Forberedelse til en autoriseret sikkerhedstest

Hvad det er

Forberedelse er en øvelse i styring og koordinering. Den samler oversigten over domæner, IP'er, applikationer, miljøer, konti, udbydere, leverandører og ejerskab med de tilsigtede mål og forventningerne til rapportering. Et velforberedt brief registrerer tilladte metoder på et overordnet niveau, forbudte handlinger, egnethed for produktion over for ikke-produktion, spærreperioder, testvindue, sikre driftsgrænser, overvågningskontakter, eskaleringskontakter, kommunikationsregler, øjeblikkelige stopbetingelser, håndtering af dokumentation, dataminimering og udelukkede følsomme miljøer. At eje en virksomhed giver ikke automatisk bemyndigelse til at teste alle medarbejdere, kunder, leverandører, platforme, hostede konti eller tredjepartstjenester.

Hvem er det for?

Denne forberedelsesguide er nyttig for teams, der:

• Skal koordinere forretnings-, tekniske, udbyder-, sikkerheds- og leverandørejere, før de anmoder om en vurdering
• Har kundevendte systemer, hostede tjenester, cloudkonti eller leverandører, der rejser spørgsmål om tilladelser og afhængigheder
• Ønsker et mere beslutningsklart omfang frem for en vag anmodning om at „teste alt“
• Skal fastlægge praktiske forventninger til sikkerhed, kommunikation, dokumentation og rapportering før en autoriseret opgave

Hvad det hjælper med at afklare

Forberedelsesprocessen hjælper med at fastlægge:

• Hvem der kan autorisere arbejdet, hvem der ejer hvert mål, og hvis skriftlige tilladelse eller underretning der stadig kan være nødvendig
• Hvilke domæner, IP'er, applikationer, miljøer, konti, udbydere, leverandører og følsomme systemer der er omfattet eller udelukket
• Hvilke mål og successpørgsmål der har betydning, med sikre metoder og realistiske forventninger
• Hvordan testvinduer, spærreperioder, grænser, kontakter, stopbetingelser, dokumentation og overdragelse skal fungere

Hvad er inkluderet

• En tjekliste for forretningsejere og tekniske ejere, skriftlig bemyndigelse, oversigt over mål, koordinering med udbydere og leverandører samt tilladelse fra tredjeparter
• Vejledning om egnethed for produktion/ikke-produktion, mål, grænser, forbudte handlinger, spærreperioder, vinduer, overvågning, eskalering, kommunikation og stopbetingelser
• Spørgsmål om håndtering af dokumentation og dataminimering, herunder følsomme systemer og udelukkede miljøer
• En praktisk skitse af forventningerne til overdragelse og rapportering efter autoriseret arbejde

Hvad er ikke inkluderet?

• Trin til udnyttelse, instruktioner i trafikgenerering, vejledning i omgåelse, destruktive teknikker eller operationelle angrebstaktikker
• Juridisk rådgivning eller en erklæring om, at bemyndigelse, kontrakter, love eller udbydere tillader en bestemt test
• Forsikring om, at forberedelse fjerner forstyrrelse, risiko eller driftsmæssig påvirkning
• Antagelser om, at ejerskab af virksomheden giver tilladelse over leverandørers, kunders, medarbejderes, platformes eller hostede systemer

Hvornår du skal vælge det

Brug denne guide, når en vurdering overvejes, og ejerskab eller omfang kræver arbejde, før en leverandør kan definere det sikkert. Den er værdifuld før en applikationsgennemgang, kontrolleret belastningsarbejde, test af modstandsdygtighed eller en målrettet øvelse. Den fungerer sammen med skriftlig bemyndigelse, godkendelse fra udbydere, kontraktgennemgang og kvalificeret juridisk rådgivning, hvor det er nødvendigt. Hvis organisationen ikke kan udpege ejere, systemer eller den beslutning, der skal besvares, så få styr på det grundlæggende, før aktivitet planlægges.

Vores tilgang

Behandl omfanget som en levende tilladelsesoversigt frem for en teknisk ønskeliste. Begynd med ejere og oversigten over mål; adskil derefter de aktiver, I selv kontrollerer, fra dem, der drives af en udbyder eller leverandør. Aftal spørgsmålet, den sikre grænse, overvågningsordninger, kontakter og stopbetingelser, før datoerne vælges. Hold indsamlingen af dokumentation forholdsmæssig, og minimer adgangen til følsomme oplysninger. Kommuniker ændringer hurtigt, hvis et mål, en betingelse fra en udbyder eller en forretningsmæssig spærreperiode ændres. Ved overdragelsen kan I forvente en rapport, der skelner mellem autoriseret omfang, observationer, begrænsninger og opfølgning. Før aktiviteten begynder, bed hver ejer om skriftligt at bekræfte den aktuelle oversigt og eskaleringsvej. En sen ændring af et mål, en udbyder, en konto, et miljø eller en forretningsperiode bør behandles som en ændring af omfanget, ikke som en uformel undtagelse. Det holder den autoriserede grænse forståelig for både driftsteams og tekniske interessenter og mindsker forvirring om, hvem der må sætte arbejdet på pause, hvis forholdene ændrer sig. Forventningerne til rapportering bør aftales lige så omhyggeligt som målene. Beslut, hvem der har brug for et ledelsesresumé, hvem der har brug for teknisk dokumentation, hvordan følsomt materiale deles, hvilke observationer der kræver hurtig kontakt, og hvem der kan acceptere en overdragelse. Antag ikke, at alle interessenter har brug for samme adgangsniveau. Før en oversigt over underretninger til udbydere, godkendelsesreferencer og ændringer af vinduet, så den endelige rapport præcist kan beskrive de forhold, det autoriserede arbejde fandt sted under. Forberedelsen bør afsluttes med en kort bekræftelse af, at alle navngivne ejere forstår, hvad der er inkluderet, hvad der er udelukket, og hvordan en bekymring eskaleres. Det endelige omfang bør tydeligt angive enhver usikkerhed, så ingen deltager forveksler en planlægningsantagelse med en tilladelse. Det bør også nævne de oplysninger, der bevidst holdes tilbage, fordi de er unødvendige for den første afgrænsning eller hører til en mere begrænset kanal. Denne fælles forståelse er ofte mere værdifuld end at tilføje endnu et mål til en allerede uklar test. Før opgaven, kontroller, at kontaktlisten fungerer i det planlagte vindue, og at forretningsteams kender betydningen af en pause- eller stopbetingelse. En enkel kommunikationsøvelse kan afsløre modstridende forventninger til tilgængelighed, eskalering eller ejerskab af dokumentation. Den hjælper med at forhindre, at et rutinemæssigt koordineringsproblem forveksles med tilladelse til at fortsætte ud over den aftalte grænse.

Ofte stillede spørgsmål

Relaterede artikler