Co je Security Baseline Review?

Co to je?

Revize se zaměřuje na opatření, která už ve firmě máte, a porovnává dohodnuté oblasti s jednotným bezpečnostním modelem. Rozsah se před zahájením práce potvrzuje písemně. Podle zvolené služby může zahrnovat nastavení ověřování, přístupová oprávnění, obnovu účtů, postupy nakládání s daty, integrace třetích stran, stav aktualizací a základní provozní uspořádání kolem systémů v rozsahu. Práce je navržena tak, aby zkoumala konfiguraci a podklady, nikoli aby nahlížela do produkčních dat zákazníků nebo narušovala běžný provoz. Obdržíte strukturovanou zprávu, která vysvětluje, co bylo zjištěno, proč je to v daném kontextu důležité a jaký by mohl být rozumný další krok. Zjištění jsou uspořádána tak, aby osoby s rozhodovací pravomocí rozlišily okamžitou prioritu, položku k naplánování a problém, který vyžaduje samostatný rozsah nebo vstup specialisty. Vaše prostředí zůstává po celou dobu posouzení tak, jak ho nastavil váš tým; o případných změnách rozhodujete následně vy.

Pro koho to je?

Security Baseline Review je vhodná pro firmy, které:

• Provozují digitální produkty nebo služby a dosud neprošly formální revizí své bezpečnostní konfigurace
• Nedávno změnily zaměstnance, systémy, hostingové uspořádání nebo poskytovatele třetích stran a chtějí ověřit, že se odpovědnosti a přístupy nerozešly se skutečností
• Připravují se na podrobnější bezpečnostní program a potřebují zdokumentovaný výchozí bod před výběrem další služby
• Potřebují uvážlivě odpovědět na dotaz auditora, partnera, zákazníka, člena představenstva nebo pojistitele, aniž by přeceňovaly svůj současný stav

Co to pomůže objasnit

Základní bezpečnostní revize pomáhá ujasnit:

• Která dohodnutá opatření se zdají být zavedena a kde jsou podklady neúplné nebo kde konfigurace vyžaduje bližší pozornost
• Kde přístupová oprávnění, sdílené účty nebo historická nastavení už nemusí odpovídat tomu, jak firma funguje dnes
• Která propojení a závislosti na třetích stranách si zaslouží jasnějšího vlastníka, doplňující otázku nebo samostatnou technickou revizi
• Co řešit jako první, co sledovat a co by mělo být projednáno jako samostatně vymezená práce

Co je zahrnuto

• Písemné potvrzení rozsahu před zahájením práce, včetně systémů a zdrojů podkladů, které budou posouzeny
• Vzdálená revize dohodnutých oblastí konfigurace a podpůrných informací dodaných vaším týmem
• Strukturovaná zpráva se zjištěními, jednotným modelem závažnosti a jasným kontextem pro rozhodování
• Srozumitelné poznámky k nápravě u každého zjištění, včetně toho, kde může být potřeba samostatný vlastník nebo služba
• Manažerské shrnutí, které lze sdílet interně bez nevysvětlené technické terminologie
• Jeden navazující rozhovor k projednání zprávy, priorit a rozumných dalších kroků

Co není součástí

• Aktivní zneužívání zranitelností, penetrační testování nebo pokusy o obejití opatření
• Certifikace souladu, stanoviska regulatorního auditu nebo prohlášení, že firma splňuje všechny platné požadavky
• Změny konfigurace, změny kódu nebo nápravné práce ve vašem prostředí během samotné revize
• Průběžný monitoring, reakce na výstrahy nebo opakované testování po ukončení dohodnuté zakázky
• Revize systémů, domén, aplikací nebo dodavatelů, které nejsou zahrnuty v písemném rozsahu

Kdy si ji vybrat

Security Baseline Review zvolte, když chcete jasný a zdokumentovaný pohled na současnou situaci, aniž byste se hned zavazovali k rozsáhlému programu. Je to užitečný první krok, když tým ví, že bezpečnost je stále obtížnější sledovat, když se změnily odpovědnosti nebo když zainteresovaná strana položí otázku, na kterou zatím nelze odpovědět podložením. Může pomoci také před spuštěním, migrací, změnou dodavatele nebo interním plánovacím cyklem. Když už přesně znáte technický problém a potřebujete rychle provést konkrétní změnu, bývá vhodnější volbou cílené posílení zabezpečení nebo specializovaná zakázka. Hodnota základní revize spočívá v tom, že další rozhodnutí bude promyšlenější.

Náš přístup

Začínáme písemným potvrzením hranic revize. Obdržíte srozumitelné zadání, které vysvětluje, co bude zkoumáno, co je mimo rozsah, jaký přístup nebo jaké podklady jsou potřeba a co obdržíte při předání. Odborník používá přístup pouze pro čtení, omezený na to, co je nezbytné ke zjištění dohodnuté konfigurace. Kde dostupné podklady nechávají otázku otevřenou, zpráva ji jasně zaznamená, aby ji bylo možné dále sledovat. Zjištění jsou formulována jako praktická pozorování: zjištěný stav konfigurace, kontext, ve kterém může být důležitý, a přiměřené doporučení nebo další otázka. Zpráva má podpořit rozhovor mezi technickými a netechnickými lidmi, nikoli vyvolávat zbytečné znepokojení. Při předání s vámi projdeme priority, aby se dokument stal pracovní referencí, a ne seznamem, se kterým se těžko pracuje.

Často kladené otázky

Související články