Elk systeem, zoals het draait. Elke laag, gescoord.
Teken elk systeem zoals het echt draait en lees het af tegen acht verdedigingslagen. De dunne laag, het pad met één muur en de achterstallige designreview komen boven voordat een aanvaller of een auditor ze vindt.
Wat dit vervangt
- Het architectuurdiagram klopte in de week dat het werd getekend.
- Elke review vraagt waar de verdediging dun is; niemand kan het laten zien.
- Er worden tools gekocht; niemand kan zeggen welke control elk ervan dient.
Wat er verandert
- Een verdedigingsscore per systeem over acht lagen, met het zwakste pad geteld.
- Systemen met een achterstallige designreview op datum gelijst, niet onthouden.
- Elke securitytool gekoppeld aan de controls die hij levert, zodat gaten en dubbelingen zichtbaar worden.
Wat je hier doet
- 1Teken elk systeem vanuit de inventaris.
Onderdelen komen rechtstreeks uit de assetlijst, al gekoppeld aan hun assets en de kwetsbaarheden daarop.
Security architecture - 2Scoor elk systeem tegen acht verdedigingslagen.
Elke laag krijgt een eigen beoordeling, dus een zwakke score wijst altijd naar een benoemde laag.
Defence layers - 3Vind het pad met één muur of geen.
Het zwakste pad telt de lagen tussen de buitenwereld en de gevoelige data, systeem voor systeem.
Security architecture - 4Koppel elke securitytool aan de controls die hij levert.
Een tool die geen enkele control ondersteunt valt op — net als een control zonder tool erachter.
Security tools - 5Zet designreviews in een kalender.
Een actief systeem zonder review in twaalf maanden wordt gemarkeerd met de datum van de laatste.
Security architecture - 6Schrijf de standaard één keer en koppel hem daarna.
Architectuurstandaarden staan in de documentbibliotheek met versies en goedkeuringen, gekoppeld aan de controls die ze vastleggen.
Documents
Waar de rol ophoudt
Systemen, verdedigingslagen, controls en tools mag jij aanpassen. Risico's en assets zijn hier alleen-lezen; hun eigenaren houden die registers bij.
Werkt samen met
APPSECAppSec-leadEén lijst met wat te fixen. Voordat de release uitgaat.Scanners, pipelines en pentests voeden één register per applicatie. Rangschik fixes op wat echt wordt uitgebuit, laat releasegates werken op regels die je hebt vastgelegd en bewaar per release een SBOM voor het CRA-dossier.
ASSETSIT-managerGepatcht is een bewering. Gehard is een scan.Een inventaris klopt op de dag dat hij werd geëxporteerd. Hier blijft het register levend, uitzonderingen zijn schriftelijke besluiten en elk systeem wordt tegen zijn baseline gescand met de hardening-add-on.
OPSSecuritymanagerNiets valt tussen wal en schip.Wees eigenaar van de operationele dag: de kwetsbaarheidswachtrij, incidenten van triage tot lessons learned, toegangscertificeringen, hardeningakkoorden en phishingrondes. Elk heeft een eigenaar, een datum en een record erachter.
Klaar om verder te gaan
dan klassieke GRC?
14 dagen gratis proberen. Geen creditcard. Cloud of on-premises.