Säkerhetsgranskning, härdning eller kontrollerat test: hur välja?

Vad det är

En Security Baseline Review passar för att förstå ett överenskommet nuläge; Website Hardening omvandlar bekräftade konfigurationsprioriteringar till kontrollerade ändringar; Application Security Review behandlar utvalda säkerhetsfrågor i en applikation. Application Load & Stress Testing observerar överenskomna användningsscenarier, medan DDoS Resilience Testing undersöker kontrollerade förhållanden för motståndskraft med gränser för leverantörer och säkerhet. En Red Team Exercise är en målstyrd, godkänd lärandeövning som styrs av insatsregler (rules of engagement). Det här är inte utbytbara etiketter. En rapport med iakttagelser, en konfigurationsändring, en prestandaobservation, en observation om motståndskraft och en organisatorisk lärandeövning besvarar olika frågor hos köparen. Mer ingripande tester är inte automatiskt mer användbara.

Vem det är för

Jämförelsen hjälper köpare som:

• Har en farhåga kring säkerhet eller tillförlitlighet men ännu inte vet om de behöver evidens, implementering, validering eller en bredare lärandeövning
• Behöver förstå om produktionssystem, tredjepartsleverantörer, skriftligt mandat eller säkerhetsgränser påverkar de tillgängliga alternativen
• Vill jämföra resultat och gränser innan de ber en leverantör att avgränsa ett arbete
• Inser att en granskning, en härdningsändring och ett kontrollerat test kan följa på varandra snarare än utesluta varandra

Vad det hjälper till att klargöra

Använd jämförelsen för att klargöra:

• Om problemet är känt eller osäkert, och om nästa steg ska ta fram evidens eller genomföra en överenskommen ändring
• Om den berörda tillgången är en webbplats, en applikation, en konfiguration, en kundresa, en tjänst under förväntad last eller en väg för motståndskraft
• Om ett uppdrag kräver skriftligt mandat, samtycke från leverantörer, spärrperioder, kontakter eller omedelbara stoppvillkor
• Vilket resultat som är användbart nu: en rapport med iakttagelser, en ändringslogg, en prestandaobservation, en observation om motståndskraft eller en beslutsfärdig genomgång

Vad ingår

• En jämförelse på klarspråk av grundläggande säkerhetsgranskning, härdning av webbplats, applikationsgranskning, kontrollerade lasttester, test av DDoS-motståndskraft och red team-övningar
• Beslutsfaktorer som omfattar osäkerhet, evidens kontra implementering, påverkan på produktion, mandat, tredje parter och förväntade resultat
• Vägledning om att använda tjänster i följd där en dokumenterad granskning naturligt ger underlag för senare kontrollerat arbete
• En påminnelse om att förtydligande av omfattningen eller en kartläggning kan vara det rimligaste första steget när frågan ännu inte är stabil

Vad som inte ingår

• En generell tjänsterekommendation, en certifiering eller ett löfte om att något alternativ tar bort all risk
• Råd om att genomföra kontrollerade tester utan bekräftat mandat, säkra gränser, leverantörskrav och omfattning
• Operativa testtaktiker, instruktioner för utnyttjande, metoder för störning eller vägledning för att kringgå skydd
• Ett påstående om att en granskning, ett härdningsuppdrag eller en övning utlovar efterlevnad, tillgänglighet, prestanda, motståndskraft eller förhindrade intrång

När det passar att välja den

Läs den här guiden när ett team jämför alternativ innan det har valt ett uppdrag. Den är särskilt användbar när en intressent ber om ”testning” medan en annan ber om en konfigurationsändring eller en skriftlig bedömning. Om systemen, det önskade beslutet, ägarskapet eller den tillgängliga evidensen är oklara bör omfattningen förtydligas innan ett val görs. Ett kort samtal kan visa om köparen egentligen efterfrågar en granskning av nuläget, en kontrollerad implementering, en riktad fråga om en applikation, en kapacitetsobservation, en bedömning av motståndskraft eller en målstyrd övning.

Vår strategi

Börja med affärsbeslutet och avgränsa sedan den tekniska frågan. Lista de berörda systemen, vad som redan är känt, vem som äger dem, om produktion kan påverkas och hur ett användbart resultat skulle se ut. Identifiera därefter behörigheter och tredje parter innan ni diskuterar något kontrollerat test. En grundläggande granskning kan ta fram evidensen för härdning; härdning kan föregå ett senare test; en lastobservation kan blottlägga en infrastrukturfråga; en red team-övning kan vara användbar först när mål och styrning är mogna. Poängen är inte att skapa en fast trappa. Det handlar om att välja ett proportionerligt, godkänt nästa steg och låta senare arbete avgränsas separat. En köpare kan också dokumentera de praktiska begränsningar som formar valet: tillgänglig evidens, systemens ålder, leverantörsvillkor, åtaganden mot kunder, troligt underhållsfönster och om en ändring kan testas säkert utanför produktion. Dessa begränsningar väljer inte en tjänst i sig, men de gör en senare omfattning mer sanningsenlig. Jämförelsen ger mest när teamet är villigt att låta en fråga vara öppen i stället för att tvinga in den under fel uppdragsetikett. Förbered före kontakten en kortfattad anteckning om beslutsdatum, berörda tillgångar, verksamhetsägare, teknisk ägare, väsentliga leverantörer, pågående ändringsarbete och kända åtkomstbegränsningar. Dessa uppgifter är inget bevis på ett problem; de är den kontext som gör att en leverantör kan säga var en standardomfattning passar och var ett antagande behöver kontrolleras. De gör det också lättare att undvika att be om ett brett test bara för att frågan ännu inte har formulerats. Om det finns en tidsgräns, förklara om den är kommersiell, avtalsmässig, operativ eller regulatorisk, och vad som skulle göra beslutet användbart. Det ger alla utrymme att skilja ett önskat utfall från den evidens som faktiskt kan samlas in inom en ansvarsfull omfattning.

Vanliga frågor

Relaterade artiklar