Πολιτική Διαχείρισης Ευπαθειών και Επιδιόρθωσης

Η Πολιτική Διαχείρισης Ευπαθειών και Επιδιόρθωσης (P19) ορίζει τη δομημένη προσέγγιση που απαιτείται για την αναγνώριση, την ταξινόμηση, την αποκατάσταση και την παρακολούθηση τεχνικών ευπαθειών και ελαττωμάτων λογισμικού σε όλα τα περιουσιακά στοιχεία που διέπονται από το Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών (ISMS) του οργανισμού. Κύριος στόχος της είναι η μείωση της έκθεσης σε κίνδυνο από μη αντιμετωπισμένες αδυναμίες, διασφαλίζοντας μια συντονισμένη διαδικασία για εκτίμηση κινδύνου ευπαθειών, ιεράρχηση, αποκατάσταση και παρακολούθηση συμμόρφωσης, προσαρμοσμένη στις επιχειρησιακές προτεραιότητες και στο ρυθμιστικό περιβάλλον που αφορά τον οργανισμό. Η πολιτική εφαρμόζεται σε όλη την εταιρεία σε όλα τα πληροφοριακά συστήματα, εφαρμογές, υποδομή δικτύου, υλικολογισμικό, πόρους υπολογιστικού νέφους, διεπαφές προγραμματισμού εφαρμογών, τερματικά σημεία, διακομιστές, εικονική υποδομή και πλατφόρμες τρίτων μερών, ανεξαρτήτως περιβάλλοντος φιλοξενίας. Δεσμευτική τόσο για εσωτερικές ομάδες όσο και για τρίτους παρόχους υπηρεσιών, επιβάλλει μια πλήρη προσέγγιση κύκλου ζωής, ξεκινώντας από τακτικές σαρώσεις ευπαθειών και ανακάλυψη, μέσω βαθμολόγησης κινδύνου και απόκτησης διορθώσεων, έως την έγκαιρη ανάπτυξη, διαχείριση εξαιρέσεων, παρακολούθηση και αναφορά. Δίνεται ιδιαίτερη έμφαση σε αυθεντικοποιημένη, προσαρμοσμένη στον κίνδυνο σάρωση σε καθορισμένα διαστήματα, ιδίως για περιουσιακά στοιχεία που είναι εκτεθειμένα στο διαδίκτυο ή υψηλής αξίας, με συναφείς διαδικασίες για την ένταξη νέων συστημάτων και τη διατήρηση της συμμόρφωσης σε όλο τον κύκλο ζωής τους. Οι ρόλοι και οι αρμοδιότητες οριοθετούνται με ακρίβεια για την ενίσχυση της λογοδοσίας. Ο Επικεφαλής Ασφάλειας Πληροφοριών (CISO) έχει την ιδιοκτησία της ενσωμάτωσης της πολιτικής και της ευθυγράμμισης κινδύνου· οι επικεφαλής διαχείρισης ευπαθειών επιβλέπουν την επιχειρησιακή υλοποίηση· οι ιδιοκτήτες συστημάτων και οι ιδιοκτήτες εφαρμογών είναι υπεύθυνοι για την εφαρμογή αποκαταστάσεων και την επικύρωση της σταθερότητας του συστήματος· οι Λειτουργίες Πληροφορικής εκτελούν αλλαγές εντός καθορισμένων παραθύρων και οι αναλυτές ασφάλειας διατηρούν επαγρύπνηση μέσω παρακολούθησης και ανίχνευσης απειλών και επικαιροποιημένων αξιολογήσεων κινδύνου. Υπάρχουν επίσημες απαιτήσεις για προμηθευτές τρίτων μερών ώστε τα εξωτερικά συστήματα να τηρούν τις ίδιες Συμφωνίες Επιπέδου Υπηρεσιών (SLA) για επιδιόρθωση, με περιοδικούς ελέγχους και ελέγχους επί των διαδικασιών διαχείρισης διορθώσεων και υλικολογισμικού. Ένα πλαίσιο διακυβέρνησης, συμπεριλαμβανομένου ενός κεντρικά τηρούμενου Μητρώου Διαχείρισης Ευπαθειών και SLA βάσει κινδύνου, στηρίζει την πολιτική. Το σύστημα επιβάλλει την επείγουσα επιδιόρθωση σύμφωνα με τη σοβαρότητα (όπως καθορίζεται από τη βαθμολόγηση CVSS), την κρισιμότητα του περιουσιακού στοιχείου και την έκθεση, ενώ ενσωματώνεται με την Πολιτική Διαχείρισης Αλλαγών για ιχνηλασιμότητα και σταθερότητα. Τα λεπτομερή πρωτόκολλα εξαιρέσεων ορίζουν απαιτήσεις για επίσημη έγκριση, αντισταθμιστικούς ελέγχους, ρυθμό ανασκόπησης, χρονικά όρια για κρίσιμους κινδύνους και υποχρεωτική παρακολούθηση σε καθορισμένα μητρώα ISMS. Η επιβολή της πολιτικής βασίζεται σε συνεχή παρακολούθηση της συμμόρφωσης, αναφορά κατάστασης και δομημένη κλιμάκωση. Η πολιτική απαιτεί επίσης ελέγχους, αναδρομικές διερευνήσεις μετά από περιστατικά και ένα ισχυρό πρωτόκολλο ανασκόπησης/επικαιροποίησης ώστε να διασφαλίζεται η συνεχής ευθυγράμμιση με εξελισσόμενες ρυθμιστικές υποχρεώσεις, τεχνολογικές αλλαγές και πληροφορίες απειλών υψηλού προφίλ. Συνδέεται άμεσα με θεμελιώδεις πολιτικές, όπως η Πολιτική Ασφάλειας Πληροφοριών, η Πολιτική Διαχείρισης Αλλαγών, η διαχείριση κινδύνων, η διαχείριση περιουσιακών στοιχείων, η Πολιτική Καταγραφής και Παρακολούθησης και η Πολιτική Αντιμετώπισης Περιστατικών (P30), ώστε να διασφαλίζεται κάλυψη από άκρο σε άκρο.