7.2
IG1 IG2 IG3

Tetapkan dan Pelihara Proses Remediasi

Jenis Aset: Aplikasi
Fungsi Keamanan: Respons

Deskripsi

Tetapkan dan pelihara strategi remediasi berbasis risiko yang terdokumentasi dalam proses manajemen kerentanan, dengan tinjauan bulanan, atau lebih sering.

Daftar Periksa Implementasi

1
Tinjau persyaratan pengamanan terhadap kondisi saat ini
2
Kembangkan rencana implementasi dengan jadwal dan tonggak pencapaian
3
Implementasikan kontrol dan prosedur yang diperlukan
4
Verifikasi implementasi melalui pengujian dan audit
5
Dokumentasikan implementasi dan perbarui prosedur operasional

Ancaman & Kerentanan (CIS RAM)

Skenario Ancaman

Eksploitasi Kerentanan Tanpa SLA Remediasi

Confidentiality

Penyerang mengeksploitasi kerentanan yang diketahui yang bertahan selama berbulan-bulan karena tidak ada jadwal remediasi berbasis risiko, memungkinkan aktor ancaman mempersenjatai eksploit publik jauh sebelum patch diterapkan.

Serangan Rollback Patch Akibat Remediasi yang Tidak Diuji

Availability

Tanpa proses remediasi yang terstruktur, patch yang diterapkan secara tergesa-gesa menyebabkan ketidakstabilan sistem dan di-rollback, mengekspos kembali kerentanan sementara organisasi berjuang mencari perbaikan yang stabil.

Penyalahgunaan Pengecualian dari Penundaan Remediasi yang Tidak Dikelola

Integrity

Kerentanan ditunda secara permanen tanpa penerimaan risiko yang terdokumentasi atau kontrol kompensasi, menciptakan backlog sistem yang tidak ditambal yang terus bertumbuh dan mengumpulkan kelemahan yang dapat dieksploitasi.

Kerentanan (Saat Pengamanan Tidak Ada)

Tidak Ada Jadwal Remediasi Berbasis Risiko

Organisasi tidak memiliki SLA yang ditetapkan yang menghubungkan keparahan kerentanan ke tenggat remediasi (misalnya, kritis dalam 48 jam, tinggi dalam 14 hari), memungkinkan kerentanan berbahaya tetap terbuka tanpa batas waktu.

Tidak Ada Proses Pengecualian atau Penerimaan Risiko Formal

Ketika kerentanan tidak dapat segera diremediasi, tidak ada proses untuk mendokumentasikan pengecualian, kontrol kompensasi, atau keputusan penerimaan risiko, meninggalkan sistem yang tidak ditambal tanpa pengawasan mitigasi apa pun.

Persyaratan Bukti

Jenis Item Bukti Frekuensi Pengumpulan
Dokumen Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) Ditinjau setiap tahun