მთავარი დასკვნა
ხელმოწერამდე დააფიქსირეთ სისტემები და საზღვრები, ტესტირების ავტორიზაცია, მეთოდი, მტკიცებულებების დამუშავება, გადასაცემი შედეგები, შეზღუდვები და საბოლოო განხილვა.
რა უნდა შეასრულოს საკონსულტაციო სამუშაომ
კიბერუსაფრთხოების მრჩეველი დამოუკიდებლად იკვლევს კონკრეტულ კითხვას, აფასებს მტკიცებულებებს და გასცემს გადაწყვეტილების მხარდამჭერ რეკომენდაციებს. სამუშაო შეიძლება მოიცავდეს უსაფრთხოების შეფასებას, შეღწევადობის ტესტს, პოლიტიკის განხილვას, ხელსაწყოს არჩევას, მზადყოფნის სამუშაოს, პერსონალის სწავლებას ან ინციდენტის გეგმის სავარჯიშოს. ეს სხვადასხვა სამუშაოა; ფართო ფრაზა, მაგალითად „უსაფრთხოების აუდიტი“, სამუშაოს არ განსაზღვრავს.
კარგად შედგენილი დავალება წინასწარ განსაზღვრავს კითხვას, სისტემებს, მეთოდსა და გადასაცემ შედეგს. მაგალითად: „შეამოწმეთ ავთენტიფიკაცია და წვდომის კონტროლი ინტერნეტში გახსნილ სამ ვებაპლიკაციაში; არ შეცვალოთ საწარმოო მონაცემები; ანგარიშში წარმოადგინეთ გადამოწმებული მიგნებები მტკიცებულებებითა და გამოსწორების პრიორიტეტებით.“ მკაფიო საზღვრები ორივე მხარეს მოლოდინების გაგებაში ეხმარება.
ფარგლები და ავტორიზაცია წერილობით განსაზღვრეთ
ჩამოთვალეთ სისტემების სახელები, დომენები, IP‑დიაპაზონები, ღრუბლოვანი ანგარიშები, აპლიკაციები და გარემოები, მესამე მხარის სერვისები, მომხმარებლის როლები და ტესტის თარიღები. მიუთითეთ, რა გამოირიცხება. შეღწევადობის ტესტს ან აქტიურ სკანირებას სჭირდება აქტივის მფლობელის ავტორიზაცია, შეთანხმებული ტესტის ფანჯარა, საკონტაქტო პირი, სატესტო ანგარიშები და შეჩერების პირობები. წინასწარ განიხილეთ შესაძლო გავლენა საწარმოო გარემოზე, სარეზერვო ასლები, მონაცემების ცვლილების რისკი და საგანგებო კავშირის გზა.
ღრუბლოვანი და პროვაიდერის მიერ მართვადი აქტივებისთვის შეამოწმეთ, რა ნებართვებს მოითხოვს ხელშეკრულება და ტესტირების პოლიტიკა; ავტორიზაციის გარეშე არ გამოცადოთ სისტემა, რომელიც ორგანიზაციას არ ეკუთვნის. თუ შეიძლება პირადი მონაცემები ან რეალური მომხმარებლის ჩანაწერები მონაწილეობდეს, შეთანხმებაში ჩადეთ მონაცემების მინიმიზაცია, დეიდენტიფიკაცია და შენახვის ლიმიტები. ადგილობრივი სამართლებრივი ან მარეგულირებელი დასკვნების საჭიროებისას იურიდიული და შესაბამისობის პასუხისმგებლობა ცალკე განსაზღვრეთ.
ფარგლებში მოქცეული აქტივები
სისტემა, მფლობელი, გარემო, მისამართი და ბიზნესდანიშნულება.
ავტორიზაცია და უსაფრთხო შესრულება
წერილობითი ავტორიზაცია, ფანჯარა, გამორიცხვები, შეჩერების კრიტერიუმები და ინციდენტის კონტაქტი.
მონაცემების დაცვა
ვის რისი ნახვა შეუძლია, სად ინახება მტკიცებულება, როგორ გადაიცემა და როდის იშლება.
როგორ შევაფასოთ მეთოდი და მტკიცებულებები
სთხოვეთ მრჩეველს ახსნას ეტაპები: სამუშაოს დაწყება და აქტივების ინვენტარი, საფრთხისა და რისკის კონტექსტი, უსაფრთხო ტექნიკური განხილვა, მიგნებების გადამოწმება, გამოსწორების განხილვა და ხელახალი ტესტი. მეთოდი კითხვას უნდა ერგებოდეს. კონფიგურაციისა და პოლიტიკის განხილვა შეღწევადობის ტესტი არ არის; მხოლოდ სკანირების შედეგი ექსპლუატირებად სისუსტეს არ ამტკიცებს.
თითოეულ მიგნებაში მრჩეველმა უნდა მიუთითოს დაზარალებული აქტივი, გამეორებადი მტკიცებულება, პირობები, ზემოქმედება, სანდოობა და შემოთავაზებული გამოსწორება. საჭიროების გარეშე ანგარიშებში საიდუმლოებებს, ავტორიზაციის მონაცემებსა და სრულ პირად ჩანაწერებს ნუ შეინახავთ. ორგანიზაციას უნდა შეეძლოს მიგნებების ტექნიკურ პასუხისმგებლებსა და ბიზნესხელმძღვანელებთან განხილვა. გადაუმოწმებელი ვარაუდი დადასტურებულ მიგნებად არ უნდა წარმოჩინდეს.
