Vad är en Security Baseline Review?

Vad det är

Granskningen tittar på de kontroller som ert företag redan har på plats och jämför de överenskomna områdena med en konsekvent säkerhetsmodell. Omfattningen bekräftas skriftligt innan arbetet börjar. Beroende på vald tjänst kan detta omfatta autentiseringsinställningar, behörigheter, kontoåterställning, datahantering, tredjepartsintegrationer, uppdateringsstatus och grundläggande driftrutiner kring de system som ingår. Arbetet är utformat för att granska konfiguration och underlag, inte för att gå igenom kunddata i produktion eller störa den normala driften. Ni får en strukturerad rapport som förklarar vad som observerades, varför det spelar roll i sitt sammanhang och vad ett rimligt nästa steg kan vara. Fynden är ordnade så att beslutsfattare kan se skillnaden mellan en omedelbar prioritet, en punkt att planera in och en fråga som kräver en separat omfattning eller specialistkompetens. Er miljö förblir som ert team har konfigurerat den under hela bedömningen; eventuella ändringar beslutar ni om efteråt.

Vem det är för

En Security Baseline Review passar företag som:

• Driver digitala produkter eller tjänster och ännu inte har låtit granska sin säkerhetskonfiguration formellt
• Nyligen har bytt personal, system, hosting eller tredjepartsleverantörer och vill kontrollera att ansvar och åtkomst inte har glidit isär
• Förbereder ett mer omfattande säkerhetsprogram och behöver en dokumenterad utgångspunkt innan nästa tjänst väljs
• Behöver besvara en fråga från en revisor, partner, kund, styrelseledamot eller försäkringsgivare på ett genomtänkt sätt utan att överdriva sin nuvarande position

Vad det hjälper till att klargöra

En baslinjegranskning hjälper till att klargöra:

• Vilka överenskomna kontroller som verkar finnas på plats och var underlaget är ofullständigt eller konfigurationen behöver granskas närmare
• Var behörigheter, delade konton eller äldre inställningar kanske inte längre stämmer med hur företaget arbetar i dag
• Vilka tredjepartsanslutningar och beroenden som behöver en tydligare ägare, en uppföljningsfråga eller en separat teknisk granskning
• Vad som bör åtgärdas först, vad som bör bevakas och vad som bör diskuteras som ett separat avgränsat uppdrag

Vad ingår

• Skriftlig bekräftelse av omfattningen innan arbetet börjar, inklusive de system och underlag som ska granskas
• Fjärrgranskning av överenskomna konfigurationsområden och kompletterande information från ert team
• En strukturerad rapport med fynd, en konsekvent allvarlighetsmodell och tydligt beslutsunderlag
• Lättbegripliga åtgärdsanteckningar för varje observation, inklusive var en separat ägare eller tjänst kan behövas
• En ledningssammanfattning som kan delas internt utan att förlita sig på oförklarad teknisk terminologi
• Ett uppföljningssamtal för att gå igenom rapporten, prioriteringarna och rimliga nästa steg

Vad som inte ingår

• Aktiv exploatering, penetrationstestning eller försök att kringgå kontroller
• Certifiering av regelefterlevnad, revisionsutlåtanden från tillsynsperspektiv eller ett intyg om att företaget uppfyller alla tillämpliga krav
• Konfigurationsändringar, kodändringar eller åtgärdsarbete i er miljö under själva granskningen
• Löpande övervakning, hantering av larm eller omtestning efter att det överenskomna uppdraget avslutats
• Granskning av system, domäner, applikationer eller leverantörer som inte ingår i den skriftliga omfattningen

När det passar att välja den

Välj en Security Baseline Review när ni vill ha en tydlig, dokumenterad bild av nuläget utan att genast binda er vid ett brett program. Det är ett användbart första steg när ett team vet att säkerheten har blivit svårare att överblicka, när ansvarsområden har förändrats eller när en intressent ställer en fråga som ännu inte kan besvaras med belägg. Den kan också vara till hjälp inför en lansering, en migrering, ett leverantörsbyte eller en intern planeringscykel. När ni redan vet exakt vilket tekniskt problem det gäller och behöver en definierad ändring genomförd snabbt är ett fokuserat härdnings- eller specialistuppdrag oftast det bättre valet. Värdet med baslinjen är att den gör nästa beslut mer genomtänkt.

Vår strategi

Vi börjar med att bekräfta granskningens avgränsning skriftligt. Ni får en lättbegriplig beskrivning som förklarar vad som ska granskas, vad som ligger utanför omfattningen, vilken åtkomst eller vilket underlag som behövs och vad ni får vid överlämningen. Granskaren använder läsbehörighet, begränsad till det som krävs för att observera den överenskomna konfigurationen. Där tillgängligt underlag lämnar en fråga öppen anger rapporten det tydligt så att den kan följas upp. Fynden skrivs som praktiska observationer: konfigurationen som sågs, sammanhanget där den kan spela roll och en proportionerlig rekommendation eller nästa fråga. Rapporten är tänkt att stödja ett samtal mellan tekniska och icke-tekniska personer, inte att skapa onödig oro. Vid överlämningen går vi igenom prioriteringarna med er så att dokumentet kan bli ett levande arbetsunderlag i stället för en lista som är svår att agera på.

Vanliga frågor

Relaterade artiklar