"Testing" non lo farà.
- Valutazione del rischio
Frequenza: bi-annuale
- Risorse informative del documento (sistemi, reti, componenti dell'infrastruttura, ecc.)
- Identifica le minacce a tali risorse (vulnerabilità, vettori di attacco, ecc.)
- Esaminare e verificare in che modo i controlli e le misure di sicurezza esistenti attenuano o eliminano il rischio di tali attacchi (controlli di accesso, processi, politiche, standard di sicurezza, ecc.)
- Identifica esigenze di sicurezza, rimedi o aree di miglioramento
Quando si categorizzano le risorse, non considerare semplicemente l'importanza del servizio che fornisce all'organizzazione (ad es. mission critical), ma considerare i rischi associati a potenziali compromessi, il valore delle informazioni, l'impatto di potenziale compromesso. Un sistema potrebbe essere del tutto irrilevante per le attività quotidiane dell'organizzazione, ma potrebbe essere di grande importanza in termini di informazioni che può fornire a un utente malintenzionato, se compromesso. Abbiamo avuto uno scherzo in ufficio in ufficio - uno dei nostri impegni più importanti non andava da nessuna parte, i server web e l'infrastruttura pubblica del cliente erano tutti solidi, ma siamo riusciti a compromettere il portatile della segreteria CFO. È interessante notare che aveva una copia del rendiconto finanziario della società - giorni prima che sarebbe stato ufficialmente rilasciato. Dal momento che il cliente era una società quotata in borsa ... sai dove va.
- Controllo sicurezza
Frequenza: trimestrale
Purtroppo, molti dimenticano che la maggior parte dei problemi può essere identificata osservando le cose dall'interno, piuttosto che testare dall'esterno. Una verifica eseguita correttamente può rivelare problemi che potrebbero non essere facilmente rivelati durante un pentest (diamo un'occhiata agli account definiti per quel gestore Tomcat). Ecco alcuni punti fondamentali:
- Controlla le configurazioni (server, router, switch, firewall)
- Verifica che le norme siano applicate (ad esempio, assicurati che gli account degli ex dipendenti siano stati rimossi, guarda le password e quando sono state modificate per ultime)
- Guarda come sono configurati e fatti i backup, crittografati i dati sensibili, come viene implementato il controllo degli accessi (inclusi badge fisici e altri elementi apparentemente poco importanti)
_
- Ciclo di vita dei sistemi
Frequenza: in corso
Ogni volta che l'IT lancia un nuovo sistema, aggiunge una rete, o fornisce un nuovo servizio, o dismette una vecchia, il team infosec deve essere coinvolto per rivedere, analizzare e implementare le misure di sicurezza. Rendilo parte del processo.
- Vulnerabilità e revisione delle patch
Frequenza: settimanale
Quando ricevi quei bollettini sulla sicurezza, se contengono oggetti direttamente correlati ai prodotti / sistemi che hai installato, fai attenzione.
Inoltre, non "presumere" che tutto sia aggiornato martedì - WSUS potrebbe funzionare correttamente, ma devi eseguire alcuni controlli di base e osservare i log.
Ci sono più elementi, ma questo è già troppo lungo e non sto scrivendo un libro. Altre cose da vedere:
- Eventi di sicurezza, rapporti sugli incidenti e risposta agli incidenti
- Giorni di sensibilizzazione sulla sicurezza
- Tavola rotonda sulla sicurezza (che coinvolge l'amministratore delegato)
- ...