Lyon'da 12 kişilik bir endüstriyel tasarım ve prototipleme ofisiyiz. Müşterilerimizin neredeyse tmmı Fransız sanayi kuruluşları. Geçtiğimiz ay büyük bir havacılık tedarikçisi olan müşterimiz, tedarikçi değerlendirme sürecinde bize ANSSI standartlarına uygun bir zafiyet yönetimi sürecimizin olup olmadığını sordu ve doldurmamız için onlarca maddelik karmaşık bir tablo iletti.
Tabloyu incelediğimizde sanki yüzlerce çalışanı olan bi teknoloji şirketiymişiz gibi haftalık kurumsal komiteler, zafiyet puanlama matrisleri ve pahalı izleme yazılımları tarif ediliyor. Bizim ayrı bi bilgi işlem departmanımız dahi yok; teknik altyapıyı yarı zamanlı yöneten bi makine mühendisimiz ve dışarıdan saatlik destek aldığımız yerel bi BT servis sağlayıcımız var.
Bu ölçekte bi şirket için zafiyet yönetimi pratikte tam olarak ne anlama geliyor? Müşteri denetiminde bizi zor durumda bırakmayacak ama günlük operasyonumuzu da bürokrasiye boğmayacak asgari uygulanabilir düzeni nasıl kurabiliriz?