- Základný rozdiel medzi sanáciou (definitívne riešenie problému) a zmierňovaním (dočasné zníženie pravdepodobnosti vplyvu).
- Implementácia cyklu riadenia zraniteľností na základe reálnych zásob, prioritizácie podľa obchodného rizika a technickej validácie.
- Aplikácia znižovania rizík v rôznych oblastiach, od bezpečnosti DevSecOps až po prevenciu prírodných katastrof a verejné zdravie.
- Dôležitosť nepretržitej viditeľnosti a automatizácie, aby sa zabránilo zhoršovaniu bezpečnostných procesov v dôsledku prevádzkového zaťaženia.
Keď hovoríme o riadení bezpečnosti v akejkoľvek oblasti, či už v oblasti špičkových IT alebo prevencie katastrof, zisťujeme, že riziko je nevyhnutná konštanta. Žiadny systém nie je dokonalý a žiadna organizácia nie je úplne bezpečná, takže kľúč nespočíva v snahe úplne eliminovať nebezpečenstvo, ale v tom, ako minimalizovať dopad čohokoľvek, čo by sa mohlo pokaziť, aby podnik alebo spoločnosť mohli naďalej hladko fungovať.
Pojmy ako zmierňovanie, náprava a redukcia sa často zamieňajú, ale v skutočnosti sú to súčiastky tej istej operačnej skladačky . Pochopenie týchto rozdielov odlišuje spoločnosť, ktorá jednoducho „hasí požiare“, od organizácie, ktorá má skutočnú stratégiu odolnosti , schopnú predvídať zlyhania a rýchlo reagovať skôr, ako sa z malého prehliadnutia stane finančná alebo reputačná katastrofa.
Kľúčové rozdiely medzi nápravou a zmierňovaním
Aby sme sa mohli pustiť do práce, je nevyhnutné pochopiť, čo sa stane, keď zistíme zraniteľnosť. Náprava je ideálny prístup , pretože zahŕňa riešenie problému v jeho koreňoch. To znamená aplikáciu softvérovej záplaty, výmenu zastaraného zariadenia alebo rekonfiguráciu systému tak, aby chyba úplne zmizla. V podstate ide o odstránenie hrozby , aby sa v budúcnosti nedala zneužiť.
Skutočný život je však komplikovanejší a nie vždy dokážeme niečo okamžite opraviť. Tu prichádza na rad zmiernenie rizík ako dočasné alebo paliatívne riešenie. Zmiernenie rizík nespočíva v odstránení chyby, ale skôr v znížení pravdepodobnosti, že ju niekto zneužije. Napríklad, ak nemáme záplatu pre nejaký softvér, môžeme zatvoriť sieťový port, ktorý ju odhaľuje; zraniteľnosť stále existuje, ale útočník už nemá otvorené dvere na získanie prístupu.
Je dôležité zdôrazniť, že zmiernenie je zvyčajne len prechodným krokom na získanie času . Nie je to konečné riešenie, ale skôr bezpečnostné opatrenie, kým je naplánované obdobie údržby alebo kým dodávateľ vydá finálnu aktualizáciu. V podstate je vždy lepšie vyriešiť problém ako zablokovať prístup.
Riadenie zraniteľností v IT prostredí
Vo svete kybernetickej bezpečnosti nie je riadenie zraniteľností len o spustení kontroly raz mesačne a podaní PDF súboru. Je to nepretržitý cyklus znižovania rizika , ktorý začína tým, že presne viete, čo máte. Nemôžete ochrániť to, čo nevidíte, takže prvým nevyhnutným krokom je skutočný inventár aktív (servery, cloud, identity a zariadenia BYOD).
Keď už máme prehľad, proces musí nasledovať logické poradie, aby sa predišlo šialenstvu s tisíckami upozornení:
- Neustále objavovanie: Jednorazové audity nestačia; je potrebná neustála analýza obvodu a interiéru.
