Hvert system, slik det kjører. Hvert lag, poengsatt.
Tegn hvert system slik det faktisk kjører, og les det mot åtte forsvarslag. Det tynne laget, stien med én mur og den forsinkede designgjennomgangen dukker opp før en angriper eller en revisor finner dem.
Hva dette erstatter
- Arkitekturdiagrammet stemte den uken det ble tegnet.
- Hver gjennomgang spør hvor forsvaret er tynt; ingen kan vise det.
- Verktøy blir kjøpt; ingen kan si hvilken kontroll hvert av dem tjener.
Hva som endres
- En forsvarspoengsum per system over åtte lag, med den svakeste stien talt opp.
- Systemer med forsinket designgjennomgang listet etter dato, ikke husket.
- Hvert sikkerhetsverktøy knyttet til kontrollene det leverer, så hull og dobbeltdekning synes.
Hva du gjør her
- 1Tegn hvert system fra oversikten.
Delene hentes rett fra listen over eiendeler, allerede koblet til eiendelene sine og sårbarhetene på dem.
Security architecture - 2Poengsett hvert system mot åtte forsvarslag.
Hvert lag vurderes for seg, så en svak poengsum peker alltid på et navngitt lag.
Defence layers - 3Finn stien med én mur eller ingen.
Den svakeste stien teller lagene mellom omverdenen og de sensitive dataene, system for system.
Security architecture - 4Koble hvert sikkerhetsverktøy til kontrollene det leverer.
Et verktøy som ikke støtter noen kontroll, skiller seg ut — det gjør også en kontroll uten verktøy bak seg.
Security tools - 5Hold designgjennomganger i en kalender.
Et aktivt system uten gjennomgang på tolv måneder flagges med datoen for den forrige.
Security architecture - 6Skriv standarden én gang, og lenk til den.
Arkitekturstandarder ligger i dokumentbiblioteket med versjoner og godkjenninger, knyttet til kontrollene de fastsetter.
Documents
Hvor rollen slutter
Systemer, forsvarslag, kontroller og verktøy kan du endre. Risikoer og eiendeler er skrivebeskyttet her; eierne deres fører de registrene.
Jobber sammen med
APPSECAppSec-lederÉn liste over det som må rettes. Før releasen går ut.Skannere, pipelines og pentester mater ett register per applikasjon. Ranger utbedringer etter hva som faktisk utnyttes, la release-porter følge regler du har skrevet ned, og hold én SBOM per release til CRA-mappen.
ASSETSIT-sjefPatchet er en påstand. Herdet er en skanning.En oversikt stemmer den dagen den ble eksportert. Her forblir registeret levende, unntak er skriftlige beslutninger, og hvert system skannes mot sin grunnlinje med herdingstillegget.
OPSSikkerhetssjefIngenting faller mellom to stoler.Ta eierskap til den operative dagen: sårbarhetskøen, hendelser fra triage til lærdom, tilgangssertifiseringer, godkjenning av herding og phishing-runder. Alt har en eier, en dato og en post bak seg.
Klar til å gå
forbi klassisk GRC?
14 dagers gratis prøve. Ikke noe kort. Nettskyen eller on-premises.