Varje system, så som det körs. Varje lager, poängsatt.
Rita varje system så som det faktiskt körs och läs det mot åtta försvarslager. Det tunna lagret, vägen med en enda mur och den försenade designgranskningen syns innan en angripare eller en revisor hittar dem.
Vad det ersätter
- Arkitekturdiagrammet stämde veckan det ritades.
- Varje granskning frågar var försvaret är tunt; ingen kan visa det.
- Verktyg köps in; ingen kan säga vilken kontroll vart och ett tjänar.
Vad som ändras
- En försvarspoäng per system över åtta lager, med den svagaste vägen räknad.
- System med försenad designgranskning listas efter datum, inte efter minnet.
- Varje säkerhetsverktyg kopplat till kontrollerna det levererar, så luckor och dubbletter syns.
Vad du gör här
- 1Rita varje system utifrån inventeringen.
Delarna hämtas direkt från tillgångslistan, redan kopplade till sina tillgångar och sårbarheterna på dem.
Security architecture - 2Poängsätt varje system mot åtta försvarslager.
Varje lager bedöms för sig, så en svag poäng pekar alltid på ett namngivet lager.
Defence layers - 3Hitta vägen med en mur eller ingen.
Den svagaste vägen räknar lagren mellan omvärlden och känsliga data, system för system.
Security architecture - 4Koppla varje säkerhetsverktyg till kontrollerna det levererar.
Ett verktyg som inte stöder någon kontroll sticker ut — liksom en kontroll utan verktyg bakom sig.
Security tools - 5Håll designgranskningar på en kalender.
Ett aktivt system utan granskning på tolv månader flaggas med datumet för den senaste.
Security architecture - 6Skriv standarden en gång och länka den sedan.
Arkitekturstandarder ligger i dokumentbiblioteket med versioner och godkännanden, kopplade till kontrollerna de fastställer.
Documents
Var rollen slutar
System, försvarslager, kontroller och verktyg får du ändra. Risker och tillgångar är skrivskyddade här; deras ägare för de registren.
Arbetar med
APPSECAppSec-ansvarigEn lista med allt att åtgärda. Innan releasen går ut.Skannrar, pipelines och pentester matar ett register per applikation. Rangordna åtgärder efter vad som faktiskt utnyttjas, låt releasegrindar följa regler du skrivit ner och behåll en SBOM per release till CRA-akten.
ASSETSIT-chefPatchad är ett påstående. Härdad är en skanning.En inventering stämmer den dag den exporterades. Här förblir registret levande, undantag är skriftliga beslut och varje system skannas mot sin baslinje med härdningstillägget.
OPSSäkerhetschefInget faller mellan stolarna.Äg den operativa dagen: sårbarhetskön, incidenter från triage till lärdomar, behörighetscertifieringar, godkännanden av härdning och nätfiskeomgångar. Allt har en ägare, ett datum och en post bakom sig.
Redo att gå
bortom klassisk GRC?
14 dagars gratis provperiod. Inget kort. Molnet eller on-premises.