene.
Record its connectionsConsigner ses liensRegistrar sus conexiones
Interfaces, users, remote access methods, maintenance responsibilities and dependencies.Interfaces, utilisateurs, modes d’accès à distance, responsabilités d’entretien et dépendances.Interfaces, usuarios, métodos de acceso remoto, responsabilidades de mantenimiento y dependencias.
Assess itL’évaluerEvaluarlo
Safety, availability, recoverability, cyber risk and the safeguards already in place.Sécurité des personnes, disponibilité, capacité de reprise, cyberrisque et mesures de protection déjà en place.Seguridad física, disponibilidad, capacidad de recuperación, riesgo cibernético y las salvaguardas ya existentes.
Decide proportionatelyDécider avec mesureDecidir con proporción
Document, manage, monitor, upgrade, segment, replace or retire, when operationally safe.Documenter, gérer, surveiller, mettre à niveau, segmenter, remplacer ou retirer, lorsque c’est sûr sur le plan opérationnel.Documentar, gestionar, supervisar, actualizar, segmentar, reemplazar o retirar, cuando sea operativamente seguro.
Bring it inL’intégrerIncorporarlo
Add it to the right inventories, change records, support plans and risk reporting.L’ajouter aux bons inventaires, registres de changements, plans de soutien et rapports de risque.Añadirlo a los inventarios, registros de cambios, planes de soporte e informes de riesgo correspondientes.
Review before disruptionValider avant toute perturbationRevisar antes de interrumpir
Go over findings with those accountable for operating the equipment before any disruptive action.Revoir les constats avec les responsables de l’exploitation de l’équipement avant toute mesure perturbatrice.Repasar los hallazgos con los responsables de operar el equipo antes de cualquier acción disruptiva.
Key messageMessage cléMensaje claveDiscovery does not mean immediate disconnection, replacement or punishment. First determine the asset’s value and operational consequences.Découvrir ne veut pas dire débrancher, remplacer ou sanctionner sur-le-champ. Déterminez d’abord la valeur de l’actif et ses conséquences opérationnelles.Descubrir no significa desconectar, reemplazar ni sancionar de inmediato. Primero determine el valor del activo y sus consecuencias operativas.
Not an IT-only taskPas seulement l’affaire de l’informatiqueNo es una tarea solo de TI
OT visibility depends on several functions doing their part. Cybersecurity alone cannot own or fix it.La visibilité des TO dépend de plusieurs fonctions qui font chacune leur part. La cybersécurité ne peut pas, seule, en être responsable ni la régler.La visibilidad de la OT depende de que varias funciones hagan su parte. La ciberseguridad por sí sola no puede asumirla ni resolverla.
| WhoQuiQuién | Their partLeur rôleSu papel |
|---|---|
| Executives and business leadersDirection et dirigeants d’affairesDirección y líderes de negocio | Set expectations, give authority, fund proportionate solutions and resolve tradeoffs.Fixer les attentes, déléguer l’autorité, financer des solutions proportionnées et trancher les arbitrages.Fijar expectativas, otorgar autoridad, financiar soluciones proporcionadas y resolver las disyuntivas. |
| Operations, engineering and facilitiesOpérations, ingénierie et installationsOperaciones, ingeniería e instalaciones | Identify systems and dependencies, approve safe discovery and own operational decisions.Repérer les systèmes et les dépendances, approuver une découverte sûre et assumer les décisions opérationnelles.Identificar sistemas y dependencias, aprobar un descubrimiento seguro y asumir las decisiones operativas. |
| IT and cybersecurityInformatique et cybersécuritéTI y ciberseguridad | Support inventories, access visibility, architecture, monitoring and risk assessment.Soutenir les inventaires, la visibilité des accès, l’architecture, la surveillance et l’évaluation des risques.Apoyar los inventarios, la visibilidad de accesos, la arquitectura, la supervisión y la evaluación de riesgos. |
| Procurement, vendors and contractorsAchats, fournisseurs et sous-traitantsCompras, proveedores y contratistas | Disclose technology deployments, changes, interfaces and support arrangements.Déclarer les déploiements technologiques, les changements, les interfaces et les ententes de soutien.Informar de los despliegues tecnológicos, cambios, interfaces y acuerdos de soporte. |
| Enterprise risk and internal auditGestion des risques et audit interneRiesgos empresariales y auditoría interna | Integrate material findings and independently assess how well the program works.Intégrer les constats importants et évaluer de façon indépendante l’efficacité du programme.Integrar los hallazgos relevantes y evaluar de forma independiente la eficacia del programa. |
Shared accountabilityResponsabilité partagéeResponsabilidad compartidaLeadership owns the conditions that make technology governable. Operational teams provide the context that makes governance practical.La direction est responsable des conditions qui rendent les technologies gouvernables. Les équipes opérationnelles apportent le contexte qui rend la gouvernance praticable.La dirección es responsable de las condiciones que hacen gobernable la tecnología. Los equipos operativos aportan el contexto que hace práctica la gobernanza.
Make the next asset visible by defaultRendre le prochain actif visible d’embléeQue el próximo activo sea visible desde el principio
Cleaning up today’s gaps helps. Making it easy for the next purchase, project or repair to show up on its own helps more.Combler les lacunes d’aujourd’hui aide. Faire en sorte que le prochain achat, projet ou réparation apparaisse de lui-même aide davantage.Corregir las brechas de hoy ayuda. Conseguir que la próxima compra, proyecto o reparación aparezca por sí sola ayuda más.
- Ask for asset details at purchase, for any equipment with a controller, network port, modem or software.Demander les détails de l’actif à l’achat, pour tout équipement doté d’un automate, d’un port réseau, d’un modem ou d’un logiciel.Pedir los datos del activo en la compra para cualquier equipo con controlador, puerto de red, módem o software.
- Make inventory updates part of project handover and engineering change closeout.Intégrer la mise à jour de l’inventaire à la remise des projets et à la clôture des modifications d’ingénierie.Incluir la actualización del inventario en la entrega de proyectos y el cierre de cambios de ingeniería.
- Write disclosure of remote access and installed technology into vendor contracts.Prévoir dans les contrats des fournisseurs la déclaration des accès à distance et des technologies installées.Incluir en los contratos con proveedores la obligación de declarar accesos remotos y tecnología instalada.
- Offer a fast, workable approval path, so the quick local fix is not the only option.Offrir un circuit d’approbation rapide et praticable, pour que la solution locale ne soit pas la seule option.Ofrecer una vía de aprobación rápida y viable, para que la solución local no sea la única opción.
- Let people disclose what exists without fear of reflexive blame.Permettre aux gens de déclarer ce qui existe sans craindre d’être blâmés par réflexe.Permitir que las personas declaren lo que existe sin miedo a la culpa automática.