Cada sistema, tal como funciona. Cada camada, pontuada.
Desenhe cada sistema tal como funciona de facto e leia-o face a oito camadas de defesa. A camada fina, o caminho com um só muro e a revisão de design em atraso aparecem antes de um atacante ou um auditor os encontrar.
O que isto substitui
- O diagrama de arquitetura estava certo na semana em que foi desenhado.
- Cada revisão pergunta onde a defesa é fina; ninguém o consegue mostrar.
- Compram-se ferramentas; ninguém sabe dizer que controlo serve cada uma.
O que muda
- Uma pontuação de defesa por sistema em oito camadas, com o caminho mais fraco contado.
- Sistemas com revisão de design em atraso listados por data, não de memória.
- Cada ferramenta de segurança ligada aos controlos que entrega, para que lacunas e duplicações se vejam.
O que faz aqui
- 1Desenhe cada sistema a partir do inventário.
As peças vêm diretamente da lista de ativos, já ligadas aos seus ativos e às vulnerabilidades que têm.
Security architecture - 2Pontue cada sistema face a oito camadas de defesa.
Cada camada é avaliada à parte, por isso uma pontuação fraca aponta sempre para uma camada com nome.
Defence layers - 3Encontre o caminho com um muro ou nenhum.
O caminho mais fraco conta as camadas entre o exterior e os dados sensíveis, sistema a sistema.
Security architecture - 4Associe cada ferramenta de segurança aos controlos que entrega.
Uma ferramenta que não sustenta nenhum controlo salta à vista — tal como um controlo sem ferramenta por trás.
Security tools - 5Mantenha as revisões de design num calendário.
Um sistema ativo sem revisão há doze meses é assinalado com a data da última.
Security architecture - 6Escreva a norma uma vez e depois ligue-a.
As normas de arquitetura vivem na biblioteca de documentos com versões e aprovações, ligadas aos controlos que definem.
Documents
Onde a função termina
Pode alterar sistemas, camadas de defesa, controlos e ferramentas. Riscos e ativos são aqui só de leitura; os seus responsáveis mantêm esses registos.
Trabalha com
APPSECResponsável de AppSecUma lista do que corrigir. Antes de a versão sair.Scanners, pipelines e pentests alimentam um registo por aplicação. Ordene as correções pelo que é de facto explorado, sujeite as versões a barreiras com regras escritas por si e guarde um SBOM por versão para o dossiê CRA.
ASSETSGestor de TICorrigido é uma afirmação. Reforçado é uma análise.Um inventário está certo no dia em que foi exportado. Aqui o registo mantém-se vivo, as exceções são decisões escritas e cada sistema é analisado face à sua base com o add-on de hardening.
OPSGestor de segurançaNada fica esquecido pelo caminho.Assuma o dia operacional: a fila de vulnerabilidades, os incidentes da triagem às lições aprendidas, as certificações de acesso, as aprovações de hardening e as rondas de phishing. Cada um tem responsável, data e registo.
Pronto para ir
além do GRC tradicional?
14 dias de teste gratuito. Sem cartão. Cloud ou on-premises.