الاستعداد لعمل اختبار أمني مُصرَّح به

ما هو

الاستعداد تمرين في الحوكمة والتنسيق. فهو يجمع جرد النطاقات وعناوين IP والتطبيقات والبيئات والحسابات والمزوّدين والموردين والملكية مع الأهداف المقصودة وتوقعات التقارير. ويسجّل الموجز المُعدّ جيدًا الأساليب المسموح بها على مستوى عام، والإجراءات المحظورة، والملاءمة لبيئة الإنتاج مقابل البيئات غير الإنتاجية، وفترات الحظر، ونافذة الاختبار، وحدود التشغيل الآمنة، وجهات اتصال المراقبة، وجهات اتصال التصعيد، وقواعد التواصل، وشروط الإيقاف الفوري، ومعالجة الأدلة، وتقليل البيانات إلى الحد الأدنى، والبيئات الحساسة المستثناة. ولا تعني ملكية المؤسسة تلقائيًا التصريح باختبار كل موظف أو عميل أو مورد أو منصة أو حساب مستضاف أو خدمة لطرف ثالث.

لمن هذا؟

يفيد دليل الاستعداد هذا الفرق التي:

• تحتاج إلى التنسيق بين مالكي الأعمال والجوانب التقنية والمزوّدين والأمن والموردين قبل طلب تقييم
• لديها أنظمة مواجهة للعملاء أو خدمات مستضافة أو حسابات سحابية أو موردون يثيرون أسئلة تتعلق بالأذونات والتبعيات
• تريد نطاقًا أكثر جاهزية لاتخاذ القرار بدلًا من طلب مبهم بـ«اختبار كل شيء»
• تحتاج إلى وضع توقعات عملية للسلامة والتواصل والأدلة والتقارير قبل عمل مُصرَّح به

ما يساعد على توضيح

تساعد عملية الاستعداد على تحديد:

• من يستطيع التصريح بالعمل، ومن يملك كل هدف، ومن قد يلزم الحصول على إذنه المكتوب أو إخطاره
• النطاقات وعناوين IP والتطبيقات والبيئات والحسابات والمزوّدون والموردون والأنظمة الحساسة المشمولة في النطاق أو المستثناة منه
• الأهداف وأسئلة النجاح المهمة، باستخدام أساليب آمنة وتوقعات واقعية
• كيف ينبغي أن تعمل نوافذ الاختبار وفترات الحظر والحدود وجهات الاتصال وشروط الإيقاف والأدلة والتسليم

ما هو متضمن

• قائمة تحقق لمالكي الأعمال والجوانب التقنية، والتفويض المكتوب، وجرد الأهداف، والتنسيق مع المزوّدين والموردين، وإذن الأطراف الثالثة
• إرشادات حول الملاءمة لبيئة الإنتاج أو غيرها، والأهداف، والحدود، والإجراءات المحظورة، وفترات الحظر، والنوافذ، والمراقبة، والتصعيد، والتواصل، وشروط الإيقاف
• أسئلة حول معالجة الأدلة وتقليل البيانات إلى الحد الأدنى، بما في ذلك الأنظمة الحساسة والبيئات المستثناة
• مخطط عملي لتوقعات التسليم والتقارير بعد العمل المُصرَّح به

ما لا يشتمل عليه

• خطوات الاستغلال، أو تعليمات توليد الحركة، أو إرشادات التجاوز، أو التقنيات التخريبية، أو أساليب الهجوم التشغيلية
• الاستشارة القانونية، أو القول بأن التفويض أو العقود أو القوانين أو المزوّدين يسمحون باختبار معيّن
• أي تأكيد بأن الاستعداد يزيل التعطيل أو المخاطر أو الأثر التشغيلي
• افتراض أن ملكية المؤسسة تمنح إذنًا على أنظمة الموردين أو العملاء أو الموظفين أو المنصات أو الأنظمة المستضافة

متى تختارها

استخدم هذا الدليل عندما يُنظر في إجراء تقييم وتحتاج الملكية أو النطاق إلى عمل قبل أن يتمكن المورد من تحديده بأمان. وهو قيّم قبل مراجعة التطبيقات، أو أعمال الحمل المضبوطة، أو اختبار الصمود، أو تمرين موجّه بالأهداف. وهو يعمل إلى جانب التفويض المكتوب وموافقة المزوّد والمراجعة التعاقدية والاستشارة القانونية المؤهلة حيثما لزمت. وإذا لم تستطع المؤسسة تحديد المالكين أو الأنظمة أو القرار الذي تحتاج إلى إجابة عنه، فعليها حسم هذه الأساسيات قبل جدولة أي نشاط.

