Triage : Tout ne Nécessite pas d'être Corrigé
Toutes les découvertes ne nécessitent pas une action immédiate. Les découvertes informationnelles sensibilisent, mais ne nécessitent pas de correction. Les découvertes de faible gravité dans les systèmes non critiques peuvent attendre le prochain cycle de maintenance. Les découvertes avec des contrôles compensatoires efficaces peuvent être acceptées avec une documentation appropriée. Concentrez vos efforts de correction sur les découvertes qui représentent un risque réel et exploitable pour vos actifs critiques.
Délais Basés sur la Gravité
Définissez les délais de correction en fonction de la gravité : Critique - commencez la correction dans les 24 heures, résolvez dans les 7 jours. Élevée - commencez dans les 48 heures, résolvez dans les 14 jours. Moyenne - commencez dans les 7 jours, résolvez dans les 30 jours. Faible - résolvez dans les 90 jours ou lors du prochain cycle de maintenance. Documentez ces délais dans votre politique de sécurité et faites-les respecter par le biais de votre système de suivi des problèmes.
Responsabilité de la Correction
Chaque découverte a besoin d'un responsable humain - quelqu'un de responsable de sa résolution. Les équipes de sécurité effectuent le triage et l'affectation. Les équipes d'ingénierie effectuent la correction. L'équipe de sécurité ne devrait pas écrire de correctifs ; l'équipe d'ingénierie ne devrait pas décider de la gravité. Une séparation claire des rôles évite à la fois les goulots d'étranglement et les accusations mutuelles.
Vérification de la Correction
Une découverte "corrigée" sans preuve de vérification est une hypothèse, pas un fait. Effectuez un nouveau scan après la correction pour confirmer que la vulnérabilité est résolue. Cette vérification est ce que les cadres de conformité exigent et ce qui réduit réellement le risque. Penetrify inclut les tests de validation dans chaque engagement - ainsi, la vérification de la correction ne nécessite pas un engagement séparé ou un coût supplémentaire.
Mesures de Correction
Suivez le délai moyen de correction (MTTR) par niveau de gravité, le pourcentage de découvertes corrigées dans les délais de la politique, le taux de réussite du nouveau scan (pourcentage de corrections confirmées lors de la première vérification) et le taux de récurrence des découvertes (la même vulnérabilité réapparaissant dans les évaluations suivantes). La diminution du MTTR et du taux de récurrence démontrent la maturité du programme.
L'Essentiel
Découvrir des vulnérabilités sans les corriger est du théâtre de sécurité. Une correction efficace nécessite une priorisation, une responsabilisation, des délais, une vérification et des mesures. Les tests de validation intégrés de Penetrify bouclent la boucle de la découverte à la correction vérifiée.