- Temeljna razlika med sanacijo (dokončna rešitev problema) in blaženjem (začasno zmanjšanje verjetnosti vpliva).
- Izvedba cikla upravljanja ranljivosti na podlagi dejanskega inventarja, določanja prioritet glede na poslovna tveganja in tehnične validacije.
- Uporaba zmanjševanja tveganj na različnih področjih, od varnosti DevSecOps do preprečevanja naravnih nesreč in javnega zdravja.
- Pomen stalne preglednosti in avtomatizacije za preprečevanje poslabšanja varnostnih procesov zaradi operativne obremenitve.
Ko govorimo o upravljanju varnosti na katerem koli področju, pa naj bo to najsodobnejša IT ali preprečevanje nesreč, ugotavljamo, da je tveganje neizogibna konstanta. Noben sistem ni popoln in nobena organizacija ni popolnoma varna, zato ključ ni v tem, da bi poskušali v celoti odpraviti nevarnost, temveč v tem, da vemo, kako zmanjšati vpliv vsega, kar bi lahko šlo narobe, da bi lahko podjetje ali družba še naprej nemoteno delovala.
Koncepti, kot so blaženje, sanacija in zmanjševanje, se pogosto zamenjujejo, vendar so v resnici delčki iste operativne sestavljanke . Razumevanje teh razlik loči podjetje, ki preprosto »gasi požare«, od organizacije, ki ima resnično strategijo odpornosti , sposobno predvideti napake in se hitro odzvati, preden se manjša napaka spremeni v finančno ali ugledno katastrofo.
Ključne razlike med sanacijo in blaženjem
Da bi se lotili dela, je bistveno razumeti, kaj se zgodi, ko odkrijemo ranljivost. Sanacija je idealen pristop , saj vključuje reševanje težave v njenem korenu. To pomeni namestitev programske popravke, zamenjavo zastarele opreme ali ponovno konfiguracijo sistema, tako da napaka popolnoma izgine. V bistvu gre za odpravo grožnje , da je v prihodnosti ni mogoče izkoristiti.
Vendar je resnično življenje bolj zapleteno in ne moremo vedno takoj popraviti napake. Tukaj pride na vrsto blaženje kot začasna ali paliativna rešitev. Blaženje ni namenjeno odpravljanju napake, temveč zmanjšanju verjetnosti, da jo nekdo izkoristi. Če na primer nimamo popravka za programsko opremo, lahko zapremo omrežna vrata, ki jo razkrivajo; ranljivost je še vedno prisotna, vendar napadalec nima več odprtih vrat za dostop.
Pomembno je poudariti, da je blaženje običajno vmesni korak za pridobitev časa . To ni končna rešitev, temveč varnostni ukrep, medtem ko je načrtovano vzdrževalno okno ali medtem ko prodajalec čaka, da izda končno posodobitev. V bistvu je odpravljanje težave vedno boljše od blokiranja dostopa.
Upravljanje ranljivosti v IT okolju
V svetu kibernetske varnosti upravljanje ranljivosti ni zgolj stvar mesečnega skeniranja in vlaganja PDF-ja. Gre za neprekinjen cikel zmanjševanja tveganja , ki se začne s tem, da natančno veste, kaj imate. Ne morete zaščititi tistega, česar ne vidite, zato je prvi bistveni korak resničen popis sredstev (strežnikov, oblaka, identitet in naprav BYOD).
Ko imamo preglednost, mora postopek slediti logičnemu vrstnemu redu, da se izognemo norosti zaradi tisočih opozoril:
- Neprekinjeno odkrivanje: Enkratni pregledi niso dovolj; potrebna je stalna analiza oboda in notranjosti.
- Določanje prioritet na podlagi konteksta: Ni vse, kar je tehnično "resno", tudi poslovno kritično. Določanje prioritet bi moralo temeljiti na ... resnična izpostavljenost in kritičnost prizadetega sredstva.
- Operativna koordinacija: Izziv je doseči, da se razvojne, sistemske in varnostne ekipe dogovorijo o tem, kako izvesti spremembe.
- Tehnična validacija: Ključnega pomena je preveriti, ali je obliž deloval in da tveganje je izginilo res.
Mnoga podjetja podcenjujejo ta proces in se omejujejo na površinske preglede. To vodi do kopičenja nerešenih težav in prepričanja vodstva, da je vse pod nadzorom, čeprav v resnici spremljajo le površino. Da bi se temu izognili, sta avtomatizacija popravkov in integracija s sistemi za izdajanje zahtevkov, kot je Jira, ključni orodji za preprečevanje spregleda ranljivosti.
Napredne strategije za ekipe DevSecOps
V sodobnih razvojnih okoljih je treba odpravljanje tveganj vključiti v potek dela, ne da bi pri tem povzročali ozko grlo. Cilj je, da so posodobitve odvisnosti varen postopek in ne tveganje, ki bi povzročilo napačno gradnjo. Orodja za analizo sestave programske opreme (SCA) razvijalcem omogočajo, da natančno vedo, katera ranljivost se odpravlja in katera nova tveganja bi lahko nastala s spremembo.
Cilj je doseči ravnovesje, kjer stabilnost in hitrost izvedbe sobivata. Ko je sanacija predvidljiva in avtomatizirana, se v vsakem sprintu prihranijo ure ročnega pregleda dnevnikov sprememb, kar omogoča, da programska oprema doseže produkcijo z veliko večjo samozavestjo in preprečuje, da bi varnostni popravki zmotili delovanje sistema.
Globalni pristopi: od naravnih nesreč do poslovnega upravljanja
Če presežemo zgolj digitalno sfero, vidimo, da se zmanjševanje škode nanaša tudi na javno zdravje in civilno zaščito. V socialni sferi obstaja izrazita razlika med zmanjševanjem tveganja (osredotočenim na preprečevanje, kot je preprečevanje vožnje pod vplivom drog) in zmanjševanjem škode (osredotočenim na pomoč, kot so programi zamenjave igel za preprečevanje bolezni).
Podobno zmanjševanje tveganja nesreč (DRR) temelji na temeljni predpostavki: naravne nesreče same po sebi ne obstajajo; obstajajo pa naravne nevarnosti , ki postanejo nesreče zaradi naših odločitev. Ranljivost mesta je odvisna od tega , kako gradimo hiše ali kako upravljamo z zemljišči. Zato si DRR prizadeva analizirati in zmanjšati dejavnike, zaradi katerih smo krhki, da bi postali bolj odporne in pripravljene skupnosti.
Ne glede na to, ali gre za upravljanje strežnika ali načrt evakuacije, je metodologija podobna. Zahteva temeljito oceno , izvajanje preventivnih ukrepov in predvsem oblikovanje načrtov za nepredvidene dogodke . Ne glede na to, kako si prizadevamo za ublažitev, bodo vedno obstajali nepredvideni dogodki, jasen načrt za nujne primere pa preprečuje popoln kaos.
Ohranjanje stalne preglednosti, določanje prioritet groženj glede na njihov dejanski vpliv in avtomatizacija ponavljajočih se odzivov omogočajo vsaki organizaciji, ne glede na njen sektor, da preneha delovati na slepo. Kombinacija stroge operativne discipline z zmožnostjo potrjevanja vsakega dejanja zagotavlja, da je površina napada čim manjša, kar krizno upravljanje spremeni v proces nenehnega izboljševanja in trajnostne varnosti.
