Čo automatizovať
Skenovanie zraniteľností: spúšťajte nepretržite alebo pri každom nasadení – automatizované nástroje spoľahlivo detegujú známe vzory v rozsiahlej miere. Kontroly zhody konfigurácie: CIS Benchmarks, nástroje na správu cloudovej bezpečnosti (CSPM) nepretržite overujú konfigurácie oproti základným hodnotám. Zber dôkazov: revízie prístupu, sledovanie verzií zásad, protokoly riadenia zmien – tieto je možné automaticky extrahovať zo zdrojových systémov. Generovanie správ o zhode: mapovanie zistení na kontroly v rôznych rámcoch je možné šablónovať a automaticky dopĺňať.
Čo sa nedá automatizovať
Penetration Testing obchodnej logiky: žiadny automatizovaný nástroj spoľahlivo nenájde chyby v špecifických obchodných pracovných postupoch vašej aplikácie. Testovanie obchádzania autorizácie: overenie, či každý koncový bod presadzuje správnu kontrolu prístupu pre každú rolu používateľa, vyžaduje ľudskú analýzu. Posúdenie rizika a kontextualizácia závažnosti: zistenie strednej závažnosti v platobnom systéme je kritickejšie ako zistenie vysokej závažnosti na statickej marketingovej stránke – kontextuálne posúdenie si vyžaduje ľudí. Auditná komunikácia: vysvetlenie zistení, metodológie a rozhodnutí o náprave vášmu hodnotiteľovi si vyžaduje ľudskú interakciu.
Hybridný model
Najúčinnejšie programy testovania zhody automatizujú všetko, čo sa dá automatizovať (skenovanie, kontroly konfigurácie, zber dôkazov, generovanie správ) a investujú ľudské odborné znalosti tam, kde sú nenahraditeľné (hĺbka Penetration Testing, hodnotenie obchodnej logiky, kontextualizácia rizika, komunikácia s audítorom). Tento hybridný prístup znižuje celkové úsilie o dosiahnutie zhody o 40 – 60 % pri zachovaní kvality testovania, ktorú audítori vyžadujú.
Prístup spoločnosti Penetrify
Penetrify stelesňuje tento hybrid: automatizované skenovanie pre široké pokrytie zraniteľností a posúdenie konfigurácie, manuálne odborné testovanie pre hĺbku a obchodnú logiku a automatizované generovanie správ o zhode s mapovaním kontroly viacerých rámcov. Automatizácia zvláda opakujúcu sa prácu; ľudia zvládajú prácu, na ktorej záleží.
Záver
Automatizujte to, čo stroje robia najlepšie (skenovanie, kontroly konfigurácie, zber dôkazov, generovanie správ). Investujte ľudské odborné znalosti do toho, čo stroje nedokážu (testovanie obchodnej logiky, kontextuálne posúdenie rizika, komunikácia s audítorom). Hybridný model spoločnosti Penetrify prináša oboje.