Priorytetyzacja ryzyka podatności
Oceny podatności mogą wykryć setki, a nawet tysiące problemów w środowisku technologicznym organizacji. Prawdziwym wyzwaniem jest ustalenie, które z nich wymagają natychmiastowej reakcji, a które można usunąć w ramach zaplanowanych prac technicznych.
Sam techniczny poziom krytyczności nie daje pełnej odpowiedzi. Podatność o wysokiej ocenie znajdująca się w odizolowanym systemie testowym może tworzyć mniejsze ryzyko niż słabość o średnim poziomie krytyczności dotycząca usługi dostępnej z internetu, konta uprzywilejowanego lub ważnej aplikacji biznesowej.
Priorytetyzacja ryzyka podatności oferowana przez CA pomaga skoncentrować działania naprawcze tam, gdzie przyniosą największą poprawę bezpieczeństwa. Łączymy techniczny poziom zagrożenia z możliwością wykorzystania podatności, ekspozycją, znaczeniem zasobu, istniejącymi zabezpieczeniami oraz potencjalnym wpływem na działalność.
Dlaczego to ważne
Traktowanie wszystkich podatności jako równie pilnych może przeciążyć zespoły techniczne i stworzyć nierealny zakres prac naprawczych. Ważne słabości mogą pozostać nieusunięte, podczas gdy czas jest przeznaczany na problemy o niewielkim znaczeniu praktycznym.
Poleganie wyłącznie na automatycznych ocenach również może prowadzić do niewłaściwych priorytetów. Oceny te nie zawsze uwzględniają, czy system jest dostępny publicznie, czy istnieje gotowa metoda ataku, jakie informacje przetwarza system oraz w jaki sposób incydent może wpłynąć na działalność organizacji.
Uporządkowany proces priorytetyzacji pomaga:
Skoncentrować się na najważniejszych ryzykach
Zidentyfikować podatności, które najprawdopodobniej zostaną wykorzystane lub mogą spowodować poważne konsekwencje operacyjne, finansowe, regulacyjne albo wizerunkowe.
Efektywnie wykorzystywać zasoby naprawcze
Kierować ograniczony czas zespołów technicznych i dostępny budżet na problemy, których usunięcie zapewni największe ograniczenie ryzyka.
Tworzyć realistyczne plany naprawcze
Oddzielić pilne działania od usprawnień, które można przeprowadzić podczas zaplanowanych prac konserwacyjnych, aktualizacji lub większych projektów technologicznych.
Jasno wyjaśniać priorytety
Zapewnić zespołom technicznym, właścicielom systemów i osobom zarządzającym wspólne zrozumienie powodów, dla których konkretne podatności wymagają uwagi.
Nasze podejście
Nie porządkujemy wyników wyłącznie według ocen wygenerowanych przez narzędzie skanujące. Każdą istotną podatność analizujemy w kontekście dotkniętego systemu i całej organizacji.
Łączymy dowody techniczne z informacjami o właścicielu zasobu, ekspozycji sieciowej, poufności danych, znaczeniu biznesowym, znanych działaniach atakujących oraz obecnych zabezpieczeniach. Pozwala to ustalić priorytety lepiej odpowiadające rzeczywistemu ryzyku.
Proces może zostać zastosowany do wyników pojedynczej oceny lub wykorzystany do usprawnienia szerszego programu zarządzania podatnościami.
Połączenie wyników i poprawa jakości danych
Zaczynamy od zgromadzenia istotnych informacji o podatnościach pochodzących ze skanerów, testów penetracyjnych, platform chmurowych, ocen aplikacji, produktów bezpieczeństwa i innych dostępnych źródeł.
Powielone wyniki, niepełne wpisy, niespójne nazwy zasobów i nieaktualne ustalenia mogą utrudniać priorytetyzację. Dlatego przed nadaniem priorytetów porządkujemy i sprawdzamy dostępne dane.
W miarę możliwości przypisujemy wyniki do właściwych systemów, usług, właścicieli i funkcji biznesowych. Identyfikujemy również braki w informacjach o zasobach, które mogą uniemożliwiać ocenę rzeczywistego znaczenia podatności.
Zapewnia to bardziej wiarygodną podstawę podejmowania decyzji i zmniejsza ryzyko, że zespoły będą pracować nad powielonymi lub nieistotnymi problemami.
Ocena możliwości wykorzystania i ekspozycji
Oceniamy, czy daną podatność można realistycznie wykorzystać podczas ataku.
Uwzględniamy dostępność systemu z internetu, możliwość uzyskania do niego dostępu z innych części sieci oraz ograniczenia dotyczące grup użytkowników. Analizujemy także wymagane uprawnienia, złożoność ataku, dostępność działających metod wykorzystania i oznaki aktywnego atakowania podobnych słabości.
W analizie uwzględniamy obecne zabezpieczenia. Segmentacja sieci, ograniczenia dostępu, ochrona urządzeń końcowych, kontrola aplikacji i monitorowanie mogą zmniejszać prawdopodobieństwo lub potencjalne skutki udanego ataku.
Pozwala to oddzielić podatności o wysokim technicznym poziomie krytyczności od problemów stanowiących bezpośrednie i wiarygodne zagrożenie dla organizacji.
Ocena wpływu biznesowego i nadanie priorytetów
Analizujemy możliwe konsekwencje skutecznego wykorzystania podatności.
Wpływ może obejmować przerwanie działania ważnej usługi, ujawnienie danych osobowych lub poufnych informacji, straty finansowe, nieautoryzowane zmiany w systemach, konsekwencje regulacyjne albo pogorszenie relacji z klientami.
Bierzemy również pod uwagę przeznaczenie dotkniętego zasobu, jego zależności, poufność przetwarzanych informacji oraz czas potrzebny do przywrócenia działania.
Każdy wynik otrzymuje praktyczny priorytet odzwierciedlający ryzyko techniczne i biznesowe. Powiązane podatności mogą zostać zgrupowane, jeżeli jedno skoordynowane działanie pozwala usunąć kilka problemów lub jeśli kilka słabości tworzy wspólnie groźniejszą ścieżkę ataku.
Opracowanie i utrzymanie planu działań naprawczych
Przekształcamy ustalone priorytety w przejrzysty i możliwy do realizacji plan naprawczy.
Plan określa wymagane działanie, odpowiedzialnego właściciela, termin, zależności oraz oczekiwane ograniczenie ryzyka. Działania mogą obejmować instalację aktualizacji, zmianę konfiguracji, ograniczenie dostępu, zastąpienie niewspieranej technologii, wprowadzenie zabezpieczeń tymczasowych lub zaakceptowanie ograniczonego ryzyka w ramach zatwierdzonego procesu.
Jeżeli natychmiastowe usunięcie podatności nie jest możliwe, pomagamy określić proporcjonalne zabezpieczenia i wymagania dotyczące monitorowania. Ograniczają one ekspozycję do czasu przygotowania rozwiązania docelowego.
Priorytety są ponownie oceniane wraz z pojawianiem się nowych podatności, zmianami w systemach, udostępnieniem metod ataku lub rozwojem wymagań biznesowych. Dzięki temu program naprawczy pozostaje dostosowany do aktualnego ryzyka.
Co wyróżnia CA
Ryzyko wykraczające poza ocenę techniczną
Uwzględniamy możliwość wykorzystania, ekspozycję, znaczenie zasobu, istniejące zabezpieczenia i konsekwencje biznesowe, zamiast polegać wyłącznie na technicznym poziomie krytyczności.
Jasne i uzasadnione priorytety
Wyjaśniamy powody nadania każdego priorytetu, aby decyzje naprawcze były zrozumiałe i mogły uzyskać poparcie w całej organizacji.
Realistyczne planowanie działań naprawczych
Uwzględniamy zależności techniczne, ograniczenia operacyjne, dostępne zasoby i możliwe zakłócenia wynikające z wprowadzanych zmian.
Powtarzalny proces
Pomagamy ustanowić spójną metodę, którą można stosować podczas przyszłych ocen oraz w bieżącym zarządzaniu podatnościami.
Wartość biznesowa
Priorytetyzacja ryzyka podatności oferowana przez CA pomaga przekształcić obszerną listę technicznych wyników w jasny i osiągalny plan działania.
Zespoły techniczne mogą skoncentrować się na podatnościach tworzących największe rzeczywiste ryzyko, zamiast usuwać problemy wyłącznie zgodnie z ich kolejnością na liście. Pozwala to lepiej wykorzystywać dostępny czas, kompetencje, okna serwisowe i budżet bezpieczeństwa.
Właściciele biznesowi i systemowi otrzymują także jaśniejsze wyjaśnienie powodów realizacji poszczególnych działań. Priorytety są powiązane z usługami, ważnymi informacjami i możliwymi konsekwencjami operacyjnymi, dzięki czemu decyzje naprawcze łatwiej uzasadnić i zatwierdzić.
Spójny proces priorytetyzacji wzmacnia również nadzór nad zarządzaniem podatnościami. Opóźnione działania, zaakceptowane ryzyka, zabezpieczenia tymczasowe i powtarzające się problemy można łatwiej śledzić oraz kontrolować.
Rezultatem jest szybsze usuwanie najważniejszych słabości, łatwiejszy do zarządzania zakres prac oraz bardziej wiarygodny dowód, że organizacja podchodzi do ryzyka podatności w uporządkowany i odpowiedzialny sposób.
Następny krok
Długi raport dotyczący podatności nie pokazuje automatycznie, od których problemów organizacja powinna rozpocząć działania.
Skontaktuj się z CA, aby umówić się na wstępną konsultację. Pomożemy ocenić dostępne wyniki, wskazać podatności tworzące największe praktyczne ryzyko i opracować plan naprawczy dostosowany do środowiska biznesowego oraz technicznego.