Modo di categorizzazione e organizzazione dei tipi di problemi e aree di sicurezza

Question

Modo di categorizzazione e organizzazione dei tipi di problemi e aree di sicurezza

#1 da (1 voti)
#2 da (0 voti)

4

Recentemente ho fatto una revisione della sicurezza e ho scoperto circa 200 aree per migliorare la copertura di una gamma molto ampia di argomenti; Alcuni punti sono processi, alcuni sono config, alcuni sono nuovi sistemi da implementare. Tutto da SAST, architettura a quali codici utilizzare.

Al momento è un gran casino di problemi. Ho bisogno di un modo per organizzarli in categorie coerenti per dare un senso, raggruppare diverse questioni che rientrano in un argomento simile e dare la priorità a forse. Sarebbe anche utile vedere se ci sono aree che non ho considerato.

Ho cercato un modello standardizzato o un elenco informale di categorie da coprire, ma quello che ho trovato è stato molto limitato e specifico.

Ho considerato qualcosa del tipo:

Prevenzione (configurazione, SAST, DAST, WAF, DLP ecc.)
Rilevamento (SIEM, Scansione vulnerabilità, Test penna)
Risposta (rimozione malware ecc.

Il problema qui è:

Mi sento come se stessi cercando di reinventare una ruota
Questo è troppo semplicistico, specialmente per la prevenzione che può essere suddivisa in così tante categorie.

Sarei sorpreso se non ci fosse un sistema preesistente che posso usare. Solo una questione di cosa google.

theory terminology audit risk-management vulnerability-assessment

posta AirCombat 09.08.2017 - 01:01

fonte

2 risposte

Leggi altre domande sui tag theory terminology audit risk-management vulnerability-assessment

Come mitigare l'attacco di ingegneria sociale del gemello WIFI? SSLStrip2 e HSTS

score 1 · Answer 1

NIST ha due documenti che coprono le categorie e le sottocategorie di sicurezza delle informazioni.

Il framework CyberSecurity (NIST CSF - vedi link ) è il più semplice dei due, ma fornisce sicuramente quello che stai cercando per un livello elevato. Le categorie principali sono Identifica, Proteggi, Rileva, Risponde, Ripristina e ognuna di queste ha una sottocategorizzazione. Il CSF copre poco più di 100 articoli che lo rende molto accessibile.

L'altro documento è Controlli di sicurezza e privacy per i sistemi informativi e le organizzazioni federali (vedi link ). I controlli di sicurezza sono elencati nell'appendice F

Dove hai risultati che non si adattano alle suddette categorie, puoi creare la tua sezione miscellanea. Tuttavia, aderendo al NIST, almeno stai presentando i risultati utilizzando una struttura industriale riconosciuta che può essere utilizzata per vari clienti e assicurarti di parlare una lingua standardizzata.

score 0 · Answer 2

I modi di categorizzare e organizzare i tipi di problemi di sicurezza possono differire dalle persone alle persone poiché tutti lo fanno per una ragione specifica. Quindi, determina per che cosa stai facendo la categorizzazione e di conseguenza puoi organizzare i problemi di sicurezza. Può essere classificato nei seguenti modi:

Tipo di gravità del problema di sicurezza.
Repetitività di un problema di sicurezza.
Numero del sistema interessato da un problema di sicurezza.

In generale, sopra menzionati sono i modi di categorizzare e organizzare i problemi di sicurezza.