Schwachstellenmanagement ist das fortlaufende Programm, das Schwächen findet, priorisiert, behebt und prüft, ob das Risiko wirklich sank.
Scans und Bewertungen sind Eingaben, während dieses Programm die Liste besitzt, bis eine Behebung geprüft oder ein Risiko förmlich akzeptiert ist.
So funktioniert es
Die Schleife heißt finden, priorisieren, beheben und bestätigen.
Ein Stapel ungelesener Scandateien ist kein Management, weil niemand geprüft hat, dass die Schwäche weg ist.
Zeitziele sollten immer von Schwere und Erreichbarkeit des Systems abhängen.
Ausnahmen, die alt werden, brauchen eine Leitung, die sie sieht, nicht nur ein Ticket, das offen bleibt.
Konkrete Beispiele
- Aus dem Internet erreichbare Systeme werden in einer festen Zahl von Tagen korrigiert, Ausnahmen werden notiert.
- Eine wiederkehrende Besprechung weist den höchsten offenen Risiken Verantwortliche zu.
- Eine Behebung wird durch einen späteren Scan und eine Einstellungskontrolle erneut geprüft.
Schutzmaßnahmen
- Setzen Sie Zeitziele, die Schwere und Erreichbarkeit des Systems abbilden.
- Geben Sie Systemverantwortlichen eine klare Liste statt eines ungelesenen Berichts.
- Prüfen Sie die Behebung, statt nur dem Status eines Tickets zu vertrauen.
- Zeigen Sie alternde Ausnahmen der Leitung in einem festen Rhythmus.