Blog
Eine CTEM-Reifegrad-Selbstbewertung an einem Nachmittag durchführen
Eine CTEM-Selbstbewertung scheitert fast immer auf dieselbe Weise: Die Person, die sie ausfüllt, bewertet das Programm, das sie haben möchte. Die Lösung ist kein cleverer Fragebogen. Es ist eine kurze Sitzung, die richtigen Personen im Raum und eine Regel: Jede hohe Antwort braucht etwas, worauf Sie zeigen können.
Dieser Beitrag beschreibt, wie Sie diese Sitzung in etwa einem halben Tag durchführen, mit den Werkzeugen dieser Website. Vorausgesetzt werden die Grundlagen aus Was ist CTEM; falls nicht, lesen Sie das zuerst.
Bevor Sie beginnen: zwei Minuten mit dem Schnellcheck
Der Schnellcheck stellt fünf Fragen, eine je Phase, und zeigt, welche Phase am schwächsten aussieht. Machen Sie ihn zuerst und allein, ohne Diskussion. Er ist ein Rauchtest, keine Punktzahl: Mit einer Aussage je Phase kann er nur zeigen, wo Sie hinschauen sollten. Notieren Sie Ihre schwächste Phase und vergleichen Sie sie später mit dem vollständigen Ergebnis.
Wen Sie einladen
Vier Personen genügen:
- Wer das Schwachstellen-Scanning oder die Exposure-Werkzeuge betreibt.
- Jemand aus der Infrastruktur oder der Anwendungsentwicklung, der die Tickets erhält. Diese Person weiß, ob die Tickets Verantwortliche und Termine haben.
- Jemand, der für die Fachseite beim Scope sprechen kann, etwa ein Service-Verantwortlicher oder eine Person aus dem Risikomanagement.
- Die Person, die an die Leitung berichtet.
Sitzt nur die Sicherheitsleitung im Raum, messen Sie die Meinung der Sicherheitsleitung. Mobilisierung lässt sich ohne jemanden aus den Teams, die die Behebung durchführen, nicht bewerten.
Die Sitzung, Schritt für Schritt
1. Die Skala laut vorlesen (5 Minuten). Die vollständige Selbstbewertung hat zwanzig Aussagen, vier je Phase, die auf einer fünfstufigen Skala beantwortet werden: Trifft nicht zu, Trifft selten zu, Trifft manchmal zu, Trifft überwiegend zu, Trifft voll zu. Klären Sie zuerst die Bedeutung: „Trifft voll zu“ heißt, dass Sie den Nachweis heute vorzeigen könnten, nicht, dass er geplant ist.
2. Phase für Phase in der Reihenfolge der Phasen antworten (etwa zwei Stunden). Gehen Sie die Aussagen als Gruppe durch und lassen Sie Widerspruch zu. Geben zwei Personen unterschiedliche Antworten, gilt die niedrigere; halten Sie den Grund fest. Wenn niemand aufgeschrieben hat, was im Scope liegt, beschreibt ein „Trifft überwiegend zu“ bei Discovery einen Scope, den es nicht gibt.
3. Für alles oberhalb von „Trifft manchmal zu“ einen Nachweis verlangen. Fragen Sie bei jeder hohen Antwort, was Sie einem Prüfer vorlegen würden. Eine unterschriebene Scope-Festlegung, einen Abgleichsbericht, ein Validierungsprotokoll, ein Diagramm der Behebungszeit. „Wir machen das informell“ bedeutet eine niedrigere Punktzahl. Der Beitrag zum Reifegradmodell listet auf, welche Nachweise je Stufe und Phase erwartet werden.
4. Absenden und das Ergebnis lesen (30 Minuten). Die Selbstbewertung liefert eine Punktzahl je Phase und einen Gesamtwert. Bleiben Sie nicht bei der Gesamtzahl stehen. Schauen Sie auf das Profil.
5. Das Ergebnis in drei Maßnahmen übersetzen (etwa eine Stunde). Die Selbstbewertung empfiehlt bis zu drei Aussagen, bei denen Sie zuerst ansetzen sollten, beginnend mit Ihren niedrigsten Antworten und der Phase mit der niedrigsten Punktzahl. Nehmen Sie diese als Ausgangspunkt für den nächsten Zyklus, statt alles beheben zu wollen.
Wie die Punktzahl berechnet wird
Jede Antwort ist 0 bis 4 Punkte wert. Die Punktzahl einer Phase ist der Anteil der erreichten Punkte am Maximum dieser Phase; vier Aussagen ergeben also höchstens 16 Punkte. Der Gesamtwert ist der Durchschnitt der fünf Phasenwerte. Die Selbstbewertung benennt Ihre schwächste Phase; bei Gleichstand sagt sie das und schlägt für jede einen ersten Schritt vor.
