ISO 27001 bizden 'zafiyet yönetimi' istiyor — tam olarak hangi süreç ve hangi araçlarla yapılır?

Açık kaynak tarafında konteyner imajı olarak dağıtılan topluluk sürümü ağ tarayıcıları işinizi görür. Sunucularınızdaki işletim sistemi paketlerini ve dışa açık portları taratıp CVE tabanlı rapor alabilirsiniz. Ancak en büyük zorluk yanlış pozitifleri temizlemektir. Taramayı haftalık cron görevine bağlayıp sonuçları JSON olarak dışa aktarabilirseniz süreç tamamen otomatiğe bağlanır.

Madrid'de 20 sunuculuk altyapımız icin benzer süreçten geçtik. Büyük kurumsal araçlar bize yıllık 6.500 EUR teklif vermişti. Bunun yerine sunucu başına aylık 8 EUR ödediğimiz bir bulut güvenlik eklentisi kurduk. Yılda yaklaşık 1.900 EUR harcıyoruz ve denetçi ilk denetimde hiçbir uygunsuzluk yazmadan süreci onayladı.

Danışmanlar genelde işi gözünüzde büyütüp komisyon aldıkları pahalı yazılımları satmaya çalışır. Denetçinin baktığı şey araç paneli değil, Excel tablosundaki bulguları hangi tarihte kimin kapattığıdır. Araçlara servet yatırmadan önce elinizdeki süreç dokümantasyonunu netleştirin.

Uygulamanız gereken döngü şu şekildedir: 1) Ay başında otomatik taramayı çalıştırın. 2) Çıkan CVE listesinden kritik ve yüksek olanları ayıklayın. 3) Geliştirici ekibine görev olarak atayın. 4) Yama uygulandıktan sonra doğrulama taraması yapın. 5) Raporu ve kapanış tarihini PDF olarak denetim klasörüne arşivleyin.

Sunucularınızı hangi bulut sağlayıcıda barındırıyorsunuz? Büyük sağlayıcıların kendi bünyelerinde sanal sunucu ve konteyner taraması yapan yerleşik güvenlik hizmetleri var. Çoğu zaman harici bir araç kiralamaktansa bu dahili servisleri açmak çok daha ucuza geliyor.

Kod tarafındaki kütüphane açıklarını unutmayın. Sadece sunucu taramak yetmez kod deponuzdaki bağımlılıkları tarayan ücretsiz araçları da derleme hattınıza ekleyin. valla denetçiler açık kaynak kod zafiyetlerini görmeyi çok seviyor ve kurulumu neredeyse sıfır maliyetli.

en büyük tuzak her şeyi aynı anda taramaya çalışmak. ilk ay bin tane bulgu çıkınca yazılımcılar panik oluyor. önce sadece dışa açık portları tarayın, kademe kademe içeriye geçin yoksa asıl işer durur.

ISO 27001:2022 sürümünde Madde 8.8 teknik zafiyetlerin yönetimi konusunu doğrudan ele alır. Kuruluşun zafiyetleri değerlendirme ve düzeltici faaliyet başlatma yetkinliğine sahip olduğunu belgelendirmesi esastır. Bu doğrultuda onaylanmış bir Zafiyet Yönetimi Prosedürü hazırlamanız denetim açısından bağlayıcıdır.

Ben de merak ediyorum.

bizde şöyle oldu. ya yazılı olmyan her madde ileride iki tarafın da farklı hatırladığı bi madde.

bu kdr, uzattıysam kusura bakmayın.

Bunu bilmiyordum.

İki yıl önce aynısını yaşadım. zafiyet yönetimi araçları tarafında yapılan hata genelde geri dönülebilir ama pahalı.

Not olarak bırakayım, lazım olur.

Peki şunu nasıl çözdünüz? Bunun cevabı sektöre göre çok değişiyor genel geçer bi kural yok.

Sorunuz olursa yazın elimden geldiğince cevaplarım.

Tam olarak böyle. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Karar verirken en kötü senaryoyu da yazın, sadece iyisini değil. Benim görüşüm bu, kesin doğru diye yazmıyorum.

Detaya inersek şöyle: Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.

zafiyet yönetimi araçları tarafında yapılan hata genelde geri dönülebilir ama pahalı.

Bizde şöyle oldu. İki hafta boyunca not tutmak, altı aylık tahminden iyi sonuç veriyor.

İlk üç ay herşey iyi gider, sorun dördüncü ayda çıkar.

Uygulamada nasıl yapıldığını yazayım. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor. Ben olsam bu yoldan giderdim.

zafiyet yönetimi araçları konusunda en çok atlanan nokta şu: Kararı geri almak ne kadar zorsa, o kadar yavaş verin.

Kolay gelsin.