Kapsam ve kritik hizmet seçimi
Değerlendirme tüm kurumu aynı derinlikte taramaz; kritik hizmetlerden başlar. Hangi hizmetin durması işi durdurur sorusu iş birimiyle yanıtlanır ve teknik kapsam bu yanıttan türetilir.
- Kritiklik kararı iş biriminde, teknik kapsam bizde
- Kapsam dışı bırakılanlar gerekçesiyle yazılır
- Üçüncü taraf bağımlılıkları kapsama dâhildir
- Derinlik, hizmetin kritikliğiyle orantılıdır
Yetenek ölçümü
Ölçüm dört başlıkta yapılır: tespit, müdahale, kurtarma ve öğrenme. Her başlık için kurumun bugün ne yapabildiği kanıtla belirlenir — yazılı prosedür değil, uygulanan davranış esas alınır.
- Kanıt, prosedür metninden değil kayıtlardan alınır
- Tespit süresi geçmiş olaylardan hesaplanır
- Kurtarma yeteneği tatbikat kaydıyla doğrulanır
- Öğrenme, kapanan bulguların oranıyla ölçülür
Senaryo çalışması
Soyut olgunluk yerine somut senaryo çalışılır: fidye yazılımı yayılırsa, ayrıcalıklı bir hesap ele geçerse, bir tedarikçi ihlal bildirirse ne olur. Senaryo, kararın kimde olduğunu görünür kılar.
- Senaryolar kurumun gerçek mimarisiyle çalışılır
- Karar noktaları ve karar sahipleri işaretlenir
- İletişim zinciri senaryo içinde denenir
- Çıktı, plan güncellemesine dönüşür
Yol haritası ve sahiplik
Bulgu listesi tek başına iş üretmez. Her bulgu etkisine ve kapatma maliyetine göre sıralanır, bir sahibe ve bir tarihe bağlanır. Sahibi olmayan bulgu, rapor kapandığında kaybolur.
- Sıralama etki ve maliyet birlikte değerlendirilerek
- Her bulgunun tek bir sahibi olur
- Hızlı kazanımlar ayrı listede toplanır
- İlerleme aynı ölçekte yeniden ölçülür