Weil der Gesamtwert ein Durchschnitt ist, kann eine sehr starke Phase eine sehr schwache verdecken. Deshalb zählt das Profil mehr als die Summe.
Was die Stufen bedeuten
Der Gesamtwert wird einer von fünf Stufen zugeordnet. Zu jeder gibt die Selbstbewertung einen kurzen Hinweis.
| Punktzahl | Stufe | Was sie aussagt |
|---|---|---|
| 0 bis 20 | Initial | Die Arbeit an der Exposure ist reaktiv und vom Scanner getrieben. Beginnen Sie damit, einen abgegrenzten Bereich zu definieren und einen einzigen bewussten Zyklus durchzuführen. |
| 21 bis 40 | Im Aufbau | Die Bausteine sind vorhanden, hängen aber nicht zusammen. Konzentrieren Sie sich auf die Priorisierung nach Angriffspfad und darauf, Verantwortliche für die Behebung zu benennen. |
| 41 bis 60 | Definiert | Ein wiederholbarer Zyklus besteht. Ergänzen Sie Validierung, damit Prioritäten belegt statt angenommen sind. |
| 61 bis 80 | Gesteuert | Exposures werden priorisiert, validiert und nachverfolgt. Treiben Sie Berichte in der Sprache des Fachbereichs und die Ausweitung des Scopes voran. |
| 81 bis 100 | Optimiert | Das Programm läuft kontinuierlich und wird gemessen. Konzentrieren Sie sich auf Zyklusdauer, Abdeckungslücken und Automatisierung. |
Die Stufen sind bewusst grob. Zwei Programme mit 58 und 62 Punkten unterscheiden sich nicht nennenswert; entscheidend ist, welche Phasen den jeweiligen Durchschnitt anheben oder senken.
Die fünf Phasen lesen
Scoping. Niedrige Werte bedeuten, dass das Programm keine vereinbarte Grenze hat, sodass jede spätere Phase etwas Undefiniertes misst. Die Behebung beginnt mit einer einseitigen Scope-Festlegung, die von einer fachverantwortlichen Person genehmigt ist.
Discovery. Niedrige Werte bedeuten, dass unbekannte Assets unbekannt bleiben oder dass Discovery nur CVEs abdeckt. Der erste Schritt ist, mindestens zwei Quellen abzugleichen und die Assets nachzuverfolgen, die nur eine davon sieht.
Priorisierung. Niedrige Werte bedeuten, dass die Behebungsliste weiterhin nach Schweregrad sortiert ist. Der erste Schritt ist, jedem Befund zwei Felder hinzuzufügen: von der Position eines Angreifers aus erreichbar und kritisches Asset im Pfad.
Validierung. Diese Phase erreicht oft die niedrigste Punktzahl, weil sie meist Werkzeuge oder eine neue Gewohnheit erfordert statt eines Dokuments. Für den Anfang genügt es, in jedem Zyklus nur die fünf wichtigsten Exposures zu validieren.
Mobilisierung. Niedrige Werte bedeuten, dass Befunde die Sicherheitsabteilung verlassen und verschwinden. Wenn Sie nicht sagen können, wer für eine Behebung verantwortlich ist und bis wann, liefern die früheren Phasen keine Ergebnisse. Was Sie berichten sollten, sobald die Zuständigkeit funktioniert, steht in CTEM-Kennzahlen.
Hohe Discovery bei niedriger Validierung heißt: ein Programm, das viel findet und wenig belegt, und genau das ist der Abstand zwischen CTEM und Schwachstellenmanagement.
Nach der Sitzung
- Das Ergebnis festhalten. Die Selbstbewertung kann es zu Ihrer E-Mail-Adresse speichern, damit sich die nächste vergleichen lässt, und Sie können es ausdrucken oder als PDF speichern. Notieren Sie das Datum und den Nachweis hinter jeder hohen Antwort.
- Einen Scope für einen Zyklus wählen. Wenn Sie bei Initial oder Im Aufbau gelandet sind, ist Ein CTEM-Programm in 90 Tagen starten der praktische Weg.
- In ein bis zwei Quartalen erneut durchführen. Rechnen Sie mit einer Verbesserung von etwa einer Stufe je zwei bis drei Zyklen, nicht einer je Quartal.
- Wenn es an Werkzeugen fehlt, zeigt das Anbieterverzeichnis, welche Plattformen welche Phasen abdecken, und der Tool-Leitfaden erklärt, wie Sie es lesen.
Der Schnellcheck dauert zwei Minuten, und die vollständige Selbstbewertung umfasst alle zwanzig Aussagen. Machen Sie beides, vergleichen Sie und streiten Sie über den Unterschied.