Всяка система, както работи. Всеки слой, оценен.
Начертайте всяка система така, както реално работи, и я прочетете спрямо осем слоя на защита. Тънкият слой, пътят с една-единствена стена и просроченият преглед на дизайна излизат наяве, преди нападател или одитор да ги открие.
Какво заменя
- Архитектурната диаграма беше точна седмицата, в която я начертаха.
- Всеки преглед пита къде защитата е тънка; никой не може да го покаже.
- Купуват се инструменти; никой не може да каже на коя контрола служи всеки.
Какво се променя
- Оценка на защитата за всяка система по осем слоя, с преброен най-слаб път.
- Системите с просрочен преглед на дизайна са в списък по дата, а не в нечия памет.
- Всеки инструмент за сигурност е вързан с контролите, които осигурява, така че пропуските и дублиранията личат.
Какво правите тук
- 1Начертайте всяка система от инвентара.
Частите идват направо от списъка с активи, вече свързани с активите си и уязвимостите по тях.
Security architecture - 2Оценете всяка система спрямо осем слоя на защита.
Всеки слой се оценява отделно, така че слабата оценка винаги сочи слой с име.
Defence layers - 3Намерете пътя с една стена или без нито една.
Най-слабият път брои слоевете между външния свят и чувствителните данни, система по система.
Security architecture - 4Свържете всеки инструмент за сигурност с контролите, които осигурява.
Инструмент, който не подкрепя нито една контрола, се откроява — както и контрола без инструмент зад нея.
Security tools - 5Дръжте прегледите на дизайна в календар.
Активна система без преглед от дванадесет месеца се маркира с датата на последния.
Security architecture - 6Напишете стандарта веднъж, после го свържете.
Архитектурните стандарти живеят в библиотеката с документи с версии и одобрения, вързани с контролите, които задават.
Documents
Къде свършва ролята
Системите, слоевете на защита, контролите и инструментите променяте вие. Рисковете и активите тук са само за четене; регистрите им се водят от собствениците им.
Работи с
APPSECРъководител AppSecЕдин списък какво да се поправи. Преди изданието да излезе.Скенери, CI/CD процеси и пентестове захранват един регистър за всяко приложение. Подреждайте поправките по реалната експлоатация, пускайте изданията през бариери по записани от вас правила и пазете SBOM за всяко издание за досието по CRA.
ASSETSИТ мениджърКоригирано е твърдение. Втвърдено е сканиране.Инвентарът е точен в деня на изнасянето. Тук регистърът остава жив, изключенията са писмени решения, а всяка система се сканира спрямо базата си с добавката за втвърдяване.
OPSМениджър сигурностНищо не остава между пръстите.Поемете оперативния ден: опашката с уязвимости, инцидентите от първична оценка до поуките, сертифицирането на достъпа, одобренията за втвърдяване и фишинг кръговете. Всяко има отговорник, дата и запис зад себе си.
Готови ли сте да надминете
класическия GRC?
14 дни безплатен пробен период. Без карта. В облак или локално.