Joka järjestelmä, kuten se toimii. Joka kerros pisteytettynä.
Piirrä jokainen järjestelmä sellaisena kuin se oikeasti toimii ja lue se kahdeksaa puolustuskerrosta vasten. Ohut kerros, polku yhdellä muurilla ja myöhässä oleva suunnittelukatselmointi näkyvät ennen kuin hyökkääjä tai auditoija löytää ne.
Mitä tämä korvaa
- Arkkitehtuurikaavio oli oikein sillä viikolla, kun se piirrettiin.
- Jokainen katselmointi kysyy, missä puolustus on ohut; kukaan ei osaa näyttää sitä.
- Työkaluja ostetaan; kukaan ei osaa sanoa, mitä kontrollia kukin palvelee.
Mikä muuttuu
- Puolustuspisteet järjestelmää kohden kahdeksalta kerrokselta, heikoin polku laskettuna.
- Suunnittelukatselmoinnista myöhässä olevat järjestelmät listattuna päivämäärän mukaan, ei muistin varassa.
- Jokainen tietoturvatyökalu sidottuna kontrolleihin, jotka se toteuttaa, joten aukot ja päällekkäisyydet näkyvät.
Mitä teet täällä
- 1Piirrä jokainen järjestelmä inventaariosta.
Osat tulevat suoraan omaisuuslistasta valmiiksi linkitettyinä omaisuuseriinsä ja niiden haavoittuvuuksiin.
Security architecture - 2Pisteytä jokainen järjestelmä kahdeksaa puolustuskerrosta vasten.
Jokainen kerros arvioidaan erikseen, joten heikko pistemäärä osoittaa aina nimettyyn kerrokseen.
Defence layers - 3Löydä polku, jolla on yksi muuri tai ei yhtään.
Heikoin polku laskee kerrokset ulkomaailman ja arkaluonteisten tietojen välillä järjestelmä kerrallaan.
Security architecture - 4Kytke jokainen tietoturvatyökalu kontrolleihin, jotka se toteuttaa.
Työkalu, joka ei tue yhtään kontrollia, erottuu — samoin kontrolli, jonka takana ei ole työkalua.
Security tools - 5Pidä suunnittelukatselmoinnit kalenterissa.
Aktiivinen järjestelmä, jota ei ole katselmoitu kahteentoista kuukauteen, liputetaan edellisen katselmoinnin päivämäärällä.
Security architecture - 6Kirjoita standardi kerran ja linkitä se.
Arkkitehtuuristandardit ovat dokumenttikirjastossa versioineen ja hyväksyntöineen, sidottuina kontrolleihin, jotka ne määrittävät.
Documents
Missä rooli päättyy
Järjestelmiä, puolustuskerroksia, kontrolleja ja työkaluja saat muuttaa. Riskit ja omaisuus ovat täällä vain luku -tilassa; niiden omistajat ylläpitävät noita rekistereitä.
Työskentelee yhdessä
APPSECAppSec-vastaavaYksi lista korjattavista. Ennen kuin julkaisu lähtee.Skannerit, putket ja pentestit syöttävät yhtä rekisteriä sovellusta kohden. Järjestä korjaukset sen mukaan, mitä oikeasti hyödynnetään, sido julkaisuportit kirjaamiisi sääntöihin ja pidä jokaisesta julkaisusta SBOM CRA-kansiota varten.
ASSETSIT-päällikköPaikattu on väite. Kovennettu on skannaus.Inventaario on oikein sinä päivänä, kun se vietiin ulos. Täällä rekisteri pysyy elävänä, poikkeukset ovat kirjallisia päätöksiä ja jokainen järjestelmä skannataan perustasoaan vasten koventamislisäosalla.
OPSTietoturvapäällikköMikään ei putoa rakojen väliin.Omista operatiivinen päivä: haavoittuvuusjono, poikkeamat triagesta opittuihin asioihin, pääsyoikeuksien sertifioinnit, koventamisen hyväksynnät ja tietojenkalastelukierrokset. Jokaisella on omistaja, päivämäärä ja tietue.
Valmis siirtymään
perinteisen GRC:n ohi?
14 päivän maksuton kokeilu. Ei luottokorttia. Pilvessä tai omissa tiloissa.