მთავარი დასკვნა
CVSS ქულა კონტექსტთან ერთად გამოიყენეთ: აქტივის მნიშვნელობამ, დაუცველობამ, ექსპლუატაციის მტკიცებულებამ და კონტროლმა პრიორიტეტი შეიძლება შეცვალოს.
მართვა სკანირებას სცდება
მოწყვლადობების მართვა სისტემებში, ქსელებსა და აპლიკაციებში პროგრამული დეფექტებისა და არასწორი კონფიგურაციების მოგვარების უწყვეტი პროცესია. შეფასება, გადამოწმება, პრიორიტეტიზაცია და გამოსწორება ცალკე ამოცანებია. აღრიცხეთ მოწყობილობები, სერვერები, პროგრამები და ღრუბლოვანი სერვისები, შემდეგ შეამოწმეთ სკანირებების დაფარვა და ავთენტიფიკაცია, რომლებიც დაყენებულ ვერსიებს მომწოდებლის მოწყვლადობების ინფორმაციას ადარებს.
განსაზღვრეთ აქტივების დაფარვა
აღრიცხეთ გარედან ხელმისაწვდომი და შიდა სისტემები, მოწყობილობები, ქსელური აღჭურვილობა, ღრუბლოვანი რესურსები და აპლიკაციები პასუხისმგებელი პირითა და გარემოთი. მიუთითეთ სკანერის უფლებები, დაუფარავი აქტივები და შედეგის დრო. სკანირების ფანჯრები სერვისებზე პასუხისმგებელ პირებთან შეათანხმეთ და კრიტიკულ სისტემებზე გავლენა შეამოწმეთ.
გადაამოწმეთ აღმოჩენები და დაამატეთ კონტექსტი
შეამოწმეთ აქტივისა და პროგრამული ვერსიის იდენტიფიკაცია და შეესაბამება თუ არა აღმოჩენა რეალურ კონფიგურაციას. აღწერეთ ცრუდადებითი შედეგები, შეფასების შეზღუდვები და კომპენსირებელი კონტროლი. გადამოწმებულ აღმოჩენას დაუმატეთ აქტივზე პასუხისმგებელი პირი, მონაცემებისა და სერვისის კონტექსტი, რათა პრიორიტეტის გადაწყვეტილება მტკიცებულებას ეყრდნობოდეს.
გამოიყენეთ რისკზე დაფუძნებული პრიორიტეტიზაცია
CVSS ტექნიკურ სიმძიმეს აღწერს; ბიზნესრისკისთვის გააერთიანეთ კრიტიკულობა, დაუცველობა, ექსპლუატაციის მტკიცებულება და შესაძლო ზიანი. პირველ რიგში გადახედეთ კრიტიკულ სერვისებს, ინტერნეტიდან ხელმისაწვდომობასა და აქტიურ ექსპლუატაციას. ნაკლები სიმძიმის ხარვეზი შეიძლება გადაუდებელი იყოს, თუ კრიტიკულ სისტემამდე გზას ხსნის. დაამატეთ პასუხისმგებელი პირის გავლენის შეფასება და გამოსწორების დამოკიდებულებები, შემდეგ აღწერეთ რეაგირების ფანჯრები, ესკალაცია და პრიორიტეტის მიზეზები, რათა შეზღუდულმა რესურსებმა მნიშვნელოვან რისკს უპასუხოს.
შეადარეთ დამუშავების გზები და მართეთ გამონაკლისები
შეადარეთ რისკის შემცირება, ხარჯი და ოპერაციული გავლენა. განსაზღვრეთ ცვლილებაზე პასუხისმგებელი პირი, დამტკიცებული ტესტირების ფანჯარა და უკუგების გეგმა. თუ გამოსწორებამ უნდა მოიცადოს, მიიღეთ რისკზე პასუხისმგებელი პირის მიერ დამტკიცებული გამონაკლისი კომპენსირებელი კონტროლით, ნარჩენი გავლენითა და ვადით. შერბილებული აღმოჩენა ავტომატურად გამოსწორებულად არ მონიშნოთ; შეინახეთ არჩეული გზის დასაბუთება და გადახედვის თარიღი.
| დამუშავება | როდის განვიხილოთ | შედეგის მტკიცებულება |
|---|---|---|
| პატჩი ან ვერსიის განახლება | მხარდაჭერილი გამოსწორება ხელმისაწვდომია და შემოწმებულია. | ვერსია და კონფიგურაცია, დამატებული ხელახალი ტესტით. |
| კონფიგურაცია ან სეგმენტაცია | შეამცირეთ ხელმისაწვდომი შეტევის გზა ან დროებითი დაუცველობა. | შეცვლილი კონტროლი და მისი ეფექტის გადამოწმება; დარჩენილი აღმოჩენა ცალკე აღრიცხეთ. |
| ექსპლუატაციიდან ამოღება ან ჩანაცვლება | აქტივი მხარდაჭერის გარეშეა, არასაჭიროა ან მდგრადი გამოსწორება არ აქვს. | დამოკიდებულებებისა და მონაცემთა მიგრაცია, დადასტურებული ამოღებით. |
გადაამოწმეთ გამოსწორება
დახურვას სჭირდება რეალურ აქტივზე ცვლილების მტკიცებულება და მისი შედეგის შემოწმება. თუ გამოსწორება გადამოწმებას ვერ გადის ან საკითხი მეორდება, ამოცანა ანგარიშვალდებულ პასუხისმგებელ პირს დაუბრუნეთ.
შეამოწმეთ ცვლილება
სამიზნე აქტივი, ვერსია და კონფიგურაცია დამტკიცებულ ცვლილების ჩანაწერს შეუდარეთ.
შეამოწმეთ შედეგი
ჩაატარეთ ნებადართული განმეორებითი სკანირება ან შესაბამისი ტექნიკური შემოწმება და აღრიცხეთ დაფარვა და თარიღი.
დახურეთ ან ხელახლა გახსენით
შეინახეთ დახურვის მტკიცებულება. თუ გამოსწორება გადამოწმებას ვერ გადის ან საკითხი მეორდება, განსაზღვრეთ პასუხისმგებელი პირი და გადახედეთ კვლავ მოქმედ კონტროლს.
წარადგინეთ პროგრამის შედეგები
მართვის პანელზე აღმოჩენები რისკზე პასუხისმგებელ პირებს, თარიღებს, დამუშავებასა და ხელახალ ტესტებს დაუკავშირეთ. აღრიცხეთ დაფარვა, კრიტიკული ღია აღმოჩენები, გამოსწორების დრო და ხელახლა გახსნილი საკითხები. ხელმძღვანელობას მიაწოდეთ რისკის ტენდენციები, ტექნიკურ გუნდებს კი — შესასრულებელი სამუშაო; მტკიცებულებები ინვესტიციისა და პროცესის გაუმჯობესებისთვის გამოიყენეთ. განმეორებითი შეფასებები ამოწმებს, რჩება თუ არა შემარბილებელი ზომები ეფექტიანი ახალი საფრთხეების გაჩენისას.