معيار ISO 27001 طالب مننا "إدارة الثغرات" — دي بتتعمل بانهي آلية وأدوات بالضبط؟

من ناحية الأدوات المفتوحة المصدر، نسخ المجتمع اللي بتنزل على شكل حاويات (containers) لماسحات الشبكة هتقوم بالواجب. تقدر تفحص حزم نظام التشغيل في السيرفرات والمنافذ المفتوحة وتطلع تقارير مبنية على الـ CVE. بس التحدي الأكبر هو تنظيف الإنذارات الكاذبة. لو قدرت تربط الفحص بـ cron job أسبوعي وتصدر النتائج بصيغة JSON، العملية هتبقى أوتوماتيكية بالكامل.

مررنا بنفس التجربة لبنيتنا التحتية المكونة من 20 خادماً في مدريد. الأدوات المؤسسية الكبيرة أعطتنا عرضاً بـ 6.500 EUR سنوياً. بدلاً من ذلك، قمنا بتركيب إضافة أمان سحابية ندفع لها 8 EUR شهرياً لكل خادم. ننفق حوالي 1.900 EUR سنوياً، والمدقق وافق على العملية من أول تدقيق دون تسجيل أي حالة عدم مطابقة.

الاستشاريون غالباً ما يضخمون الموضوع في عينك ليبيعوا لك برمجيات باهظة يحصلون منها على عمولة. المدقق لا يهمه لوحة تحكم الأداة، بل ينظر إلى من أغلق الثغرات الموجودة في ملف Excel وتاريخ الإغلاق. قبل أن تدفع ثروة على الأدوات، رتب وثائق وإجراءات العملية التي لديك أولاً.

دورة العمل التي يجب تطبيقها هي كالتالي: 1) تشغيل الفحص التلقائي بداية كل شهر. 2) فرز الثغرات الحرجة والعالية من قائمة CVE الناتجة. 3) إسنادها كمهام لفريق المطورين. 4) إجراء فحص تأكيدي بعد تطبيق التحديثات. 5) أرشفة التقرير وتاريخ الإغلاق بصيغة PDF في مجلد التدقيق.

لدى أي مزود سحابي تستضيفون خوادمكم؟ كبار المزودين لديهم خدمات أمان مدمجة لفحص الخوادم الافتراضية والحاويات. في كثير من الأحيان، تفعيل هذه الخدمات المدمجة أرخص بكثير من استئجار أداة خارجية.

لا تنسوا ثغرات المكتبات في الكود المصدري. فحص الخوادم وحده لا يكفي، أضيفوا أدوات مجانية لفحص الاعتماديات في مستودع الكود إلى مسار البناء الخاص بكم. المدققون يحبون جداً الاطلاع على ثغرات الأكواد مفتوحة المصدر، وتكلفتها تكاد تكون منعدمة.

أكبر فخ هو محاولة فحص كل شيء مرة واحدة. لما يطلع أول شهر ألف ثغرة المبرمجين بيدخلوا في حالة ذعر. افحصوا المنافذ المفتوحة للخارج أولاً وبعدها تدرجوا للداخل بالتدريج وإلا الشغل الأساسي بيتعطل.

يتناول البند 8.8 في إصدار ISO 27001:2022 إدارة الثغرات التقنية بشكل مباشر. من الضروري أن تثبت المنظمة بالوثائق كفاءتها وقدرتها على تقييم الثغرات واتخاذ الإجراءات التصحيحية. وبناءً على ذلك، فإن إعداد "إجراء إدارة الثغرات" المعتمد يُعد ملزماً لأغراض التدقيق.

أنا أيضًا متحمس لمعرفة ذلك.

حدث معنا هذا... كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

هذا كل شيء، أرجو المعذرة إذا أطالت.

لم أكن أعلم بهذا.

عانيت من نفس المشكلة قبل عامين. الخطأ المرتكب من جانب أدوات إدارة الثغرات قابل للإصلاح عادةً، لكنه مكلف.

دعني أتركها كملاحظة، قد تكون مفيدة.

وكيف حللتم هذه النقطة؟ الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

بالضبط هكذا. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

إذا دخلنا في التفاصيل: وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

الخطأ المرتكب من جانب أدوات إدارة الثغرات قابل للإصلاح عادةً، لكنه مكلف.

حدث معنا هذا. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

دعني أشرح كيف يتم التطبيق عملياً. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء. لو كنت مكانك، لسلك هذا المسار.

أكثر نقطة يتم إغفالها في موضوع أدوات إدارة الثغرات هي: كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

بالتوفيق.