Mitä se tarkastelee
Haavoittuvuusarviointi etsii sovituista järjestelmistä tunnettuja ja mahdollisia heikkouksia, kuten puuttuvia päivityksiä, epävarmoja asetuksia ja avoimia palveluita. Havainnot järjestetään tärkeysjärjestykseen, jotta tiimisi voi päättää, mitä tutkitaan ja korjataan ensin. Heikkouden tunnistaminen on eri asia kuin sen hyödynnettävyyden todistaminen. Arviointi näyttää, mihin kannattaa katsoa, ja tunkeutumistestaus voi sen jälkeen varmistaa tärkeimmät havainnot.
Kysymykset, joihin se auttaa vastaamaan
- Mitkä järjestelmät ja palvelut sisältävät tunnettuja heikkouksia?
- Mitkä havainnot kannattaa korjata ensin, kun otetaan huomioon todennäköinen vaikutus?
- Vastaavatko asetukset ja päivitystasot sitä, mitä olemme suunnitelleet?
Milloin se on hyödyllinen
- Lähtötason luominen ennen merkittävää muutosta tai nopean kasvun jälkeen.
- Priorisoidun korjaussuunnitelman laatiminen sekalaiselle ympäristölle.
- Valmistautuminen ISO 27001-, NIS2- tai asiakasvarmennuskysymyksiin, jotka koskevat heikkouksien tunnistamista.
Miten toimeksianto rajataan
- Kattavuus määritellään kartoituksessa: järjestelmät, verkot, sovellukset ja rajaukset sovitaan kirjallisesti.
- Automaattista tunnistusta voidaan täydentää manuaalisella tarkastelulla sovitusti, jotta väärät hälytykset vähenevät ja konteksti huomioidaan.
- Tunnistaminen on eri asia kuin hyödynnettävyyden todistaminen. Todentaminen on erillinen vaihe, joka sovitaan tarvittaessa.
- Havainnot tulkitaan ympäristönne kontekstissa, joten luokitukset tarkistetaan suhteessa järjestelmiinne ja riskeihinne.
Tyypilliset tuotokset
Nämä ovat tyypillisiä tuotoksia. Varsinainen laajuus ja tuotokset sovitaan jokaisessa toimeksiannossa erikseen.
- Arvioitu kohdealue ja kattavuus, mukaan lukien rajaukset.
- Priorisoidut havainnot ja niitä tukevat huomiot.
- Suositellut korjaus- ja seurantatoimet.
Olennainen varmennuksen konteksti
Tekniset havainnot voivat ohjata riskien käsittelyä, tietoturvaparannuksia ja varmennusnäyttöä. Sopiva arviointi riippuu velvoitteistanne, ympäristöstänne ja tavoitteistanne.
Testaus tukee laajempaa varmennusohjelmaa. Se ei yksinään osoita vaatimustenmukaisuutta tai sertifiointia.