Кожна система — така, як працює. Кожен рівень — з оцінкою.
Намалюйте кожну систему такою, якою вона працює насправді, і прочитайте її проти восьми рівнів захисту. Тонкий рівень, шлях з однією стіною і прострочений перегляд дизайну видно раніше, ніж їх знайде зловмисник чи аудитор.
Що це заміняє
- Архітектурна діаграма була точною того тижня, коли її намалювали.
- Кожен перегляд питає, де захист тонкий; показати це не може ніхто.
- Інструменти купують, але ніхто не скаже, якому контролю служить кожен.
Що змінюється
- Оцінка захисту для кожної системи за вісьмома рівнями, з порахованим найслабшим шляхом.
- Системи з простроченим переглядом дизайну — у списку за датою, а не в памʼяті.
- Кожен інструмент безпеки привʼязаний до контролів, які він забезпечує, тож прогалини й дублі видно.
Що ви робите тут
- 1Малюйте кожну систему з інвентаризації.
Компоненти беруться просто з переліку активів, уже повʼязані зі своїми активами та вразливостями на них.
Security architecture - 2Оцініть кожну систему за вісьмома рівнями захисту.
Кожен рівень оцінюють окремо, тож слабка оцінка завжди вказує на рівень із назвою.
Defence layers - 3Знайдіть шлях з однією стіною або без жодної.
Найслабший шлях рахує рівні між зовнішнім світом і чутливими даними, система за системою.
Security architecture - 4Привʼяжіть кожен інструмент безпеки до контролів, які він забезпечує.
Інструмент, що не підтримує жодного контролю, видно одразу — так само як контроль без інструмента за ним.
Security tools - 5Тримайте перегляди дизайну в календарі.
Активну систему без перегляду за дванадцять місяців позначено датою останнього.
Security architecture - 6Напишіть стандарт один раз, потім посилайтеся на нього.
Архітектурні стандарти живуть у бібліотеці документів із версіями та погодженнями, привʼязані до контролів, які вони задають.
Documents
Де роль закінчується
Системи, рівні захисту, контролі й інструменти змінюєте ви. Ризики та активи тут лише для читання; ці реєстри ведуть їхні власники.
Працює з
APPSECКерівник AppSecОдин список того, що виправити. Ще до виходу релізу.Сканери, пайплайни і пентести наповнюють один реєстр на кожен застосунок. Ранжуйте виправлення за тим, що реально експлуатують, пропускайте релізи через гейти за правилами, які ви записали, і тримайте SBOM кожного релізу для досьє CRA.
ASSETSІТ-менеджерПропатчено — це заява. Гарденінг — це скан.Інвентаризація точна рівно того дня, коли її вивантажили. Тут реєстр живий, винятки — письмові рішення, а кожну систему сканують проти її бейзлайну модулем гарденінгу.
OPSМенеджер з безпекиНіщо не загубиться між інструментами.Ваш операційний день: черга вразливостей, інциденти від тріажу до розбору, сертифікації доступів, погодження винятків гарденінгу і фішинг-раунди. У кожного є власник, дата і запис, що лишається по ньому.
Готові вийти
за межі застарілого GRC?
14 днів безкоштовно. Без кредитної картки. Хмара або on-premises.