Tetapkan dan Pelihara Program Pengujian Penetrasi
Deskripsi
Tetapkan dan pelihara program pengujian penetrasi yang sesuai dengan ukuran, kompleksitas, dan kematangan perusahaan. Karakteristik program pengujian penetrasi mencakup ruang lingkup, seperti jaringan, aplikasi web, Application Programming Interface (API), layanan yang dihosting, dan kontrol premis fisik; frekuensi; batasan, seperti jam yang dapat diterima, dan jenis serangan yang dikecualikan; informasi titik kontak; remediasi, seperti bagaimana temuan akan diarahkan secara internal; dan persyaratan retrospektif.
Daftar Periksa Implementasi
Rekomendasi Alat
Platform pengujian keamanan berkelanjutan dengan program bug bounty, pentesting terkelola, dan pengungkapan kerentanan
HackerOne · Langganan berbasis program
Platform pengujian keamanan crowdsourced dengan peneliti terverifikasi, pentesting berbasis AI, dan penilaian berkelanjutan
Synack · Langganan berbasis aset
Platform Pentest as a Service dengan pentester terverifikasi, pengujian terprogram, dan manajemen temuan
Cobalt · Langganan berbasis kredit
Platform manajemen permukaan serangan berkelanjutan dan keamanan ofensif yang menggabungkan pemindaian otomatis dengan pentesting yang dipimpin ahli
Bishop Fox · Langganan perusahaan
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Kerentanan yang Tidak Diketahui Bertahan Akibat Tidak Ada Pengujian Penetrasi
ConfidentialityKerentanan kritis yang dapat dieksploitasi di jaringan, aplikasi, dan layanan perusahaan tetap tidak ditemukan karena tidak ada program pengujian penetrasi untuk secara proaktif mengidentifikasinya sebelum penyerang melakukannya.
Rasa Aman Palsu dari Pemindaian Otomatis Saja
IntegrityOrganisasi hanya mengandalkan pemindaian kerentanan otomatis, yang melewatkan rantai serangan kompleks dan kelemahan konfigurasi yang hanya akan diungkap oleh program pengujian penetrasi terstruktur.
Kesenjangan Kepatuhan dari Ketiadaan Kemampuan Pengujian Penetrasi
IntegrityOrganisasi gagal memenuhi persyaratan regulasi atau kontraktual untuk pengujian penetrasi karena tidak ada program dengan cakupan, frekuensi, dan proses remediasi yang ditetapkan.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Program Pengujian Penetrasi yang Ditetapkan
Tanpa program pengujian penetrasi yang mendefinisikan cakupan, frekuensi, metodologi, dan proses remediasi, organisasi tidak memiliki mekanisme proaktif untuk menemukan kerentanan yang dapat dieksploitasi sebelum penyerang melakukannya.
Tidak Ada Jalur Remediasi yang Ditetapkan untuk Temuan Pengujian Penetrasi
Ketiadaan program berarti bahwa bahkan pengujian penetrasi ad-hoc menghasilkan temuan tanpa proses yang ditetapkan untuk merutekan, memprioritaskan, dan melacak remediasi kerentanan yang ditemukan.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |