Zakres i mapa ryzyka
Wspólne granice badania przed jego rozpoczęciem.
- Lista zasobów i właścicieli
- Zasady oraz okno testów
- Priorytety biznesowe
Zasoby / zgody / scenariusze
Wiesz, co obejmuje ocena i jakie ma ograniczenia.
Analizujemy kod i architekturę, testujemy autoryzowane środowiska, kontrolujemy dostęp, monitorujemy, projektujemy backup i pomagamy reagować na incydenty.
opisane w kontekście biznesu
mają właściciela i dowód
jest testowane, nie zakładane
Sprawdzamy uzgodnione aplikacje, dostęp i konfigurację z perspektywy realnych skutków dla biznesu. Wynik przekładamy na kolejność napraw oraz sposób sprawdzenia, czy problem został usunięty.
Lista podatności nie wystarcza do podjęcia decyzji. Ważne jest, co można utracić, jak łatwo wykorzystać słabość i kto odpowiada za jej usunięcie.
Ustalamy, co wymaga ochrony w pierwszej kolejności.
Mapujemy aplikacje, dane i zależności. Wskazujemy wpływ przestoju, utraty dostępu lub ujawnienia informacji.
Co najbardziej zaboli firmę?
Sprawdzamy, kto może wykonać jakie działania.
Analizujemy role, konta uprzywilejowane i sposób uwierzytelniania. Weryfikujemy proces nadawania oraz odbierania dostępu.
Czy dostęp odpowiada rzeczywistej potrzebie?
Weryfikujemy uzgodnione scenariusze nadużyć.
Sprawdzamy aplikację i środowisko w zatwierdzonych granicach. Ustalenia opisujemy wraz z warunkami ich odtworzenia.
Które słabości można wykorzystać?
Pomagamy zamienić raport w wykonane zadania.
Ustalamy priorytety, sposób weryfikacji i odpowiedzialność. Sprawdzamy też gotowość do odtworzenia działania.
Czy zespół wie, co zrobić po wykryciu problemu?
Przed rozpoczęciem określamy zakres, uprawnienia i zasady testowania. Otrzymujesz opis ryzyk oraz konkretne zadania dla osób odpowiedzialnych za system.
Wspólne granice badania przed jego rozpoczęciem.
Zasoby / zgody / scenariusze
Wiesz, co obejmuje ocena i jakie ma ograniczenia.
Opis problemów umożliwiający ich ocenę.
Ustalenie / wpływ / rekomendacja
Zespół techniczny może zaplanować konkretne zmiany.
Kolejność działań dopasowana do ryzyka.
Zadanie / właściciel / kryterium odbioru
Właściciele systemów wiedzą, od czego zacząć.
Ponowne sprawdzenie wskazanych ustaleń.
Retest / status / dalsze zalecenia
Masz potwierdzenie zakresu wykonanych poprawek.
Zakres testów i zgoda właściciela zasobów są ustalane przed pracą. Audyt nie stanowi gwarancji pełnego bezpieczeństwa ani certyfikacji. Naprawy i ponowne testy opisujemy jako konkretne części współpracy.
Dobieramy je do zakresu pracy i dostępnych danych.
Ochrona i kontrola ruchu w odpowiednio dobranej konfiguracji.
Kontrola zmian i przegląd bezpieczeństwa kodu.
Przegląd tożsamości i dostępu w środowiskach Microsoft.
Wiesz, na czym pracujemy, kiedy potrzebujemy Twojego udziału i co przechodzi do następnego etapu. Harmonogram dopasowujemy do uzgodnionego zakresu.
Określamy zasoby, właścicieli, ryzyka oraz dozwolone działania.
Potwierdzacie uprawnienia i osoby kontaktowe.
Efekt etapuZatwierdzony zakres testów.
Ustalamy konta testowe, okno prac i sposób zgłaszania problemów.
Zapewniacie dostęp oraz wymagane kopie.
Efekt etapuGotowość do bezpiecznego badania.
Prowadzimy testy w uzgodnionych granicach i dokumentujemy ustalenia.
Pozostajecie dostępni przy istotnych zdarzeniach.
Efekt etapuZweryfikowane problemy i dowody.
Wyjaśniamy wpływ ustaleń i proponujemy kolejność napraw.
Wyznaczacie właścicieli zadań.
Efekt etapuRaport i plan działań.
Sprawdzamy poprawki w uzgodnionym zakresie.
Udostępniacie zmienione środowisko.
Efekt etapuStatus napraw i pozostałe zalecenia.
Case study / Bezpieczeństwo
Poznaj pozostałe projekty Rebrandy lub opowiedz nam o swoim wyzwaniu.
Pełny katalog pozostaje dostępny na stronie realizacji.
Zakres ma pasować do potrzeb firmy, dostępnych danych i możliwości wdrożenia. Te pytania pomagają wyznaczyć granice projektu.
Ryzyko zależy od zakresu. Ustalamy metody, okno prac, kontakt awaryjny i warunki zatrzymania testu. Część badań można przeprowadzić na środowisku testowym.
Tylko zasoby wyraźnie ujęte w zakresie. Najpierw wybieramy je według znaczenia biznesowego, ekspozycji i dostępnego czasu.
Możemy uzgodnić naprawy lub wesprzeć Wasz zespół. Oddzielamy badanie, wdrożenie zmian i ponowną weryfikację.
Nie przedstawiamy audytu jako gwarancji lub certyfikacji. Raport dokumentuje wykonane testy, ustalenia oraz ograniczenia oceny.
Przed rozpoczęciem uzgadniamy odbiorców, kanał przekazania i zasady przechowywania materiałów. Dostęp ograniczamy do osób odpowiedzialnych.
Zależy to od systemu i ryzyka. Monitoring, aktualizacje, kopie oraz obsługa incydentów są odrębnymi zadaniami, które ustalamy po ocenie potrzeb.
Opisz system, dane i powód oceny. Wrócimy z propozycją bezpiecznego zakresu, metodologii i następnego kroku.
Wracamy z konkretną rekomendacją najpóźniej w następnym dniu roboczym.
Krok 1 / 4