გადასაცემი შედეგები წინასწარ შეათანხმეთ
მიუთითეთ შედეგების ფორმატი და მიმღებები. სასარგებლო პაკეტი შეიძლება მოიცავდეს ხელმძღვანელობისთვის შეჯამებას, ფარგლებსა და მეთოდს, პრიორიტეტიზებულ მიგნებებს, თითოეული მიგნების მტკიცებულებასა და გამოსწორების ნაბიჯებს, რისკებსა და შეზღუდვებს და ტექნიკურ დეტალებს სისტემების პასუხისმგებლებისთვის. მმართველობის კონტროლის შეფასებისას მიუთითეთ, რომელი მტკიცებულებები განიხილეთ და რომელი შემოწმებები დარჩა ფარგლებს გარეთ.
თუ ანგარიში სხვა მხარეს გაეზიარება, შეათანხმეთ ვერსიების მართვა, კონფიდენციალურობის მარკირება, გადაცემის მეთოდი, წვდომა, შენახვა და წაშლა. დააზუსტეთ, შედის თუ არა ხელახალი ტესტი, პრეზენტაცია და გამოსწორების კონსულტაცია თუ ცალკე განისაზღვრება. მტკიცებას, რომ რისკი „აღმოფხვრილია“, შესწორების ცალკე შემოწმება სჭირდება.
| არჩევის კრიტერიუმი | ჰკითხეთ მრჩეველს | რას მოიცავს სასარგებლო პასუხი |
|---|---|---|
| შესაბამისი გამოცდილება | ვის შეუსრულებია მსგავსი სამუშაო ამ დარგსა და ამ სისტემებზე? | გუნდის როლებს, შესაბამის გამოცდილებასა და გადამოწმებად მაგალითს სხვა კლიენტის კონფიდენციალური მონაცემების მოთხოვნის გარეშე. |
| მეთოდი | რა გამოიცდება, როგორ და რა შეზღუდვებით? | მკაფიო ეტაპებს, ხელსაწყოებს, ადამიანურ გადამოწმებას, დაცვის ზომებსა და გამორიცხვებს. |
| მტკიცებულება და შედეგი | როგორ დასაბუთდება მიგნების სანდოობა? | აქტივი, ზემოქმედება, გამეორების ნაბიჯები, სანდოობა და გამოსწორება დაკავშირებულია. |
| კომუნიკაცია | ვინ აცნობებს პროგრესს, როდის და როგორ გადადის სასწრაფო მიგნებები ესკალაციაზე? | არსებობს კონკრეტული კონტაქტები, შეთანხმებული განახლებები და შეჩერების პროცედურა. |
| დამოუკიდებლობა და ინტერესთა კონფლიქტები | იგივე ფირმა გაყიდის ან დანერგავს გადაწყვეტას და შემდეგ საკუთარ სამუშაოს შეაფასებს? | შესაძლო კონფლიქტები გამჟღავნებულია; შეფასების საზღვრები და გადაწყვეტილებაზე პასუხისმგებლობა მკაფიოა. |
შეაფასეთ შეთავაზებები და თანამშრომლობის შესაბამისობა
შეთავაზებები მხოლოდ ფასით ან „გამოცდილი ექსპერტების“ მტკიცებით არ შეადაროთ. შეამოწმეთ, გაიგო თუ არა თითოეულმა კანდიდატმა ფარგლები, აირჩია შესაფერისი მეთოდი, გაამჟღავნა უცნობი საკითხები, დაგეგმა მგრძნობიარე მტკიცებულებების დაცვა და დაუკავშირა შედეგები ორგანიზაციულ გადაწყვეტილებებს. მოითხოვეთ ანგარიშის ნიმუში ან დაფარული მონაცემების მაგალითი; სხვა კლიენტის კონფიდენციალური მონაცემები არ მოითხოვოთ. იკითხეთ, ვინ შეასრულებს სამუშაოს და როგორ შეთანხმდება ფარგლების ცვლილებები საჭიროებების განვითარებისას.
დაწყებისას ტექნიკურმა პასუხისმგებელმა, რისკის პასუხისმგებელმა და მრჩეველმა ერთი და იგივე მიზანი უნდა დაადასტურონ. მუშაობისას ყველამ უნდა იცოდეს, როგორ მოხდეს სასწრაფო მიგნების ესკალაცია და როდის შეწყდეს ტესტირება. ბოლოს მიგნებებს მიანიჭეთ პრიორიტეტები, დანიშნეთ გამოსწორების პასუხისმგებლები და დახურვა ხელახალი ტესტით ან სხვა შესაბამისი მტკიცებულებით გადაამოწმეთ. მრჩეველი ორგანიზაციის პასუხისმგებლობას არ იბარებს; გადაწყვეტილებები და რისკის მიღება ორგანიზაციას რჩება.
რას უნდა შევადაროთ ფასი?
შეადარეთ ეკვივალენტური ფარგლები, მეთოდი, გუნდი, მტკიცებულების სიღრმე, ანგარიში და ხელახალი ტესტის პირობები. ფასი შედეგის სიღრმესა და შეზღუდვებთან ერთად განიხილეთ.
შეუძლია მრჩეველს შესაბამისობის გარანტირება?
მრჩეველს შეუძლია განსაზღვრულ მოთხოვნებთან მიმართებით მტკიცებულებებისა და ხარვეზების ანგარიშგება. სამართლებრივი შესაბამისობის უპირობო გარანტია ამ დასკვნის ფარგლებს სცდება; მოქმედი მოთხოვნები და შესაბამისი პასუხისმგებელი ცალკე განსაზღვრეთ.