Slik forbereder dere et autorisert sikkerhetstestoppdrag

Hva det er

Forberedelse er en øvelse i styring og koordinering. Den samler oversikten over domener, IP-adresser, applikasjoner, miljøer, kontoer, tjenesteleverandører, underleverandører og eierskap med de tiltenkte målene og forventningene til rapportering. En godt forberedt oppdragsbeskrivelse registrerer tillatte metoder på et overordnet nivå, forbudte handlinger, egnethet for produksjon kontra ikke-produksjon, sperreperioder, testvindu, trygge driftsgrenser, kontaktpersoner for overvåking og eskalering, kommunikasjonsregler, umiddelbare stoppvilkår, håndtering av dokumentasjon, dataminimering og unntatte sensitive miljøer. Å eie en virksomhet gir ikke automatisk fullmakt til å teste alle ansatte, kunder, leverandører, plattformer, hostede kontoer eller tredjepartstjenester.

Hvem det er for

Denne forberedelsesveiledningen er nyttig for team som:

• Må koordinere forretnings-, teknologi-, leverandør-, sikkerhets- og underleverandøreiere før de ber om en vurdering
• Har kundevendte systemer, hostede tjenester, skykontoer eller leverandører som reiser spørsmål om tillatelser og avhengigheter
• Ønsker et mer beslutningsklart omfang i stedet for en vag forespørsel om å «teste alt»
• Må fastsette praktiske forventninger til sikkerhet, kommunikasjon, dokumentasjon og rapportering før et autorisert oppdrag

Hva det hjelper med å klarlegge

Forberedelsesprosessen hjelper med å fastslå:

• Hvem som kan autorisere arbeidet, hvem som eier hvert mål, og hvem sin skriftlige tillatelse eller varsling som fortsatt kan være nødvendig
• Hvilke domener, IP-adresser, applikasjoner, miljøer, kontoer, tjenesteleverandører, underleverandører og sensitive systemer som er innenfor omfanget eller unntatt
• Hvilke mål og suksesspørsmål som betyr noe, med trygge metoder og realistiske forventninger
• Hvordan testvinduer, sperreperioder, grenser, kontaktpersoner, stoppvilkår, dokumentasjon og overlevering skal fungere

Hva er inkludert

• En sjekkliste for forretnings- og teknologieiere, skriftlig fullmakt, måloversikt, koordinering med tjenesteleverandører og underleverandører og tillatelse fra tredjeparter
• Veiledning om egnethet for produksjon/ikke-produksjon, mål, grenser, forbudte handlinger, sperreperioder, vinduer, overvåking, eskalering, kommunikasjon og stoppvilkår
• Spørsmål om håndtering av dokumentasjon og dataminimering, inkludert sensitive systemer og unntatte miljøer
• En praktisk skisse av forventninger til overlevering og rapportering etter autorisert arbeid

Hva er ikke inkludert

• Trinn for utnyttelse, instruksjoner for trafikkgenerering, veiledning i omgåelse, destruktive teknikker eller operative angrepstaktikker
• Juridisk rådgivning eller en erklæring om at fullmakter, kontrakter, lover eller leverandører tillater en bestemt test
• Forsikring om at forberedelse fjerner forstyrrelser, risiko eller driftspåvirkning
• Antakelser om at eierskap til virksomheten gir tillatelse over systemer hos leverandører, kunder, ansatte, plattformer eller hostingtjenester

Når skal den velges

Bruk denne veiledningen når en vurdering er under overveielse og eierskap eller omfang må bearbeides før en leverandør trygt kan definere den. Den er verdifull før en applikasjonsgjennomgang, kontrollert lastarbeid, robusthetstesting eller en målstyrt øvelse. Den fungerer sammen med skriftlig fullmakt, godkjenning fra leverandører, kontraktsgjennomgang og kvalifisert juridisk rådgivning der det trengs. Hvis organisasjonen ikke kan peke ut eiere, systemer eller beslutningen den trenger svar på, bør disse grunnleggende forholdene løses før aktivitet planlegges.

Vår tilnærming

Behandle omfanget som en levende oversikt over tillatelser i stedet for en teknisk ønskeliste. Begynn med eiere og måloversikt; skill deretter ressursene dere kontrollerer, fra dem som driftes av en tjenesteleverandør eller underleverandør. Bli enige om spørsmålet, den trygge grensen, overvåkingsordningene, kontaktpersonene og stoppvilkårene før datoer velges. Hold innsamlingen av dokumentasjon forholdsmessig og minimer tilgangen til sensitiv informasjon. Kommuniser endringer raskt hvis et mål, et vilkår hos leverandøren eller en sperreperiode i virksomheten endres. Ved overlevering kan dere forvente en rapport som skiller mellom autorisert omfang, observasjoner, begrensninger og oppfølging. Før aktiviteten starter, be hver eier bekrefte den gjeldende oversikten og eskaleringsveien skriftlig. En sen endring av et mål, en leverandør, en konto, et miljø eller en forretningsperiode bør behandles som en endring i omfanget, ikke som et uformelt unntak. Slik forblir den autoriserte grensen forståelig for driftsteam så vel som for tekniske interessenter, og det blir mindre uklart hvem som kan sette arbeidet på pause hvis forholdene endres. Forventningene til rapportering bør avtales like nøye som målene. Avgjør hvem som trenger et sammendrag for ledelsen, hvem som trenger teknisk dokumentasjon, hvordan sensitivt materiale skal deles, hvilke observasjoner som krever rask kontakt, og hvem som kan akseptere en overlevering. Ikke anta at alle interessenter trenger samme tilgangsnivå. Før en oversikt over varsler til leverandører, godkjenningsreferanser og endringer i vinduet, slik at sluttrapporten nøyaktig kan beskrive forholdene det autoriserte arbeidet ble utført under. Forberedelsen bør avsluttes med en kort bekreftelse på at alle navngitte eiere forstår hva som inngår, hva som er unntatt, og hvordan en bekymring vil bli eskalert. Det endelige omfanget bør oppgi all usikkerhet tydelig, slik at ingen deltaker forveksler en planleggingsantakelse med en tillatelse. Det bør også angi informasjonen som bevisst holdes tilbake fordi den ikke er nødvendig for den første avgrensningen eller hører hjemme i en mer begrenset kanal. Denne felles forståelsen er ofte mer verdifull enn å legge enda et mål til en test som allerede er uklar. Før oppdraget, kontroller at kontaktlisten fungerer i det planlagte vinduet, og at forretningsteamene vet hva en pause eller et stoppvilkår betyr. En enkel kommunikasjonsøvelse kan avdekke motstridende forventninger om tilgjengelighet, eskalering eller eierskap til dokumentasjon. Den bidrar til å hindre at et rutinemessig koordineringsproblem blir oppfattet som en tillatelse til å fortsette utover den avtalte grensen.

Ofte stilte spørsmål

Beslektede artikler