Hvad er en Security Baseline Review?

Hvad det er

Gennemgangen ser på de kontroller, jeres virksomhed allerede har på plads, og sammenholder de aftalte områder med en ensartet sikkerhedsmodel. Omfanget bekræftes skriftligt, før arbejdet begynder. Afhængigt af den valgte ydelse kan det omfatte godkendelsesindstillinger, adgangsrettigheder, kontogendannelse, datahåndteringspraksis, tredjepartsintegrationer, opdateringsstatus og grundlæggende driftsforhold omkring systemerne i omfanget. Arbejdet er tilrettelagt til at undersøge konfiguration og dokumentation, ikke til at gennemgå kunders produktionsdata eller forstyrre den normale drift. I modtager en struktureret rapport, der forklarer, hvad der blev observeret, hvorfor det har betydning i sammenhængen, og hvad et fornuftigt næste skridt kunne være. Fundene er ordnet, så beslutningstagere kan se forskellen mellem en umiddelbar prioritet, et punkt, der skal planlægges, og et forhold, der kræver et separat omfang eller specialistbistand. Jeres miljø forbliver, som jeres team har konfigureret det, under hele vurderingen; eventuelle ændringer beslutter I selv bagefter.

Hvem er det for?

En Security Baseline Review passer til virksomheder, der:

• Driver digitale produkter eller tjenester og endnu ikke har fået foretaget en formel gennemgang af deres sikkerhedskonfiguration
• For nylig har skiftet medarbejdere, systemer, hostingløsninger eller tredjepartsleverandører og vil kontrollere, at ansvar og adgang ikke har flyttet sig
• Forbereder et mere detaljeret sikkerhedsprogram og har brug for et dokumenteret udgangspunkt, før den næste ydelse vælges
• Skal svare gennemtænkt på et spørgsmål fra en revisor, partner, kunde, et bestyrelsesmedlem eller en forsikringsgiver uden at overdrive deres nuværende situation

Hvad det hjælper med at afklare

En baseline-gennemgang hjælper med at afklare:

• Hvilke aftalte kontroller der ser ud til at være på plads, og hvor dokumentationen er ufuldstændig, eller konfigurationen kræver nærmere opmærksomhed
• Hvor adgangsrettigheder, delte konti eller historiske indstillinger måske ikke længere svarer til den måde, virksomheden fungerer på i dag
• Hvilke tredjepartsforbindelser og afhængigheder der fortjener en tydeligere ejer, et opfølgende spørgsmål eller en separat teknisk gennemgang
• Hvad der skal håndteres først, hvad der skal overvåges, og hvad der bør drøftes som en separat afgrænset opgave

Hvad er inkluderet

• Skriftlig bekræftelse af omfanget, før arbejdet begynder, herunder de systemer og dokumentationskilder, der skal gennemgås
• Fjerngennemgang af aftalte konfigurationsområder og understøttende oplysninger leveret af jeres team
• En struktureret rapport over fund med en ensartet alvorlighedsmodel og tydelig beslutningskontekst
• Udbedringsnoter i et klart sprog for hver observation, herunder hvor der kan være behov for en separat ejer eller ydelse
• Et ledelsesresumé, der kan deles internt uden at være afhængigt af uforklaret teknisk terminologi
• En opfølgende samtale om rapporten, prioriteterne og rimelige næste skridt

Hvad er ikke inkluderet?

• Aktiv udnyttelse, penetrationstest eller forsøg på at omgå kontroller
• Compliance-certificering, udtalelser fra regulatoriske revisioner eller en erklæring om, at virksomheden opfylder alle gældende krav
• Konfigurationsændringer, kodeændringer eller udbedringsarbejde i jeres miljø under selve gennemgangen
• Løbende overvågning, håndtering af alarmer eller gentest efter afslutningen af den aftalte opgave
• Gennemgang af systemer, domæner, applikationer eller leverandører, der ikke indgår i det skriftlige omfang

Hvornår du skal vælge det

Vælg en Security Baseline Review, når I ønsker et klart, dokumenteret overblik over den aktuelle situation uden straks at forpligte jer til et bredt program. Det er et nyttigt første skridt, når et team ved, at sikkerheden er blevet sværere at holde styr på, når ansvarsområder har ændret sig, eller når en interessent stiller et spørgsmål, der endnu ikke kan besvares med dokumentation. Den kan også hjælpe før en lancering, en migrering, et leverandørskifte eller en intern planlægningscyklus. Når I allerede kender det præcise tekniske problem og har brug for, at en defineret ændring gennemføres hurtigt, er en fokuseret hærdning eller en specialistopgave som regel det bedre valg. Værdien af baselinen ligger i, at den gør den næste beslutning mere velovervejet.

Vores tilgang

Vi begynder med at bekræfte gennemgangens afgrænsning skriftligt. I modtager en brief i et klart sprog, der forklarer, hvad der undersøges, hvad der ligger uden for omfanget, hvilken adgang eller dokumentation der er brug for, og hvad I modtager ved overdragelsen. Konsulenten bruger læseadgang, begrænset til det, der kræves for at observere den aftalte konfiguration. Hvor den tilgængelige dokumentation efterlader et spørgsmål åbent, registrerer rapporten det tydeligt, så det kan følges op. Fundene formuleres som praktiske observationer: den konfigurationstilstand, der blev set, den sammenhæng, hvori den kan have betydning, og en proportional anbefaling eller et næste spørgsmål. Rapporten skal understøtte en samtale mellem tekniske og ikke-tekniske personer, ikke skabe unødig bekymring. Ved overdragelsen gennemgår vi prioriteterne med jer, så dokumentet kan blive et arbejdsredskab frem for en liste, der er svær at handle på.

Ofte stillede spørgsmål

Relaterede artikler