Så förbereder ni ett godkänt säkerhetstestuppdrag

Vad det är

Förberedelse är en övning i styrning och samordning. Den sammanför inventeringen av domäner, IP-adresser, applikationer, miljöer, konton, leverantörer, underleverantörer och ägarskap med de avsedda målen och förväntningarna på rapporteringen. En välförberedd uppdragsbeskrivning anger tillåtna metoder på en övergripande nivå, förbjudna åtgärder, lämplighet för produktion respektive icke-produktion, spärrperioder, testfönster, säkra driftgränser, övervakningskontakter, eskaleringskontakter, kommunikationsregler, omedelbara stoppvillkor, hantering av evidens, dataminimering och undantagna känsliga miljöer. Att äga ett företag ger inte automatiskt mandat att testa varje anställd, kund, leverantör, plattform, hostat konto eller tredjepartstjänst.

Vem det är för

Den här förberedelseguiden är användbar för team som:

• Behöver samordna ägare inom verksamhet, teknik, leverantörer, säkerhet och underleverantörer innan de begär en bedömning
• Har kundinriktade system, hostade tjänster, molnkonton eller leverantörer som väcker frågor om tillstånd och beroenden
• Vill ha en mer beslutsfärdig omfattning i stället för en vag begäran om att ”testa allt”
• Behöver fastställa praktiska förväntningar på säkerhet, kommunikation, evidens och rapportering före ett godkänt uppdrag

Vad det hjälper till att klargöra

Förberedelseprocessen hjälper till att fastställa:

• Vem som kan godkänna arbetet, vem som äger varje mål och vems skriftliga tillstånd eller underrättelse som fortfarande kan behövas
• Vilka domäner, IP-adresser, applikationer, miljöer, konton, leverantörer, underleverantörer och känsliga system som ingår eller är undantagna
• Vilka mål och frågor om framgång som har betydelse, med säkra metoder och realistiska förväntningar
• Hur testfönster, spärrperioder, gränser, kontakter, stoppvillkor, evidens och överlämning ska fungera

Vad ingår

• En checklista för verksamhetsägare och tekniska ägare, skriftligt mandat, inventering av mål, samordning med leverantörer och underleverantörer samt tillstånd från tredje part
• Vägledning om lämplighet för produktion/icke-produktion, mål, gränser, förbjudna åtgärder, spärrperioder, fönster, övervakning, eskalering, kommunikation och stoppvillkor
• Frågor om hantering av evidens och dataminimering, inklusive känsliga system och undantagna miljöer
• En praktisk översikt över förväntningar på överlämning och rapportering efter godkänt arbete

Vad som inte ingår

• Steg för utnyttjande, instruktioner för trafikgenerering, vägledning för att kringgå skydd, destruktiva tekniker eller operativa attacktaktiker
• Juridisk rådgivning eller ett påstående om att mandat, avtal, lagar eller leverantörer tillåter ett visst test
• Försäkringar om att förberedelse eliminerar störningar, risker eller operativ påverkan
• Antaganden om att ägarskap av verksamheten ger tillstånd över system som tillhör leverantörer, kunder, anställda, plattformar eller hostingtjänster

När det passar att välja den

Använd den här guiden när en bedömning övervägs och ägarskapet eller omfattningen behöver bearbetas innan en leverantör säkert kan definiera den. Den är värdefull före en applikationsgranskning, kontrollerat lastarbete, test av motståndskraft eller en målstyrd övning. Den fungerar tillsammans med skriftligt mandat, godkännande från leverantörer, avtalsgranskning och kvalificerad juridisk rådgivning där sådant behövs. Om organisationen inte kan identifiera ägare, system eller det beslut den behöver få besvarat bör dessa grunder lösas innan någon aktivitet schemaläggs.

Vår strategi

Behandla omfattningen som ett levande tillståndsunderlag snarare än en teknisk önskelista. Börja med ägare och inventering av mål; skilj sedan de tillgångar ni kontrollerar från dem som drivs av en leverantör eller underleverantör. Kom överens om frågan, den säkra gränsen, övervakningsupplägget, kontakterna och villkoren för avbrott innan datum väljs. Håll insamlingen av evidens proportionerlig och minimera åtkomsten till känslig information. Kommunicera ändringar snabbt om ett mål, ett leverantörsvillkor eller en spärrperiod i verksamheten ändras. Vid överlämningen kan ni förvänta er en rapport som skiljer mellan godkänd omfattning, observationer, begränsningar och uppföljning. Innan aktiviteten börjar bör ni be varje ägare att skriftligen bekräfta den aktuella inventeringen och eskaleringsvägen. En sen ändring av ett mål, en leverantör, ett konto, en miljö eller en verksamhetsperiod bör behandlas som en ändring av omfattningen, inte som ett informellt undantag. Det håller den godkända gränsen begriplig för såväl driftteam som tekniska intressenter och minskar förvirringen om vem som får pausa arbetet om förhållandena ändras. Förväntningarna på rapporteringen bör överenskommas lika noggrant som målen. Bestäm vem som behöver en sammanfattning för ledningen, vem som behöver teknisk evidens, hur känsligt material ska delas, vilka observationer som kräver snabb kontakt och vem som kan ta emot en överlämning. Anta inte att varje intressent behöver samma åtkomstnivå. För en logg över underrättelser till leverantörer, referenser till godkännanden och ändringar av fönstret så att slutrapporten korrekt kan beskriva de förhållanden under vilka det godkända arbetet genomfördes. Förberedelsen bör avslutas med en kort bekräftelse av att alla namngivna ägare förstår vad som ingår, vad som är undantaget och hur en farhåga ska eskaleras. Den slutliga omfattningen bör tydligt redovisa eventuell osäkerhet, så att ingen deltagare misstar ett planeringsantagande för ett tillstånd. Den bör också ange vilken information som medvetet hålls tillbaka eftersom den inte behövs för den inledande avgränsningen eller hör hemma i en mer begränsad kanal. Den gemensamma förståelsen är ofta mer värdefull än att lägga till ännu ett mål i ett redan oklart test. Kontrollera före uppdraget att kontaktlistan fungerar under det planerade fönstret och att verksamhetens team vet vad ett uppehåll eller ett stoppvillkor innebär. En enkel kommunikationsövning kan avslöja motstridiga förväntningar på tillgänglighet, eskalering eller ägarskap för evidens. Den hjälper till att förhindra att ett rutinmässigt samordningsproblem misstas för ett tillstånd att fortsätta utanför den överenskomna gränsen.

Vanliga frågor

Relaterade artiklar