Açıklık Kataloğu

Açıklık, bir tehdidin üzerinden hareket edeceği zayıflıktır. Bir risk kaydı bir tehdidi bir açıklıkla eşleştirir: harekete geçebilecek olan ve istismar edeceği boşluk.

Eşleştirme, bir risk kaydını bir kaygı değil bir senaryo yapan şeydir. "Fidye yazılımı" bir tehdittir; "yamalanmamış internete açık yazılım" bir açıklıktır; ikisi birlikte değerlendirebileceğiniz ve işleyeceğiniz bir şeydir.

Alanlar

• Kod
  Boş bırakıldığında kataloğun numara şablonundan üretilen tekil tanımlayıcı.

• Ad
  Zayıflığın kendisi.

• Açıklık alanı
  Zayıflığın hangi alanda durduğu. Altı sabit değerden biri — aşağıya bakın.

• Açıklama
  Açıklığın neyi kapsadığı.

• Aktif
  Pasif açıklıklar risk formunda artık sunulmaz. Mevcut riskler adlandırdıklarını korur.

Altı alan

Alan, kürasyonu size ait bir liste değil, sabit bir kümedir:

Alan	Kapsadığı
Donanım	Fiziksel ekipman: yaşlanan, yamalanamayan, bakımsız.
Yazılım	Uygulama ve işletim sistemi hataları, eksik güncellemeler.
Ağ	Segmentlenmemiş, şifrelenmemiş veya izlenmeyen iletişim.
Personel	Eksik eğitim, belirsiz görevler, olmayan görevler ayrılığı.
Fiziksel	Erişim kontrolü, konumlandırma, tesislerin çevresel korunması.
Organizasyonel	Eksik politika, atanmamış sahiplik, gözden geçirilmemiş süreç.

not

Alan, tehdit kaynağının sabit olmasıyla aynı nedenle sabittir: katalog, bir seçici olmadan önce bir raporlama taksonomisidir. "Risklerimizin çoğu hangi alandan geliyor" bir kayıt defterine sorulmaya değer bir sorudur ve yalnızca alanlar her yerde aynı şeyi ifade ederse cevap verir.

Organizasyonel alan, en çok az kullanılan ve genellikle en açıklayıcı olanıdır. Hiç organizasyonel açıklığı olmayan bir kayıt defteri, bir yönetim sistemi değil teknik bir ortamı anlatıyordur — ve ISO 27001 bir yönetim sistemi standardıdır.

Gelen katalog

Modül, altı alana yayılmış 44 açıklıkla gelir. Bir başlangıç noktasıdır: serbestçe yeniden adlandırın, pasife alın, silin veya ekleyin.

Satırlar varsayılan içerik olarak İngilizce gelir ve kürasyonu yapılmak üzere düşünülmüştür.

not

Yalnızca ilk kurulumda yüklenir. Sonraki bir yükseltme, kaldırdığınız bir satırı geri eklemez ve yeniden yazdığınız birini ezmez.

Açıklık ve mevcut kontrol farklı şeylerdir

Açıklık boşluktur. Risk kaydındaki bir mevcut kontrol, ona karşı halihazırda yerinde olandır. İkisini de kaydetmek, ilk skoru anlamlı kılan şeydir:

• Açıklık neyin yanlış olduğunu söyler.
• Mevcut kontroller halihazırda neyin azaltma sağladığını söyler.
• İlk skor, o kontroller çalışırken riskin bugün durduğu hâlidir.

Açıklığı kaydedip mevcut kontrolleri kaydetmezseniz, ilk skor hiçbir şey yerinde değilmiş gibi okunur — bu da artık skoru hiç gerçekleşmemiş bir iyileşme gibi gösterir.

Kataloğu kullanışlı tutmak

Seçici kataloğu düz gösterir — hiçbir şey onu alana ya da seçtiğiniz tehdide göre daraltmaz. Ağırlığı arama ve filtreleme taşır.

ipucu

Açıklıkları olay değil, koşul olarak yazın: "hesap ele geçirilmesi" değil, "çok faktörlü kimlik doğrulaması olmayan yönetici hesapları". Bir olay risk tanımına aittir; katalog, o olayların istismar ettiği koşulların listesidir ve düzeltilen şey koşullardır.

Bir açıklığı silmek

Herhangi bir açık risk onu adlandırıyorken bir açıklık silinemez ve satırlardan herhangi biri kullanımdaysa toplu silme tüm seçimi reddeder — kısmi silme, ne olduğunu söyleyebilecek kimse bırakmazdı.

Silmek yerine pasife alın: seçici satırı kaybederken onu adlandıran riskler okunabilir kalır.

Excel'e aktarma ve içe alma

Katalog Excel'e aktarılır ve doldurulmuş bir şablondan yeniden yüklenir; boş kodlar kataloğun numara şablonundan üretilir.

Gelen 44 satırı dışa aktarmak, hesap tablosunda düzenlemek ve geri yüklemek, kendi listenizi yerine koymanın pratik yoludur.