Każdy system, tak jak działa. Każda warstwa, oceniona.
Narysuj każdy system tak, jak naprawdę działa, a potem odczytaj go wobec ośmiu warstw obrony. Cienka warstwa, ścieżka z jednym murem i zaległy przegląd architektury wychodzą na jaw, zanim znajdzie je atakujący albo audytor.
Co to zastępuje
- Diagram architektury był aktualny w tygodniu, w którym go narysowano.
- Każdy przegląd pyta, gdzie obrona jest cienka; nikt nie umie tego pokazać.
- Narzędzia się kupuje; nikt nie powie, której kontroli służy każde z nich.
Co się zmienia
- Wynik obrony dla każdego systemu w ośmiu warstwach, z policzoną najsłabszą ścieżką.
- Systemy z zaległym przeglądem architektury na liście według daty, nie w czyjejś pamięci.
- Każde narzędzie bezpieczeństwa powiązane z kontrolami, które realizuje, więc widać luki i duplikaty.
Co tu robisz
- 1Narysuj każdy system z inwentaryzacji.
Elementy pochodzą prosto z listy aktywów, już powiązane ze swoimi aktywami i podatnościami na nich.
Security architecture - 2Oceń każdy system wobec ośmiu warstw obrony.
Każda warstwa ma osobną ocenę, więc słaby wynik zawsze wskazuje nazwaną warstwę.
Defence layers - 3Znajdź ścieżkę z jednym murem albo bez żadnego.
Najsłabsza ścieżka liczy warstwy między światem zewnętrznym a danymi wrażliwymi, system po systemie.
Security architecture - 4Przypisz każde narzędzie bezpieczeństwa do kontroli, które realizuje.
Narzędzie, które nie wspiera żadnej kontroli, rzuca się w oczy — tak samo kontrola bez narzędzia za nią.
Security tools - 5Trzymaj przeglądy architektury w kalendarzu.
Aktywny system bez przeglądu od dwunastu miesięcy jest oznaczany datą ostatniego.
Security architecture - 6Napisz standard raz, potem go linkuj.
Standardy architektury żyją w bibliotece dokumentów z wersjami i akceptacjami, powiązane z kontrolami, które ustanawiają.
Documents
Gdzie rola się kończy
Systemy, warstwy obrony, kontrole i narzędzia możesz zmieniać. Ryzyka i aktywa są tu tylko do odczytu; te rejestry prowadzą ich właściciele.
Współpracuje z
APPSECLider AppSecJedna lista tego, co naprawić. Zanim wydanie wyjdzie.Skanery, pipeline'y i pentesty zasilają jeden rejestr na aplikację. Ustawiaj poprawki według tego, co faktycznie jest wykorzystywane, puszczaj wydania przez bramki według spisanych przez siebie reguł i trzymaj SBOM każdego wydania w teczce CRA.
ASSETSMenedżer ITZałatane to deklaracja. Hardening to skan.Inwentaryzacja jest aktualna w dniu eksportu. Tutaj rejestr żyje dalej, wyjątki są spisanymi decyzjami, a każdy system jest skanowany wobec swojego baseline'u dodatkiem do hardeningu.
OPSMenedżer ds. bezpieczeństwaNic nie przepada między narzędziami.Prowadzisz dzień operacyjny: kolejkę podatności, incydenty od triage'u po wnioski, certyfikacje dostępów, akceptacje wyjątków hardeningu i rundy phishingowe. Każde ma właściciela, datę i zapis, który za nim stoi.
Gotowi wyjść
poza przestarzały GRC?
14 dni za darmo. Bez karty kredytowej. Chmura lub on-premises.