Пробелы в управлении уязвимостями — это проблема ответственности, а не сканеров
Накопление неисправленных уязвимостей в организациях — это не следствие слабых сканеров, а результат отсутствия ясности в том, кто отвечает за активы и обладает полномочиями для их исправления. По данным Dark Reading, главный барьер на пути к сокращению бэклогов — организационный, а не технический. Проблема касается команд ИБ, ИТ и владельцев бизнес-систем.
Подробности
Современные сканеры уязвимостей достаточно хорошо выявляют проблемы — от критических RCE и уязвимостей в VPN-решениях до XSS в веб-приложениях и дефектов в API. Однако выявление — это лишь первый шаг. Дальше начинается организационная работа: определить, кому принадлежит конкретный актив, кто несёт за него ответственность и у кого есть мандат и возможности исправить найденный дефект. Именно на этом этапе большинство организаций буксует. Активы часто не задокументированы, их владельцы не назначены или уже покинули компанию, а ответственность размыта между командами ИБ, ИТ и бизнес-подразделениями. В результате уязвимость остаётся в бэклоге, даже когда о ней известно и когда для неё уже существует патч или обходное решение. Проблема усугубляется тем, что решения об исправлении часто требуют приоритизации, согласования и временных ресурсов на обслуживание — а это уже не зона ответственности команды безопасности. Без чёткого владельца актива и понимания критичности бизнес-процесса, который от него зависит, уязвимости присваивается статус «известно, но не исправлено», и она может годами оставаться открытой. Отдельный аспект — отсутствие метрик и подотчётности. Если никто не отвечает за закрытие уязвимости, некому и отчитываться за её устранение. Бэклог растёт, но у него нет «хозяина», а значит, нет и движения к его сокращению.Что делать
Для сокращения бэклогов уязвимостей необходимо сместить фокус с инструментов на процессы и ответственность: - Инвентаризация активов. Обеспечьте актуальный и полный реестр всех активов — как минимум тех, что подключены к сети или обрабатывают данные. - Назначение владельцев. У каждого актива должен быть конкретный владелец — человек или роль, — отвечающий за его состояние и исправление уязвимостей. - Наделение полномочиями. Владельцы должны располагать не только ответственностью, но и ресурсами, бюджетом и мандатом на внесение изменений. - Приоритизация на основе риска. Связывайте уязвимости с бизнес-критичностью активов и потенциальным влиянием, а не только с оценкой CVSS. - Метрики и подотчётность. Отслеживайте, кто и в какие сроки закрывает уязвимости, и делайте эти показатели видимыми для руководства. Такой подход позволяет превратить бэклог из «списка известных проблем» в управляемый процесс с понятными сроками и ответственными. Итог: без ясного владения активами и реальных полномочий на исправление любые, даже самые продвинутые сканеры уязвимостей лишь увеличат объём нерешённых задач, а не сократят его.Источник: Dark Reading