Hva er en Security Baseline Review?

Hva det er

Gjennomgangen ser på kontrollene virksomheten allerede har, og sammenligner de avtalte områdene med en konsekvent sikkerhetsmodell. Omfanget bekreftes skriftlig før arbeidet starter. Avhengig av valgt tjeneste kan dette omfatte autentiseringsinnstillinger, tilgangsrettigheter, kontogjenoppretting, datahåndtering, tredjepartsintegrasjoner, oppdateringsstatus og grunnleggende driftsrutiner rundt systemene i omfanget. Arbeidet er utformet for å undersøke konfigurasjon og dokumentasjon, ikke for å gå gjennom kundedata i produksjon eller forstyrre normal drift. Dere mottar en strukturert rapport som forklarer hva som ble observert, hvorfor det har betydning i sammenhengen, og hva et fornuftig neste steg kan være. Funnene er organisert slik at beslutningstakere ser forskjellen på en umiddelbar prioritet, et punkt som bør planlegges, og et forhold som krever et eget omfang eller spesialistbistand. Miljøet deres forblir slik teamet deres har konfigurert det gjennom hele vurderingen; eventuelle endringer bestemmer dere selv i etterkant.

Hvem det er for

En Security Baseline Review passer for virksomheter som:

• Driver digitale produkter eller tjenester og ennå ikke har fått en formell gjennomgang av sikkerhetskonfigurasjonen
• Nylig har byttet ansatte, systemer, hostingløsning eller tredjepartsleverandører og vil kontrollere at ansvar og tilganger ikke har glidd ut
• Forbereder et mer omfattende sikkerhetsprogram og trenger et dokumentert utgangspunkt før de velger neste tjeneste
• Må svare gjennomtenkt på et spørsmål fra en revisor, partner, kunde, et styremedlem eller et forsikringsselskap uten å overdrive dagens situasjon

Hva det hjelper med å klarlegge

En baseline-gjennomgang bidrar til å avklare:

• Hvilke avtalte kontroller som ser ut til å være på plass, og hvor dokumentasjonen er mangelfull eller konfigurasjonen trenger nærmere oppfølging
• Hvor tilgangsrettigheter, delte kontoer eller eldre innstillinger kanskje ikke lenger samsvarer med måten virksomheten fungerer på i dag
• Hvilke tredjepartstilkoblinger og avhengigheter som trenger en tydeligere eier, et oppfølgingsspørsmål eller en egen teknisk gjennomgang
• Hva som bør håndteres først, hva som bør overvåkes, og hva som bør drøftes som et eget avgrenset arbeid

Hva er inkludert

• Skriftlig bekreftelse av omfanget før arbeidet starter, inkludert systemene og dokumentasjonskildene som skal gjennomgås
• Fjerngjennomgang av avtalte konfigurasjonsområder og støtteinformasjon fra teamet deres
• En strukturert funnrapport med en konsekvent alvorlighetsmodell og tydelig beslutningsgrunnlag
• Utbedringsnotater på klart språk for hver observasjon, inkludert hvor en egen eier eller tjeneste kan være nødvendig
• Et ledersammendrag som kan deles internt uten å være avhengig av uforklarte tekniske begreper
• Én oppfølgingssamtale for å gå gjennom rapporten, prioriteringene og rimelige neste steg

Hva er ikke inkludert

• Aktiv utnyttelse, penetrasjonstesting eller forsøk på å omgå kontroller
• Samsvarssertifisering, uttalelser fra regulatorisk revisjon eller en erklæring om at virksomheten oppfyller alle gjeldende krav
• Konfigurasjonsendringer, kodeendringer eller utbedringsarbeid i miljøet deres under selve gjennomgangen
• Løpende overvåking, håndtering av varsler eller ny testing etter at det avtalte oppdraget er avsluttet
• Gjennomgang av systemer, domener, applikasjoner eller leverandører som ikke inngår i det skriftlige omfanget

Når skal den velges

Velg en Security Baseline Review når dere ønsker et tydelig, dokumentert bilde av dagens situasjon uten å forplikte dere umiddelbart til et bredt program. Den er et nyttig første steg når et team vet at sikkerheten har blitt vanskeligere å holde oversikt over, når ansvarsområder har endret seg, eller når en interessent stiller et spørsmål som ennå ikke kan besvares med dokumentasjon. Den kan også være nyttig før en lansering, en migrering, et leverandørbytte eller en intern planleggingssyklus. Når dere allerede kjenner det konkrete tekniske problemet og trenger en definert endring gjennomført raskt, passer et målrettet herdings- eller spesialistoppdrag vanligvis bedre. Verdien av baselinen ligger i at den gjør neste beslutning mer gjennomtenkt.

Vår tilnærming

Vi begynner med å bekrefte avgrensningen av gjennomgangen skriftlig. Dere mottar en kortfattet beskrivelse på klart språk som forklarer hva som skal undersøkes, hva som faller utenfor omfanget, hvilken tilgang eller dokumentasjon som trengs, og hva dere mottar ved overleveringen. Fagpersonen bruker lesetilgang, begrenset til det som kreves for å observere den avtalte konfigurasjonen. Der tilgjengelig dokumentasjon lar et spørsmål stå åpent, registrerer rapporten det tydelig slik at det kan følges opp. Funnene skrives som praktiske observasjoner: konfigurasjonstilstanden som ble sett, sammenhengen den kan ha betydning i, og en forholdsmessig anbefaling eller et neste spørsmål. Rapporten skal støtte en samtale mellom tekniske og ikke-tekniske personer, ikke skape unødvendig uro. Ved overleveringen går vi gjennom prioriteringene sammen med dere, slik at dokumentet kan bli et arbeidsverktøy og ikke en liste som er vanskelig å handle ut fra.

Ofte stilte spørsmål

Beslektede artikler