მთავარი დასკვნა
შედეგი საკონტროლო სიაზე მეტი უნდა იყოს: აღრიცხეთ ფარგლები, დაკვირვებული მტკიცებულება, შესაძლო გავლენა, გამოსწორების მფლობელი და გადამოწმებული დახურვის ნაბიჯი.
განსაზღვრეთ ფარგლები და მტკიცებულება
განხილვამდე ჩამოთვალეთ მოცული პროვაიდერები, ანგარიშები, პროექტები, გამოწერები, რეგიონები, აპლიკაციები და მონაცემთა კლასები. პასუხისმგებელ გუნდებთან შეათანხმეთ მიზანი, მაგალითად საჯაროდ ღია საცავის პოვნა, პრივილეგირებული წვდომის განხილვა ან აღდგენის გეგმის შემოწმება. თითო კონტროლისთვის აღრიცხეთ მტკიცებულების წყარო: კონფიგურაციის ექსპორტი, ვინაობის პოლიტიკა, ჟურნალის ნიმუში, კოდის განხილვა ან აღდგენის სავარჯიშო. მიუთითეთ შეფასების ფარგლებს გარეთ დარჩენილი რესურსები.
განიხილეთ ვინაობა და კონფიგურაცია
განიხილეთ ადამიანებისა და დატვირთვების ვინაობები, MFA დაფარვა, როლების ნებართვები, დარჩენილი ავტორიზაციის მონაცემები და გარე გაზიარება. შეამოწმეთ საცავის გახსნილობა, ქსელური ეკრანისა და უსაფრთხოების ჯგუფის წესები, API წვდომა, გასაღებების მართვა და აუდიტის ჩანაწერები. თითო მიგნებამ რესურსი, დაკვირვებული პარამეტრი და მოსალოდნელი პოლიტიკა უნდა მიუთითოს. ზოგადი ნათქვამი, მაგალითად „ღრუბელი დაუცველია“, შეცვალეთ კონკრეტული აღწერით: რას, ვის და დამტკიცებულად თუ გაუმტკიცებლად ხდის მისაწვდომს საცავის პოლიტიკა.
შეაფასეთ დატვირთვები, მონიტორინგი და აღდგენა
განიხილეთ ვირტუალური მანქანებისა და კონტეინერების განახლებები, იმიჯების წარმომავლობა, საიდუმლოებების შენახვა, სენსიტიური მონაცემების დაშიფვრა და სერვისებს შორის წესები. შეამოწმეთ უსაფრთხოების ჟურნალების შენახვის ვადა და პასუხისმგებელი პერსონალის წვდომა. დააზუსტეთ, რომელი გუნდი კოორდინირდება ინციდენტისას ღრუბლის, აპლიკაციისა და მონაცემთა მფლობელებთან. ასლის შექმნა საკმარისი არ არის: გადაამოწმეთ, რომ უფლებამოსილ პერსონალს მისი აღდგენა შეუძლია და შედეგი ბიზნესის საჭიროებებს აკმაყოფილებს.
მიგნებები რისკზე დაფუძნებული გეგმით დახურეთ
დახურვა გამოსწორებით ან ნარჩენი რისკის შესახებ დამტკიცებული გადაწყვეტილებით დაადასტურეთ. რისკის მიღება ტექნიკური გამოსწორება არ არის.
აღრიცხეთ მიგნება
აღრიცხეთ კონკრეტული რესურსი, დაკვირვებული მდგომარეობა, მტკიცებულება და შესაძლო გავლენა.
მიანიჭეთ პრიორიტეტი და პასუხისმგებლობა
პრიორიტეტები გავლენის, ექსპლუატაციის შესაძლებლობის, მონაცემთა სენსიტიურობისა და საკომპენსაციო კონტროლის მიხედვით განსაზღვრეთ; დანიშნეთ მფლობელი, ვადა და შუალედური კონტროლი.
გამოსცადეთ გამოსწორება ან დაადოკუმენტირეთ გამონაკლისი
მაღალი გავლენის გამოსწორება და უკან დაბრუნების გზა საწარმოო დანერგვამდე გამოცადეთ; თუ ნარჩენი რისკი რჩება, გამონაკლისი და მისი დამმტკიცებელი აღრიცხეთ.
ხელახლა გამოცადეთ და მტკიცებულება შეინახეთ
გამოსწორების შემდეგ გადაამოწმეთ საწყისი მდგომარეობის გაქრობა და კონტროლის მუშაობა; გამონაკლისისთვის აღრიცხეთ თანხმობა და დარჩენილი მდგომარეობა. დახურვის მტკიცებულება შეინახეთ და ხელახალი შეფასების გამომწვევი განსაზღვრეთ.
ჩარჩოები და ხელახალი შეფასების გამომწვევები გააზრებულად შეარჩიეთ
NIST CSF 2.0-ის მსგავსი ჩარჩო კონტროლის შედეგებს რისკების პროგრამას უკავშირებს, შესაბამისი კონფიგურაციის ეტალონი კი არჩეული პროვაიდერისა და სერვისის ტექნიკურ შემოწმებებს იძლევა. ორივე ორგანიზაციის კონტექსტს, მონაცემთა სენსიტიურობასა და სახელშეკრულებო მოვალეობებს მოარგეთ. ხელახლა შეაფასეთ გრაფიკითა და მნიშვნელოვანი ცვლილებების შემდეგ, მაგალითად ახალი ანგარიშის ან რეგიონის, ვინაობის პოლიტიკის შეცვლის, კრიტიკული დატვირთვის მიგრაციის ან აუდიტის მიგნებისას. CSF 2.0 ავტომატურ სერტიფიკაციას ან შესაბამისობის მტკიცებულებას არ იძლევა.