Security Baseline Review là gì?

Đây là gì

Đánh giá xem xét các biện pháp kiểm soát mà doanh nghiệp của bạn đã có và so sánh các khu vực đã thống nhất với một mô hình bảo mật nhất quán. Phạm vi được xác nhận bằng văn bản trước khi bắt đầu công việc. Tùy theo dịch vụ được chọn, phạm vi có thể bao gồm thiết lập xác thực, đặc quyền truy cập, khôi phục tài khoản, thực hành xử lý dữ liệu, tích hợp bên thứ ba, tình trạng cập nhật và các sắp xếp vận hành cơ bản quanh các hệ thống trong phạm vi. Công việc được thiết kế để xem xét cấu hình và bằng chứng, không nhằm kiểm tra dữ liệu khách hàng trong môi trường production hay làm gián đoạn hoạt động bình thường. Bạn nhận được một báo cáo có cấu trúc giải thích những gì đã được quan sát, vì sao điều đó quan trọng trong bối cảnh của bạn, và bước tiếp theo hợp lý có thể là gì. Các phát hiện được sắp xếp để người ra quyết định thấy rõ sự khác biệt giữa ưu tiên cần xử lý ngay, hạng mục cần lên kế hoạch và vấn đề cần một phạm vi riêng hoặc ý kiến chuyên môn. Môi trường của bạn được giữ nguyên như đội ngũ của bạn đã cấu hình trong suốt quá trình đánh giá; mọi thay đổi do bạn quyết định sau đó.

Dành cho ai

Security Baseline Review phù hợp với các doanh nghiệp:

• Vận hành sản phẩm hoặc dịch vụ số và chưa từng có một đánh giá chính thức về cấu hình bảo mật
• Gần đây đã thay đổi nhân sự, hệ thống, phương án hosting hoặc nhà cung cấp bên thứ ba và muốn kiểm tra rằng trách nhiệm và quyền truy cập không bị lệch đi
• Đang chuẩn bị cho một chương trình bảo mật chi tiết hơn và cần một điểm xuất phát được ghi nhận trước khi chọn dịch vụ tiếp theo
• Cần trả lời thận trọng một câu hỏi từ kiểm toán viên, đối tác, khách hàng, thành viên hội đồng quản trị hoặc công ty bảo hiểm mà không phóng đại tình trạng hiện tại

Giúp làm rõ điều gì

Một đánh giá baseline giúp làm rõ:

• Những biện pháp kiểm soát đã thống nhất nào có vẻ đã được triển khai, và ở đâu bằng chứng còn thiếu hoặc cấu hình cần được xem xét kỹ hơn
• Ở đâu đặc quyền truy cập, tài khoản dùng chung hoặc các thiết lập cũ có thể không còn phù hợp với cách doanh nghiệp vận hành hiện nay
• Những kết nối và phụ thuộc bên thứ ba nào cần một người phụ trách rõ ràng hơn, một câu hỏi tiếp theo hoặc một đánh giá kỹ thuật riêng
• Điều gì cần xử lý trước, điều gì cần theo dõi, và điều gì nên được thảo luận như một hạng mục công việc có phạm vi riêng

Những gì được bao gồm

• Xác nhận phạm vi bằng văn bản trước khi bắt đầu, bao gồm các hệ thống và nguồn bằng chứng sẽ được xem xét
• Đánh giá từ xa các khu vực cấu hình đã thống nhất và thông tin hỗ trợ do đội ngũ của bạn cung cấp
• Báo cáo phát hiện có cấu trúc với mô hình mức độ nghiêm trọng nhất quán và bối cảnh ra quyết định rõ ràng
• Ghi chú khắc phục bằng ngôn ngữ dễ hiểu cho từng quan sát, bao gồm cả trường hợp cần một người phụ trách hoặc dịch vụ riêng
• Bản tóm tắt dành cho ban quản lý có thể chia sẻ nội bộ mà không phụ thuộc vào thuật ngữ kỹ thuật không được giải thích
• Một buổi trao đổi tiếp theo để thảo luận về báo cáo, các ưu tiên và các bước tiếp theo hợp lý

Những gì không được bao gồm

• Khai thác chủ động, kiểm thử xâm nhập hoặc các nỗ lực vượt qua biện pháp kiểm soát
• Chứng nhận tuân thủ, ý kiến kiểm toán theo quy định, hoặc tuyên bố rằng doanh nghiệp đáp ứng mọi yêu cầu áp dụng
• Thay đổi cấu hình, thay đổi mã nguồn hoặc công việc khắc phục trong môi trường của bạn trong chính quá trình đánh giá
• Giám sát liên tục, phản hồi cảnh báo hoặc kiểm thử lại sau khi hợp đồng đã thống nhất kết thúc
• Đánh giá các hệ thống, tên miền, ứng dụng hoặc nhà cung cấp không nằm trong phạm vi bằng văn bản

Khi nào nên chọn

Hãy chọn Security Baseline Review khi bạn muốn có cái nhìn rõ ràng, được ghi nhận bằng văn bản về tình hình hiện tại mà chưa cần cam kết ngay với một chương trình rộng. Đây là bước đầu tiên hữu ích khi đội ngũ biết rằng việc theo dõi bảo mật đã trở nên khó khăn hơn, khi trách nhiệm đã thay đổi, hoặc khi một bên liên quan đặt ra câu hỏi mà hiện chưa thể trả lời bằng bằng chứng. Đánh giá cũng có thể hữu ích trước một đợt ra mắt, di chuyển hệ thống, chuyển đổi nhà cung cấp hoặc chu kỳ lập kế hoạch nội bộ. Khi bạn đã biết chính xác vấn đề kỹ thuật và cần áp dụng nhanh một thay đổi đã xác định, một hợp đồng hardening tập trung hoặc chuyên sâu thường là lựa chọn phù hợp hơn. Giá trị của baseline nằm ở khả năng giúp quyết định tiếp theo được cân nhắc kỹ hơn.

Phương pháp của chúng tôi

Chúng tôi bắt đầu bằng việc xác nhận ranh giới đánh giá bằng văn bản. Bạn nhận được một bản mô tả bằng ngôn ngữ dễ hiểu, giải thích những gì sẽ được xem xét, những gì nằm ngoài phạm vi, quyền truy cập hoặc bằng chứng cần thiết, và những gì bạn sẽ nhận được khi bàn giao. Chuyên gia sử dụng quyền truy cập chỉ đọc, giới hạn ở mức cần thiết để quan sát cấu hình đã thống nhất. Khi bằng chứng hiện có còn để ngỏ một câu hỏi, báo cáo sẽ ghi nhận rõ ràng để có thể theo dõi tiếp. Các phát hiện được viết dưới dạng quan sát thực tế: trạng thái cấu hình đã thấy, bối cảnh mà nó có thể quan trọng, và một khuyến nghị tương xứng hoặc câu hỏi tiếp theo. Báo cáo nhằm hỗ trợ cuộc trao đổi giữa người làm kỹ thuật và người không chuyên kỹ thuật, không nhằm gây lo ngại không cần thiết. Khi bàn giao, chúng tôi cùng bạn xem lại các ưu tiên để tài liệu trở thành một tham chiếu làm việc thay vì một danh sách khó hành động.

Câu hỏi thường gặp

Bài viết liên quan