zafiyet yönetimi süreci tarama aracının ürettiği bulguları ekibe göndermek değildir. Hangi varlığın etkilendiğini doğrular, gerçek iş riskine göre düzeltir ve kapanışı yeniden testle kanıtlar.
Önce varlık ve sahiplik oluşturun
İnternete açık uygulamalar, API’ler, sunucular, kütüphaneler, konteynerler ve bulut kaynakları sürüm, veri sınıfı, ortam ve sorumluyla envanterlenir. Sahibi olmayan bulgu kapanmaz. Yetkili tarama kapsamı üretimi kesintiye uğratmayacak şekilde planlanır.
Skoru bağlamla zenginleştirin
Teknik şiddet yanında dış erişim, istismar olgunluğu, kullanılan işlev, veri hassasiyeti, mevcut kontroller ve iş etkisi değerlendirilir. Yanlış pozitif kanıtla kapatılır. Aktif istismar veya kritik açık normal bakım kuyruğunu beklemez.
Düzeltme ve telafiyi ayırın
Yama, yapılandırma veya kod değişikliği test ve geri dönüş planıyla uygulanır. Hemen düzeltilemiyorsa ağ kısıtı, özellik kapatma veya izleme geçici riski azaltabilir; risk sahibi, bitiş tarihi ve kalan risk kaydedilir.
Kapanışı bağımsız doğrulayın
Sürüm yükseldi işareti yeterli değildir; bulgu aynı yöntemle yeniden test edilir ve benzer varlıklar taranır. Düzeltme süresi, yaşlanan kritik açık, tekrar açılma, kapsam ve istisna süresi izlenir.
zafiyet yönetimi süreci çözüm yaklaşımını inceleyebilir ve zafiyet yönetimi süreci kapsamı için teklif isteyebilirsiniz.
zafiyet yönetimi süreci için uygulama notu
Zafiyet yönetimi sürecinde varlık envanteri, keşif, doğrulama, bağlam, öncelik, düzeltme, telafi kontrolü, tekrar test ve metrikleri açıklıyoruz. zafiyet yönetimi süreci değerlendirmesinde mevcut veri, zafiyet yönetimi süreci kullanıcı rolleri ve süreç istisnaları birlikte ele alınmalıdır.
İlk zafiyet yönetimi süreci uygulaması gerçek kayıtla sınanmalı; zafiyet yönetimi süreci yetki sınırı, eksik veri ve mükerrer işlem davranışı kabul aşamasında doğrulanmalıdır. zafiyet yönetimi süreci kararları sorumlu ve tarihle; zafiyet yönetimi süreci başlangıç değeri ise ölçüm yöntemiyle kaydedilmelidir. Böylece zafiyet yönetimi süreci iyileştirmeleri varsayıma değil işletme kanıtına dayanır. Kullanıcı geri bildirimi zafiyet yönetimi süreci teknik izlemesiyle buluşturulmalı; kapsam dışı zafiyet yönetimi süreci ihtiyaçları gerekçeli iyileştirme listesinde yönetilmelidir.