Hvert system, som det kører. Hvert lag, scoret.
Tegn hvert system, som det faktisk kører, og læs det op imod otte forsvarslag. Det tynde lag, stien med én mur og den forsinkede designgennemgang viser sig, før en angriber eller en revisor finder dem.
Hvad det erstatter
- Arkitekturdiagrammet var korrekt den uge, det blev tegnet.
- Hver gennemgang spørger, hvor forsvaret er tyndt; ingen kan vise det.
- Der købes værktøjer; ingen kan sige, hvilken kontrol hvert af dem tjener.
Hvad der ændrer sig
- En forsvarsscore pr. system på tværs af otte lag, med den svageste sti talt op.
- Systemer med forsinket designgennemgang listet efter dato, ikke husket.
- Hvert sikkerhedsværktøj knyttet til de kontroller, det leverer, så huller og dubletter ses.
Hvad du gør her
- 1Tegn hvert system ud fra fortegnelsen.
Delene kommer direkte fra aktivlisten, allerede koblet til deres aktiver og sårbarhederne på dem.
Security architecture - 2Scor hvert system mod otte forsvarslag.
Hvert lag vurderes for sig, så en svag score altid peger på et navngivet lag.
Defence layers - 3Find stien med én mur eller ingen.
Den svageste sti tæller lagene mellem omverdenen og de følsomme data, system for system.
Security architecture - 4Knyt hvert sikkerhedsværktøj til de kontroller, det leverer.
Et værktøj, der ikke understøtter nogen kontrol, skiller sig ud — det samme gør en kontrol uden værktøj bag sig.
Security tools - 5Hold designgennemgange i en kalender.
Et aktivt system uden gennemgang i tolv måneder markeres med datoen for den seneste.
Security architecture - 6Skriv standarden én gang, og link så til den.
Arkitekturstandarder ligger i dokumentbiblioteket med versioner og godkendelser, knyttet til de kontroller, de fastsætter.
Documents
Hvor rollen stopper
Systemer, forsvarslag, kontroller og værktøjer må du ændre. Risici og aktiver er skrivebeskyttede her; deres ejere fører de registre.
Arbejder sammen med
APPSECAppSec-ansvarligÉn liste med alt, der skal rettes. Før releasen går ud.Scannere, pipelines og pentests fodrer ét register pr. applikation. Prioritér rettelser efter, hvad der faktisk udnyttes, lad release-gates følge regler, du har skrevet ned, og hold en SBOM pr. release til CRA-mappen.
ASSETSIT-chefPatchet er en påstand. Hærdet er en scanning.En fortegnelse er korrekt den dag, den blev eksporteret. Her forbliver registret levende, undtagelser er skriftlige beslutninger, og hvert system scannes mod sin baseline med hærdnings-add-on'en.
OPSSikkerhedschefIntet falder mellem to stole.Ej den operationelle dag: sårbarhedskøen, hændelser fra triage til erfaringsopsamling, adgangscertificeringer, godkendelser af hærdning og phishing-runder. Hver har en ejer, en dato og en post bag sig.
Klar til at komme
videre end klassisk GRC?
14 dages gratis prøve. Intet betalingskort. Cloud eller on-premises.