نهجنا

تعامل مع النطاق بوصفه سجلًا حيًا للأذونات لا قائمة رغبات تقنية. ابدأ بالمالكين وجرد الأهداف؛ ثم افصل الأصول التي تتحكم فيها عن تلك التي يشغّلها مزوّد أو مورد. واتفق على السؤال والحدود الآمنة وترتيبات المراقبة وجهات الاتصال وشروط التوقف قبل اختيار المواعيد. وأبقِ جمع الأدلة متناسبًا، وقلّل الوصول إلى المعلومات الحساسة إلى الحد الأدنى. وأبلغ عن التغييرات بسرعة إذا تغيّر هدف أو شرط لدى المزوّد أو فترة حظر تخص الأعمال. وعند التسليم، توقّع تقريرًا يميّز النطاق المُصرَّح به والملاحظات والقيود والمتابعة. وقبل بدء النشاط، اطلب من كل مالك تأكيد الجرد الحالي ومسار التصعيد كتابيًا. وينبغي التعامل مع أي تغيير متأخر في هدف أو مزوّد أو حساب أو بيئة أو فترة أعمال على أنه تغيير في النطاق، لا استثناء غير رسمي. ويُبقي ذلك الحدود المُصرَّح بها مفهومة للفرق التشغيلية ولأصحاب المصلحة التقنيين على حد سواء، ويقلل الالتباس بشأن من يحق له إيقاف العمل مؤقتًا إذا تغيرت الظروف. وينبغي الاتفاق على توقعات التقارير بالعناية نفسها التي يُتفق بها على الأهداف. فحدد من يحتاج إلى ملخص تنفيذي، ومن يحتاج إلى أدلة تقنية، وكيف ستُشارك المواد الحساسة، وأي الملاحظات يتطلب تواصلًا سريعًا، ومن يستطيع قبول التسليم. ولا تفترض أن كل أصحاب المصلحة يحتاجون إلى المستوى نفسه من الوصول. واحتفظ بسجل لإخطارات المزوّدين ومراجع الموافقات والتغييرات على النافذة، كي يصف التقرير النهائي بدقة الظروف التي جرى فيها العمل المُصرَّح به. وينبغي أن ينتهي الاستعداد بتأكيد موجز بأن جميع المالكين المسمّين يفهمون ما هو مشمول، وما هو مستثنى، وكيف سيُصعَّد أي مصدر قلق. وينبغي أن يذكر النطاق النهائي أي عدم يقين بوضوح، كي لا يظن أي مشارك أن افتراضًا تخطيطيًا هو إذن. كما ينبغي أن يسمّي المعلومات التي حُجبت عمدًا لأنها غير ضرورية لتحديد النطاق الأولي أو لأنها تنتمي إلى قناة أكثر تقييدًا. وكثيرًا ما يكون هذا الفهم المشترك أكثر قيمة من إضافة هدف آخر إلى اختبار غير واضح أصلًا. وقبل بدء العمل، تحقق من أن قائمة جهات الاتصال تعمل خلال النافذة المخططة، وأن فرق الأعمال تعرف معنى شرط التوقف المؤقت أو الإيقاف. ويمكن لتمرين تواصل بسيط أن يكشف توقعات متضاربة حول التوافر أو التصعيد أو ملكية الأدلة. ويساعد ذلك على منع أن تُفهم مشكلة تنسيق روتينية على أنها إذن بالاستمرار خارج الحدود المتفق عليها.

الأسئلة المتكررة

مقالات ذات صلة