معظم الحوادث تبدأ بالوصول لا بالبرمجيات الخبيثة.
حسابات بقيت بعد أصحابها، وصلاحيات مُنحت لمهمة واحدة ولم تُسحب، وبيانات دخول مشتركة لنظام لا يملكه أحد، وصلاحيات إدارية وُزّعت لأنها كانت أسرع. لا شيء من ذلك يحتاج مهاجماً متقدّماً، بل يحتاج من ينتبه، والانتباه عملية لا عملية شراء.
أداة لا يراقبها أحد شعور زائف بالأمان.
المراقبة التي تنتج تنبيهات إلى بريد لا يفتحه أحد أسوأ من لا شيء، لأنها تحوّل مخاطرة مجهولة إلى مخاطرة موثّقة جرى تجاهلها. والسؤال ليس ماذا تكتشف الأداة، بل من يستلم التنبيه، وبم هو مخوَّل، وماذا يحدث في الثانية بعد منتصف الليل.
نبدأ بالهوية وبمسار الاستجابة.
نحدّد من يصل إلى ماذا ولماذا، ونزيل ما لم يعد مبرَّراً، ونضع الالتحاق والانتقال والمغادرة على عملية لا على الذاكرة. ونحدّد ما يجب تسجيله ومن يراجعه. ونتفق على مسار الاستجابة، بما فيه القرارات التي يجوز اتخاذها دون إيقاظ مسؤول تنفيذي. ثم نختار الأدوات لدعم ذلك، بهذا الترتيب.
ما الذي تخرج به.
موقف وصول تستطيع إثباته، وعملية مغادرة تزيل الوصول فعلاً، وتسجيل موجّه إلى الأسئلة التي ستحتاج الإجابة عنها، وخطة استجابة جرى تمرينها لا كتابتها وحفظها.