פתרונות / המצב
ממצא שתיעדתם ולא תיקנתם גרוע מממצא שמעולם לא מצאתם.
הדוח חזר (מביקורת, ממבחן חדירה, ממעריך של לקוח) והוא יושב בתיקייה. אף אחד לא חולק על הממצאים; פשוט אין בעלים, אין תוכנית ואין תאריך. אתם עכשיו במצב הגרוע ביותר האפשרי: יש לכם הוכחה כתובה שידעתם, ואין הוכחה שפעלתם.
ממצא מתועד ולא מטופל הוא ראיה לידיעה. בחקירת פריצה, בתביעת ביטוח, או במחלוקת עם לקוח, השאלה הראשונה שנשאלת היא מה ידעתם ומתי, ודוח עם תאריך ובלי רשומת טיפול עונה עליה נגדכם. לפני הסריקה לא ידעתם. עכשיו אתם מתועדים.
מה זה עולה לכם
- ידיעה בלי פעולה הופכת בעיה טכנית לחבות שאפשר להחזיק אתכם אחראים לה.
- מבטח הסייבר שלכם יכול לבקש את הדוח; ממצאים לא מטופלים משפיעים על הכיסוי והחידוש.
- הלקוח שהזמין את ההערכה מחכה לתוכנית טיפול, והעסקה מחכה איתו.
- הממצאים מתיישנים. חדשים מגיעים מעליהם. אף אחד לא יכול להגיד לכם איזה מהפריטים הפתוחים באמת חשוב.
מה אנחנו עושים
אנחנו ממיינים את הדוח לפי חשיפה אמיתית
דירוגי חומרה של הספק הם גנריים. אנחנו מדרגים מחדש את הממצאים מול הסביבה האמיתית שלכם (מה חשוף לאינטרנט, מה נוגע בנתוני לקוחות, מה באמת ניתן לניצול), ורוב הדוחות מתכווצים לרשימה קצרה שחשובה.
אנחנו מאמתים לפני שאתם מוציאים
חלק משמעותי מהממצאים הם false positives, מפוצים על ידי בקרה שאתם כבר מפעילים, או לא רלוונטיים. אנחנו מוכיחים אילו, כך שהנדסה לא שורפת ספרינט על רעש.
אנחנו מפיקים את תוכנית הטיפול עם בעלים ותאריכים
התוצר שמשנה את המצב המשפטי והמסחרי שלכם הוא תוכנית במעקב: ממצא, בעלים, תאריך, סטטוס. זה מה שהלקוח, המבטח והמבקר צריכים לראות.
אנחנו מובילים את התיקונים לסגירה
אנחנו עובדים עם המהנדסים שלכם, בודקים מחדש את מה שתוקן, וסוגרים פריטים עם ראיות, לא עם מישהו שמסמן כרטיס כמבוצע.
אנחנו מונעים מהדוח הבא לתפוס אתכם לא מוכנים
ניטור רציף אומר שהממצאים מגיעים כזרם קבוע שאתם מטפלים בו, לא כמסמך של 90 עמודים פעם בשנה שלאף אחד אין קיבולת לעכל.
מה צריך לעשות קודם עם רשימה ארוכה של ממצאי ביקורת או מבחן חדירה?
מיון לפני טיפול. דרגו מחדש את הממצאים מול הסביבה האמיתית שלכם ולא מול ציוני החומרה הגנריים של הספק: מה חשוף לאינטרנט, מה נוגע בנתוני לקוחות או מידע אישי, מה באמת ניתן לניצול בהינתן הבקרות שאתם כבר מפעילים. אחר כך הפיקו תוכנית טיפול כתובה עם בעלים ותאריך יעד לכל פריט. התוכנית עצמה משנה את מצבכם מול לקוחות, מבטחים ורגולטורים, כי היא ממירה ידיעה מתועדת לפעולה מתועדת.
האם ממצאים לא מטופלים הם חבות משפטית?
הם ראיה לידיעה. בחקירת פריצה, בתביעת ביטוח או במחלוקת עם לקוח, השאלה המרכזית היא מה החברה ידעה ומה עשתה בנוגע לכך. דוח עם תאריך ובלי רשומת טיפול מראה את הראשון ולא את השני. תוכנית במעקב עם בעלים, תאריכים ונימוק מבוסס-סיכון למה שנדחה מדגימה שההחלטות התקבלו במכוון, וזה מצב הניתן להגנה גם כשפריטים נשארים פתוחים.
האם אנחנו חייבים לתקן כל ממצא בביקורת אבטחה?
לא. אתם חייבים לקבל החלטה מתועדת ומבוססת-סיכון לגבי כל ממצא. חלק מתוקנים, חלק ממותנים על ידי בקרה קיימת, חלק מתקבלים עם נימוק ובעלים מוגדר בשם, וחלק הם false positives שצריך לסגור ככאלה. מה שאינו ניתן להגנה הוא שתיקה: ממצאים בלי שום החלטה רשומה נגדם בכלל.