Usuwanie luk w zabezpieczeniach: praktyczny przewodnik po naprawianiu tego, co naprawdę ważne.

Triage: Nie wszystko wymaga naprawy

Nie każde znalezisko wymaga natychmiastowej reakcji. Znaleziska informacyjne zwiększają świadomość, ale nie wymagają naprawy. Znaleziska o niskim poziomie ważności w systemach niekrytycznych mogą poczekać na następny cykl konserwacyjny. Znaleziska z efektywnymi kontrolami kompensacyjnymi mogą zostać zaakceptowane z odpowiednią dokumentacją. Skoncentruj energię na naprawę znalezisk, które stanowią realne, możliwe do wykorzystania ryzyko dla Twoich krytycznych zasobów.

Harmonogramy oparte na poziomie ważności

Zdefiniuj harmonogramy napraw na podstawie poziomu ważności: Krytyczny – rozpocznij naprawę w ciągu 24 godzin, zakończ w ciągu 7 dni. Wysoki – rozpocznij w ciągu 48 godzin, zakończ w ciągu 14 dni. Średni – rozpocznij w ciągu 7 dni, zakończ w ciągu 30 dni. Niski – zakończ w ciągu 90 dni lub w następnym cyklu konserwacyjnym. Udokumentuj te harmonogramy w swojej polityce bezpieczeństwa i egzekwuj je za pomocą systemu śledzenia zgłoszeń.

Odpowiedzialność za naprawę

Każde znalezisko potrzebuje odpowiedzialnego właściciela – osoby odpowiedzialnej za jego rozwiązanie. Zespoły ds. bezpieczeństwa przeprowadzają triage i przypisują zadania. Zespoły inżynieryjne dokonują napraw. Zespół ds. bezpieczeństwa nie powinien pisać poprawek; zespół inżynieryjny nie powinien decydować o poziomie ważności. Jasny podział ról zapobiega zarówno wąskim gardłom, jak i wzajemnemu obwinianiu się.

Weryfikacja naprawy

„Naprawione” znalezisko bez dowodu weryfikacji to założenie, a nie fakt. Zeskanuj ponownie po naprawie, aby potwierdzić, że luka w zabezpieczeniach została usunięta. Ta weryfikacja jest tym, czego wymagają ramy zgodności i co naprawdę zmniejsza ryzyko. Penetrify obejmuje ponowne testowanie w każdym projekcie – więc weryfikacja naprawy nie wymaga oddzielnego projektu ani dodatkowych kosztów.

Metryki napraw

Śledź średni czas naprawy (MTTR) według poziomu ważności, odsetek znalezisk naprawionych w ramach harmonogramów polityki, wskaźnik zdanych ponownych skanów (odsetek poprawek potwierdzonych podczas pierwszej weryfikacji) oraz wskaźnik ponownego wystąpienia znalezisk (ta sama luka w zabezpieczeniach pojawiająca się w kolejnych ocenach). Zmniejszający się MTTR i wskaźnik ponownego wystąpienia świadczą o dojrzałości programu.