Triage: Nie wszystko wymaga naprawy
Nie każde znalezisko wymaga natychmiastowej reakcji. Znaleziska informacyjne zwiększają świadomość, ale nie wymagają naprawy. Znaleziska o niskim poziomie ważności w systemach niekrytycznych mogą poczekać na następny cykl konserwacyjny. Znaleziska z efektywnymi kontrolami kompensacyjnymi mogą zostać zaakceptowane z odpowiednią dokumentacją. Skoncentruj energię na naprawę znalezisk, które stanowią realne, możliwe do wykorzystania ryzyko dla Twoich krytycznych zasobów.
Harmonogramy oparte na poziomie ważności
Zdefiniuj harmonogramy napraw na podstawie poziomu ważności: Krytyczny – rozpocznij naprawę w ciągu 24 godzin, zakończ w ciągu 7 dni. Wysoki – rozpocznij w ciągu 48 godzin, zakończ w ciągu 14 dni. Średni – rozpocznij w ciągu 7 dni, zakończ w ciągu 30 dni. Niski – zakończ w ciągu 90 dni lub w następnym cyklu konserwacyjnym. Udokumentuj te harmonogramy w swojej polityce bezpieczeństwa i egzekwuj je za pomocą systemu śledzenia zgłoszeń.
Odpowiedzialność za naprawę
Każde znalezisko potrzebuje odpowiedzialnego właściciela – osoby odpowiedzialnej za jego rozwiązanie. Zespoły ds. bezpieczeństwa przeprowadzają triage i przypisują zadania. Zespoły inżynieryjne dokonują napraw. Zespół ds. bezpieczeństwa nie powinien pisać poprawek; zespół inżynieryjny nie powinien decydować o poziomie ważności. Jasny podział ról zapobiega zarówno wąskim gardłom, jak i wzajemnemu obwinianiu się.
Weryfikacja naprawy
„Naprawione” znalezisko bez dowodu weryfikacji to założenie, a nie fakt. Zeskanuj ponownie po naprawie, aby potwierdzić, że luka w zabezpieczeniach została usunięta. Ta weryfikacja jest tym, czego wymagają ramy zgodności i co naprawdę zmniejsza ryzyko. Penetrify obejmuje ponowne testowanie w każdym projekcie – więc weryfikacja naprawy nie wymaga oddzielnego projektu ani dodatkowych kosztów.
Metryki napraw
Śledź średni czas naprawy (MTTR) według poziomu ważności, odsetek znalezisk naprawionych w ramach harmonogramów polityki, wskaźnik zdanych ponownych skanów (odsetek poprawek potwierdzonych podczas pierwszej weryfikacji) oraz wskaźnik ponownego wystąpienia znalezisk (ta sama luka w zabezpieczeniach pojawiająca się w kolejnych ocenach). Zmniejszający się MTTR i wskaźnik ponownego wystąpienia świadczą o dojrzałości programu.
Podsumowanie
Wyszukiwanie luk w zabezpieczeniach bez ich naprawiania to teatr bezpieczeństwa. Skuteczna naprawa wymaga priorytetyzacji, odpowiedzialności, harmonogramów, weryfikacji i metryk. Wbudowane w Penetrify ponowne testowanie zamyka pętlę od wykrycia do zweryfikowanej poprawki.