Czym jest Security Baseline Review?

Co to jest

Przegląd obejmuje mechanizmy kontrolne, które firma już stosuje, i porównuje uzgodnione obszary ze spójnym modelem bezpieczeństwa. Zakres jest potwierdzany na piśmie przed rozpoczęciem prac. W zależności od wybranej usługi może obejmować ustawienia uwierzytelniania, uprawnienia dostępu, odzyskiwanie kont, praktyki przetwarzania danych, integracje z podmiotami trzecimi, stan aktualizacji oraz podstawowe ustalenia operacyjne wokół systemów objętych zakresem. Prace mają na celu zbadanie konfiguracji i dowodów, a nie przeglądanie produkcyjnych danych klientów czy zakłócanie normalnej pracy. Otrzymują Państwo ustrukturyzowany raport, który wyjaśnia, co zaobserwowano, dlaczego ma to znaczenie w danym kontekście i jaki mógłby być rozsądny kolejny krok. Ustalenia są uporządkowane tak, aby decydenci widzieli różnicę między pilnym priorytetem, pozycją do zaplanowania a kwestią wymagającą osobnego zakresu lub wsparcia specjalisty. Przez cały czas oceny Państwa środowisko pozostaje w konfiguracji ustalonej przez Państwa zespół; o ewentualnych zmianach decydują Państwo później.

Dla kogo

Security Baseline Review jest odpowiedni dla firm, które:

• Prowadzą produkty lub usługi cyfrowe i nie przeszły jeszcze formalnego przeglądu konfiguracji bezpieczeństwa
• Niedawno zmieniły personel, systemy, hosting lub dostawców zewnętrznych i chcą sprawdzić, czy odpowiedzialność i dostępy nie uległy rozproszeniu
• Przygotowują się do bardziej szczegółowego programu bezpieczeństwa i potrzebują udokumentowanego punktu wyjścia przed wyborem kolejnej usługi
• Muszą rzeczowo odpowiedzieć na pytanie audytora, partnera, klienta, członka zarządu lub ubezpieczyciela, nie przeceniając swojej obecnej sytuacji

Co pomaga wyjaśnić

Przegląd bazowy pomaga wyjaśnić:

• Które uzgodnione mechanizmy kontrolne wydają się wdrożone, a gdzie dowody są niepełne lub konfiguracja wymaga bliższej uwagi
• Gdzie uprawnienia dostępu, konta współdzielone lub historyczne ustawienia mogą już nie odpowiadać temu, jak firma działa dziś
• Które połączenia z podmiotami trzecimi i zależności wymagają jaśniej określonego właściciela, dodatkowego pytania lub osobnego przeglądu technicznego
• Czym zająć się najpierw, co monitorować, a co omówić jako osobno zdefiniowane zadanie

Co jest zawarte

• Pisemne potwierdzenie zakresu przed rozpoczęciem prac, w tym systemów i źródeł dowodów objętych przeglądem
• Zdalny przegląd uzgodnionych obszarów konfiguracji oraz informacji pomocniczych przekazanych przez Państwa zespół
• Ustrukturyzowany raport z ustaleniami, oparty na spójnym modelu ważności i jasnym kontekście decyzyjnym
• Zrozumiałe wskazówki naprawcze do każdej obserwacji, w tym informacja, gdzie może być potrzebny osobny właściciel lub usługa
• Podsumowanie dla kierownictwa, które można udostępnić wewnętrznie bez konieczności objaśniania żargonu technicznego
• Jedna rozmowa uzupełniająca, aby omówić raport, priorytety i rozsądne kolejne kroki

Co nie jest uwzględnione

• Aktywna eksploatacja podatności, testy penetracyjne ani próby obchodzenia zabezpieczeń
• Certyfikacja zgodności, opinie z audytu regulacyjnego ani oświadczenie, że firma spełnia wszystkie mające zastosowanie wymagania
• Zmiany konfiguracji, zmiany w kodzie ani prace naprawcze w Państwa środowisku w trakcie samego przeglądu
• Bieżący monitoring, reagowanie na alerty ani ponowne testy po zakończeniu uzgodnionego zlecenia
• Przegląd systemów, domen, aplikacji lub dostawców, które nie zostały ujęte w pisemnym zakresie

Kiedy to wybrać

Warto wybrać Security Baseline Review, gdy chcą Państwo uzyskać jasny, udokumentowany obraz obecnej sytuacji bez natychmiastowego angażowania się w szeroki program. To przydatny pierwszy krok, gdy zespół wie, że śledzenie bezpieczeństwa stało się trudniejsze, gdy zmieniły się zakresy odpowiedzialności lub gdy interesariusz zadaje pytanie, na które nie da się jeszcze odpowiedzieć w oparciu o dowody. Może także pomóc przed wdrożeniem, migracją, zmianą dostawcy lub wewnętrznym cyklem planowania. Gdy znają Państwo już konkretny problem techniczny i potrzebują szybkiego wprowadzenia określonej zmiany, lepiej sprawdza się zwykle ukierunkowane utwardzanie lub zlecenie specjalistyczne. Wartość przeglądu bazowego polega na tym, że kolejna decyzja staje się bardziej przemyślana.

Nasze podejście

Zaczynamy od pisemnego potwierdzenia granic przeglądu. Otrzymują Państwo zrozumiały opis, który wyjaśnia, co zostanie zbadane, co jest poza zakresem, jaki dostęp lub jakie dowody są potrzebne i co otrzymają Państwo przy przekazaniu wyników. Specjalista korzysta z dostępu tylko do odczytu, ograniczonego do tego, co niezbędne do obserwacji uzgodnionej konfiguracji. Jeśli dostępne dowody pozostawiają pytanie otwarte, raport wyraźnie je odnotowuje, aby można było się nim zająć w dalszej kolejności. Ustalenia są formułowane jako praktyczne obserwacje: zaobserwowany stan konfiguracji, kontekst, w którym może on mieć znaczenie, oraz proporcjonalna rekomendacja lub kolejne pytanie. Raport ma wspierać rozmowę między osobami technicznymi i nietechnicznymi, a nie wywoływać niepotrzebnego niepokoju. Przy przekazaniu wyników omawiamy z Państwem priorytety, aby dokument stał się roboczym punktem odniesienia, a nie listą, na podstawie której trudno działać.

Często zadawane pytania

Artykuły pokrewne