Tetapkan dan Pelihara Sistem Peringkat Tingkat Keparahan dan Proses untuk Kelemahan Aplikasi
Deskripsi
Tetapkan dan pelihara sistem peringkat tingkat keparahan dan proses untuk kelemahan aplikasi yang memfasilitasi prioritas urutan perbaikan.
Daftar Periksa Implementasi
Rekomendasi Alat
Platform keamanan aplikasi dengan SAST, DAST, SCA, dan pelatihan pengembang untuk pengembangan perangkat lunak yang aman
Veracode · Langganan per aplikasi
Platform keamanan aplikasi cloud-native dengan SAST, SCA, DAST, keamanan API, dan pengujian keamanan rantai pasokan
Checkmarx · Langganan per pengembang
Rangkaian pengujian keamanan aplikasi dengan SAST (Coverity), SCA (Black Duck), dan DAST untuk AppSec yang komprehensif
Synopsys · Langganan per pengembang
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Kerentanan Kritis Diprioritaskan Rendah Tanpa Kerangka Keparahan
IntegrityKerentanan remote code execution kritis dalam aplikasi yang menghadap pelanggan diperlakukan dengan urgensi yang sama seperti bug kosmetik minor karena tidak ada sistem rating keparahan untuk memprioritaskan remediasi.
Kerentanan Keparahan Rendah Menghabiskan Sumber Daya Sementara Kelemahan Kritis Bertahan
ConfidentialityTim pengembangan menghabiskan waktu memperbaiki kerentanan berdampak rendah sementara kelemahan keamanan kritis dalam aplikasi produksi tetap tidak ditambal karena tidak ada kerangka prioritas yang memandu urutan remediasi.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Sistem Rating Keparahan Kerentanan
Tanpa sistem rating keparahan, semua kerentanan diperlakukan sama, mencegah organisasi mengarahkan sumber daya remediasi terhadap kelemahan yang paling kritis dan dapat dieksploitasi terlebih dahulu.
Tidak Ada Ambang Batas Akseptabilitas Keamanan Minimum untuk Rilis
Ketiadaan standar keamanan minimum berarti aplikasi dapat dirilis ke produksi dengan kerentanan kritis yang belum terselesaikan karena tidak ada standar yang ditetapkan yang mencegahnya.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Teknis | Status pendaftaran MFA dan konfigurasi penegakan | Ditinjau setiap bulan |
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |