При аудите поставщиков потребовали политику управления уязвимостями — с чего начать подготовку документа?

Опытные аудиторы проверяют сотни поставщиков и сразу видят шаблонный текст с первой строчки. Не пишите то, чего не делаете. Если напишете «Каждый месяц проводим сторонний пентест», у вас попросят счета и отчёты, а выделять бюджет на ежемесячный пентест при обороте в 45 000 EUR глупо. Пишите ровно то, что есть на самом деле.

Не загоняйте себя в угол слишком жесткими сроками. Маленькие команды указывающие «устранение критических уязвимостей за 24 часа» ставят контракт под угрозу при первом же инциденте. Заложите 7 дней на критический уровень, 30 дней на высокий, 90 дней на средний. Разграничивайте экстренное патчирование и плановые технические окна.

Сделайте в документе прямую ссылку на шкалу CVSS. Задайте четкие технические пороги, например: «Уязвимости с оценкой CVSS v3 от 9.0 и выше считаются критическими». Также разделите источники уязвимостей на внешние зависимости (open-source пакеты) и патчи инфраструктуры/ОС. Механизмы их отслеживания различаются.

Скачать и отправить шаблон даст лишь временную отдушину. Если клиент — крупная французская компания, они запросят технические пруфы сразу после согласования файла. Без реального сканера, истории версий и тикетов о закрытии багов просто бумага превратится в риски штрафов.

мы при аналогичном аудите взяли шаблон, но прикрепили к нему примеры отчетов от бесплатных сканеров которыми пользуемся и аудитор сразу попросил свежий отчет, мы показали и прошли. одной бумаги мало, готовьте логи.

Крупные заказчики во Франции обязаны контролировать безопасность цепочки поставок по закону, поэтому аупоставляют жесткие рамки. Подписанная политика юридически становится приложением к коммерческому договору. Так что сроки исправления уязвимостей должны быть реально выполнимы вашей технической командой.

не усложняйте. никто не ждет от IT-компании из 9 человек 50 страниц стандартов оборонной промышленности. четкий рабочий документ на 3-4 страницы с понятными процессами, ответственными и контактными e-mail устраивает большинство аудиторов.

а после подготовки документа обязательно ли заверение сторонней аудиторской компанией или нотариусом, или достаточно печати организации и подписи фаундера?

Самое упускаемое из вида в теме управление уязвимостями: Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Проверено опытом.

Появились три разных мнения они дополняют друг друга... Забытые тестовые среды становятся входом в систему чаще чем продакшн.

На этом всё извините, если затянул.

Краткое резюме для новичков: Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Оставлю как заметку, пригодится.

Да по теме управление уязвимостями ситуация именно такая. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Обсуждение размылось, давайте структурируем. При принятии решений записывайте и худший сценарий, а не только лучший.

Краткое резюме для новичков: Без измерений мы всегда приходим к одному и тому же.

На этом всё, извините, если затянул.

У меня нет опыта в управление уязвимостями, поэтому и спрашиваю. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Краткое резюме для новичков: Когда пытаешься изменить всё сразу, ничего не приживается.

Все, кто торопится с управление уязвимостями, спотыкаются на одном и том же. Пишите, если есть вопросы, отвечу по мере возможности.

У меня та же ситуация, поэтому и спрашиваю. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Пытаться сделать это в одиночку — самый дорогой путь. Оставлю как заметку, пригодится.

Пишу это, чтобы вы не совершили ту же ошибку. Ошибка, сделанная на стороне управление уязвимостями, обычно исправима, но дорого.

Проверено опытом.