المرونة قرار يتخذه مجلس الإدارة قبل وقوع أي حادث بوقت طويل.

كل منصة جديدة، وكل تكامل، وكل حمل عمل سحابي، وكل تدفق للبيانات، يوسّع المحيط الذي يتعيّن على المؤسسة الدفاع عنه. وفي الوقت ذاته ارتفع سقف التوقعات التنظيمية. فالضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، ونظام حماية البيانات الشخصية، ومتطلبات الجهات التنظيمية في كل قطاع، باتت جميعها على جدول أعمال مجلس الإدارة، والمساءلة عنها تقع على القيادة التنفيذية بقدر ما تقع على فريق الأمن السيبراني.

وتأتي الاستجابة المعتادة مجزأة. فلكلٍّ من الحوكمة والمخاطر والامتثال والأمن واستمرارية الأعمال مسؤولوها وأطرها وتقاريرها، ولا يمنح أيٌّ منها القيادة صورة موحّدة لمستوى الانكشاف. وتُقيَّم الضوابط على فترات متباعدة، وتتراجع فعاليتها بين تقييم وآخر. أما المؤسسات الأقوى فتدير المرونة بوصفها انضباطًا تشغيليًا: مستوى لتقبّل المخاطر تحدده القيادة العليا، وضوابط مدمجة في البنية التقنية وفي التنفيذ، وخطط تعافٍ يُتمرَّن عليها قبل أن تدعو الحاجة إليها.