Selbstbewertung

Bewerten Sie Ihr Exposure-Programm.

Von Dan Swihart · Veröffentlicht

20 Aussagen, etwa zehn Minuten. Bewerten Sie, wie sehr jede Aussage heute auf Ihre Organisation zutrifft. Sie erhalten einen Wert pro Phase, einen Gesamtreifegrad und die drei Maßnahmen, die Sie am weitesten bringen.

Nichts wird irgendwohin gesendet, bis Sie am Ende entscheiden, Ihre Ergebnisse zu speichern. Erst die Zwei-Minuten-Version? Zum Schnellcheck.

  1. 01 Scoping: Festlegen, was im Spiel ist
  2. 02 Discovery: Jede Exposure finden, nicht nur CVEs
  3. 03 Priorisierung: Nach Angriffspfad und Auswirkung ordnen
  4. 04 Validierung: Nachweisen, dass es ausnutzbar ist
  5. 05 Mobilisierung: Behebung durchsetzen und belegen

0 von 20 beantwortet

01 Scoping 0 von 4

01.1Wir haben eine schriftliche Definition, welche Assets und Geschäftsprozesse im Scope des Exposure-Managements liegen.
01.2Fachverantwortliche, nicht nur die Sicherheit, haben sich darauf geeinigt, was als kritisches Asset gilt.
01.3Der Scope wird in einem definierten Rhythmus überprüft und angepasst, mindestens vierteljährlich.
01.4Externe Angriffsfläche, SaaS und Identität sind ausdrücklich ein- oder ausgeschlossen, nicht undefiniert gelassen.

02 Discovery 0 von 4

02.1Wir pflegen ein Asset-Inventar, das mehrere Quellen (Scanner, Cloud, EDR, CMDB) abgleicht und Unbekanntes kennzeichnet.
02.2Die Discovery umfasst Fehlkonfigurationen, offengelegte Zugangsdaten und Identitätsschwächen, nicht nur CVEs.
02.3Aus dem Internet erreichbare Assets werden kontinuierlich erfasst, einschließlich vergessener Subdomains und Schatten-IT.
02.4Zugriffspfade von Dritten und Lieferanten in unsere Umgebung werden erkannt und erfasst.

03 Priorisierung 0 von 4

03.1Exposures werden nach Ausnutzbarkeit in unserer Umgebung und geschäftlicher Auswirkung geordnet, nicht nach dem rohen Schweregrad.
03.2Wir nutzen Angriffspfadanalyse oder eine gleichwertige Betrachtung, um zu sehen, wie sich Exposures zu kritischen Assets verketten.
03.3Threat Intelligence zu aktiver Ausnutzung (zum Beispiel CISA KEV) fließt automatisch in die Priorisierung ein.
03.4Vorhandene kompensierende Maßnahmen werden berücksichtigt, bevor eine Exposure eskaliert wird.

04 Validierung 0 von 4

04.1Exposures mit höchster Priorität werden als tatsächlich ausnutzbar validiert, bevor Aufwand für die Behebung eingeplant wird.
04.2Wir testen, ob Erkennungs- und Reaktionsmaßnahmen auslösen, wenn eine Exposure ausgenutzt wird.
04.3Die Validierung nutzt Tools (Breach-and-Attack-Simulation, automatisierte Pentests) statt nur jährlicher manueller Tests.
04.4Validierungsergebnisse verändern Prioritäten: Nicht ausnutzbare Befunde werden herabgestuft und dokumentiert.

05 Mobilisierung 0 von 4

05.1Jede priorisierte Exposure hat einen benannten Verantwortlichen außerhalb des Sicherheitsteams und einen Zieltermin.
05.2Die Behebung wird bis zum Abschluss nachverfolgt, mit gemessener Behebungszeit je Exposure-klasse.
05.3Befunde erreichen die Behebungsteams über deren eigene Workflow-Tools, nicht über Tabellen oder E-Mail.
05.4Der Fortschritt wird der Geschäftsleitung in Geschäftsbegriffen berichtet (reduziertes Risiko, geschützte Prozesse), nicht als Zahl der Schwachstellen.