- Prioritizácia na základe kontextu: Nie všetko, čo je technicky „vážne“, je kritické pre podnikanie. Stanovenie priorít by malo byť založené na... skutočná expozícia a kritickosť dotknutého majetku.
- Operačná koordinácia: Výzvou je dosiahnuť, aby sa vývojové, systémové a bezpečnostné tímy dohodli na spôsobe implementácie zmien.
- Technické overenie: Je nevyhnutné overiť, či náplasť fungovala a či riziko zmizlo účinne.
Mnohé spoločnosti tento proces podceňujú a obmedzujú sa na povrchné kontroly. To vedie k hromadeniu nevyriešených problémov a manažmentu, ktorý verí, že všetko je pod kontrolou, hoci v skutočnosti monitoruje iba povrch. Aby sa tomu predišlo, automatizácia záplat a integrácia so systémami ticketingu, ako je Jira, sú kľúčovými nástrojmi na zabránenie prehliadania zraniteľností.
Pokročilé stratégie pre tímy DevSecOps
V moderných vývojových prostrediach by mala byť náprava rizík integrovaná do pracovného postupu bez toho, aby spôsobovala úzke hrdlo. Cieľom je, aby aktualizácie závislostí boli bezpečným procesom , nie hazardom, ktorý vedie k chybnému zostaveniu. Nástroje na analýzu zloženia softvéru (SCA) umožňujú vývojárom presne vedieť, ktorá zraniteľnosť sa opravuje a aké nové riziká by mohli byť so zmenou zavedené .
Cieľom je dosiahnuť rovnováhu, v ktorej stabilita a rýchlosť doručenia existujú súčasne. Keď je náprava predvídateľná a automatizovaná, v každom sprinte sa ušetria hodiny manuálnej kontroly protokolov zmien, čo umožňuje softvéru dosiahnuť produkčný stav s oveľa väčšou istotou a zabraňuje tomu, aby bezpečnostné záplaty narušili funkčnosť systému.
Globálne prístupy: Od prírodných katastrof až po riadenie podniku
Ak sa posunieme za hranice čisto digitálnej sféry, vidíme, že znižovanie škôd sa vzťahuje aj na verejné zdravie a civilnú ochranu. V sociálnej sfére existuje výrazný rozdiel medzi znižovaním rizika (zameraným na prevenciu, ako je napríklad predchádzanie šoférovaniu pod vplyvom drog) a znižovaním škôd (zameraným na pomoc, ako sú napríklad programy výmeny ihiel na prevenciu chorôb).
Podobne aj znižovanie rizika katastrof (DRR) vychádza zo základného predpokladu: prírodné katastrofy samy osebe neexistujú; skôr existujú prírodné riziká , ktoré sa stanú katastrofami v dôsledku našich rozhodnutí. Zraniteľnosť mesta závisí od toho, ako staviame domy alebo ako hospodárime s pôdou. DRR sa preto snaží analyzovať a redukovať faktory, ktoré nás robia krehkými, aby sme sa stali odolnejšími a pripravenejšími komunitami.
Či už ide o správu servera alebo evakuačný plán, metodika je podobná. Vyžaduje si dôkladné posúdenie , implementáciu preventívnych opatrení a predovšetkým vytvorenie pohotovostných plánov . Pretože bez ohľadu na to, ako veľmi sa snažíme zmierniť ich dopady, vždy sa vyskytnú nepredvídané udalosti a jasný plán pre núdzové situácie je to, čo zabraňuje úplnému chaosu.
Udržiavanie neustálej viditeľnosti, stanovovanie priorít hrozieb na základe ich skutočného dopadu a automatizácia opakujúcich sa reakcií umožňuje akejkoľvek organizácii bez ohľadu na jej sektor prestať konať naslepo. Kombinácia prísnej operačnej disciplíny so schopnosťou overiť každú akciu zabezpečuje, že plocha pre útok je minimalizovaná, čím sa krízový manažment transformuje na proces neustáleho zlepšovania a udržateľnej bezpečnosti.
