Tetapkan dan Pelihara Proses Manajemen Kerentanan
Deskripsi
Tetapkan dan pelihara proses manajemen kerentanan yang terdokumentasi untuk aset perusahaan. Tinjau dan perbarui dokumentasi setiap tahun, atau ketika terjadi perubahan signifikan pada perusahaan yang dapat memengaruhi Pengamanan ini.
Daftar Periksa Implementasi
Rekomendasi Alat
Penilaian kerentanan berkelanjutan dan manajemen eksposur di seluruh aset IT, cloud, kontainer, dan OT
Tenable · Langganan per aset
Manajemen kerentanan, deteksi, dan respons berbasis cloud dengan manajemen patch dan inventaris aset terintegrasi
Qualys · Langganan per aset
Platform manajemen kerentanan dengan dasbor langsung, prioritas risiko, dan alur kerja remediasi
Rapid7 · Langganan per aset
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Respons Kerentanan Ad-Hoc yang Menyebabkan CVE Kritis Terlewat
ConfidentialityTanpa proses manajemen kerentanan yang terdokumentasi, kerentanan kritis seperti Log4Shell atau MOVEit ditangani secara tidak konsisten, dengan beberapa tim segera melakukan patching sementara yang lain tetap terekspos selama berbulan-bulan.
Prioritas Kerentanan yang Tidak Konsisten Memungkinkan Eksploitasi
IntegrityKetiadaan proses formal berarti kerentanan ditriase berdasarkan penilaian individual daripada kriteria berbasis risiko, memungkinkan kerentanan tingkat keparahan tinggi pada aset yang menghadap internet tetap ada sementara masalah internal berisiko rendah menghabiskan sumber daya remediasi.
Ketidakpatuhan Regulasi dari Penanganan Kerentanan yang Tidak Terdokumentasi
AvailabilityAuditor dan regulator tidak menemukan bukti program manajemen kerentanan yang terstruktur, mengakibatkan kegagalan kepatuhan dan potensi denda di bawah kerangka kerja seperti PCI DSS atau HIPAA yang mewajibkan manajemen kerentanan terdokumentasi.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Kebijakan atau Prosedur Manajemen Kerentanan yang Ditetapkan
Organisasi tidak memiliki kebijakan tertulis yang mendefinisikan tanggung jawab identifikasi, penilaian, dan remediasi kerentanan, meninggalkan setiap tim untuk menangani kerentanan secara independen tanpa akuntabilitas.
Peran dan Tanggung Jawab yang Tidak Terdefinisi untuk Penanganan Kerentanan
Tanpa proses yang terdokumentasi, tidak ada kepemilikan yang jelas atas pemindaian kerentanan, triase, remediasi, atau persetujuan pengecualian, menyebabkan kerentanan kritis jatuh di antara celah antara tim TI dan keamanan.
Tidak Ada Kerangka Klasifikasi Keparahan Kerentanan
Organisasi tidak memiliki skema klasifikasi keparahan yang terstandarisasi (seperti ambang batas berbasis CVSS) untuk memprioritaskan remediasi kerentanan, menghasilkan perlakuan yang tidak konsisten terhadap risiko serupa di seluruh unit bisnis.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |