Jak chronić firmę przed lukami w oprogramowaniu?

Wyzwanie

Firma z branży ubezpieczeniowej w ramach Zarządzania Podatnościami (ang. Vulnerability Management) zaimplementowała w swojej infrastrukturze skaner podatności. Zarządzanie wyjątkami i odstępstwami odbywało się natomiast w Excelu. Niestety, takie podejście okazało się nieefektywne przy wyzwaniach, z którymi się zmagała. Skupiała bowiem zespół bezpieczeństwa wyłącznie na identyfikacji podatności, nie na remediacji czy naprawie.

Zarządzanie Podatnościami w połączeniu z innymi taktykami pozwala na zminimalizowanie ryzyka wystąpienia zagrożeń. Zrealizowane w kompleksowy sposób stanowi proces polegający na pełnej identyfikacji, ocenie oraz postępowaniu z lukami bezpieczeństwa, które mogą występować w systemach operacyjnych oraz działającym na nich oprogramowaniu.

Dlaczego organizacja nie mogła sobie poradzić z tym zadaniem? Wynikało to z następujących przyczyn:

Brak priorytetyzacji podatności, czyli ustalenia, które z nich należy zamknąć ze względu na ich istotność z punktu widzenia kontekstu biznesowego.
Brak zarządzania backlogiem.
Brak zarządzania wyjątkami i odstępstwami.
Brak mierzenia skuteczności procesu.

Rozwiązanie

Aby poradzić sobie kompleksowo z wyzwaniami, należy zastosować narzędzia, które nie tylko wykorzystają zalety skanerów podatności, ale również pozwolą zaadresować wymienione wcześniej zagadnienia.

Doskonale sprawdzi się tu Archer, oferujący mechanizmy Zarządzanie Zintegrowanym Ryzykiem (IRM – Integrated Risk Management). Zarządzanie Podatnościami jest natomiast dostępne w module IT Security Vulnerability Program.

Efekty

Zastosowanie Archer jako narzędzia organizującego i nadzorującego proces Zarządzania Podatnościami pozwoliło organizacji na:

Ułatwienie kontroli i zarządzania poprzez standaryzację procesu;
Obsługę procesu w jednym narzędziu od początku do końca;
Przyspieszenie obsługi podatności dzięki automatyzacji procesu Vulnerability Management i odciążeniu tym samym zespołu bezpieczeństwa;
Zarządzanie wyjątkami i odstępstwami poprzez wprowadzenie odpowiednich ścieżek postepowania z nimi;

Ograniczenie obciążenia zadaniami poprzez angażowanie na kolejnych etapach procesu tylko właściwych osób;
Dostarczenie kontekstu biznesowego do procesu obsługi podatności, przez co możemy w łatwy sposób priorytetyzować je w oparciu o zdefiniowane ryzyka i przyjęte poziomy SLA;
Monitorowanie efektywności procesu poprzez ciągły pomiar zdefiniowanych parametrów KPI.

Skuteczne i efektywne zarządzanie podatnościami wymaga nie tylko przemyślanych działań zorganizowanych w spójny proces, ale również wyposażenia organizacji w odpowiednie narzędzie wspierające, takie jak Archer.