Tetapkan dan Pelihara Proses Remediasi
Deskripsi
Tetapkan dan pelihara strategi remediasi berbasis risiko yang terdokumentasi dalam proses manajemen kerentanan, dengan tinjauan bulanan, atau lebih sering.
Daftar Periksa Implementasi
Rekomendasi Alat
Penilaian kerentanan berkelanjutan dan manajemen eksposur di seluruh aset IT, cloud, kontainer, dan OT
Tenable · Langganan per aset
Manajemen kerentanan, deteksi, dan respons berbasis cloud dengan manajemen patch dan inventaris aset terintegrasi
Qualys · Langganan per aset
Platform manajemen kerentanan dengan dasbor langsung, prioritas risiko, dan alur kerja remediasi
Rapid7 · Langganan per aset
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Eksploitasi Kerentanan Tanpa SLA Remediasi
ConfidentialityPenyerang mengeksploitasi kerentanan yang diketahui yang bertahan selama berbulan-bulan karena tidak ada jadwal remediasi berbasis risiko, memungkinkan aktor ancaman mempersenjatai eksploit publik jauh sebelum patch diterapkan.
Serangan Rollback Patch Akibat Remediasi yang Tidak Diuji
AvailabilityTanpa proses remediasi yang terstruktur, patch yang diterapkan secara tergesa-gesa menyebabkan ketidakstabilan sistem dan di-rollback, mengekspos kembali kerentanan sementara organisasi berjuang mencari perbaikan yang stabil.
Penyalahgunaan Pengecualian dari Penundaan Remediasi yang Tidak Dikelola
IntegrityKerentanan ditunda secara permanen tanpa penerimaan risiko yang terdokumentasi atau kontrol kompensasi, menciptakan backlog sistem yang tidak ditambal yang terus bertumbuh dan mengumpulkan kelemahan yang dapat dieksploitasi.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Jadwal Remediasi Berbasis Risiko
Organisasi tidak memiliki SLA yang ditetapkan yang menghubungkan keparahan kerentanan ke tenggat remediasi (misalnya, kritis dalam 48 jam, tinggi dalam 14 hari), memungkinkan kerentanan berbahaya tetap terbuka tanpa batas waktu.
Tidak Ada Proses Pengecualian atau Penerimaan Risiko Formal
Ketika kerentanan tidak dapat segera diremediasi, tidak ada proses untuk mendokumentasikan pengecualian, kontrol kompensasi, atau keputusan penerimaan risiko, meninggalkan sistem yang tidak ditambal tanpa pengawasan mitigasi apa pun.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |