Новая услуга: Цифровая защита менеджмента и первых лиц
Безопасная разработка
Training Center
QMULO
SOC
DLP
Защита от утечек данных
Сервисы
CYBERDEF
Наш DRP-сервис — мониторинг угроз бренду и утечек
Партнёрские интеграции
Kaspersky (EDR/KATA/KUMA/XDR/KSMG), Dr.Web, миграция PTAF
New
Аудит и консалтинг
Защита данных и доступа
Сетевая безопасность
Защита от цифровых рисков (DRP)
Мониторинг и реагирование
Все решения
Полный каталог решений по мониторингу и реагированию
СКОРО
New
Получить консультацию
Оставьте ваши данные и мы с вами свяжемся!
Организация процесса управления уязвимостями
Команда Infosecurity оказывает экспертные услуги по проектированию, внедрению, автоматизации и сопровождению процесса управления уязвимостями.
Мы помогаем Компаниям построить процесс управления уязвимостями с гарантией повторяемости и предсказуемого результата, а также берем на аутсорсинг отдельные этапы или весь процесс.
Мы помогаем Компаниям построить процесс управления уязвимостями с гарантией повторяемости и предсказуемого результата, а также берем на аутсорсинг отдельные этапы или весь процесс.
Получить коммерческое предложение
Оставьте ваши данные, и мы с вами свяжемся!
Оставьте ваши данные
и мы вышлем на почту перечень документов для сертификации
Заказать комплекс услуг по управлению уязвимостями
Оставьте контакты, мы уточним текущий подход к управлению уязвимостями, состав инфраструктуры, наличие сканера и ресурсы ИБ-команды — и предложим оптимальную модель процесса.
Получить консультацию
Оставьте ваши данные, и мы с вами свяжемся!
Более 700 проектов
реализовано
реализовано
Более 250 инженеров
в команде
в команде
Более 15 лет
на рынке ИБ
на рынке ИБ
В условиях постоянных киберугроз реактивная защита — это риск, который бизнес не может себе позволить.
Управление уязвимостями (Vulnerability Management) переводит кибербезопасность вашей компании в проактивный режим, создавая непрерывный цикл обнаружения и приоритизации рисков. Нейтрализуйте критические уязвимости раньше, чем ими воспользуются злоумышленники, и сохраняйте полный контроль над вашим периметром без ущерба для бизнес-процессов.
Управление уязвимостями (Vulnerability Management) переводит кибербезопасность вашей компании в проактивный режим, создавая непрерывный цикл обнаружения и приоритизации рисков. Нейтрализуйте критические уязвимости раньше, чем ими воспользуются злоумышленники, и сохраняйте полный контроль над вашим периметром без ущерба для бизнес-процессов.
Почему одного сканера недостаточно
Сканер показывает исключительно результаты сканирования ИТ-инфраструктуры, но сам по себе не решает вопросы управления и контроля жизненного цикла уязвимостей. Внедрение инструмента без выстроенного процесса неизбежно приводит к типовым проблемам:
-
Растущий бэклогИБ-служба генерирует многостраничные отчеты, в потоке которых теряются действительно опасные технические уязвимости. Из-за отсутствия SLA и понимания доступных ресурсов ИТ-департамента задачи копятся вместо того, чтобы закрываться. -
ИТ-департамент не понимает, что делатьИБ-департамента генерирует многостраничные отчеты без предварительной обработки и направляет их напрямую в ИТ. В результате ИТ-департамент получает несколько сотен тысяч строк, где непонятно что делать, администраторам приходится вручную разбирать каждую уязвимость. При затратах всего 3 минуты на одну запись обработка такого объема требует более 15 000 человеко-часов. -
CVSS без учета контекстаБазовая оценка по шкале CVSS не учитывает критичность конкретного актива, его сетевую доступность и архитектуру корпоративной сети. -
Замкнутый кругЕсли вендор не выпустил обновление (или ПО снято с поддержки), сканер будет циклично подсвечивать уязвимость, не предлагая путей снижения риска.
Процесс управление уязвимостями "под" ключ решает эти проблемы, выстраивая непрерывный цикл работы
Реактивный подход против Риск-ориентированного
Этапы процесса VM
Реактивный подход
Риск-ориентированный подход
Выявление уязвимостей (частота сканирования)
Нерегулярное
При изменении нормативной базы
При изменении нормативной базы
Регулярное
(Ежемесячно)
(Ежемесячно)
Оценка и приоритизация уязвимостей
Опирается в лучшем случае исключительно на метрику CVSS
Многофакторная оценка применимости
Учитывается значимость актива, требования бизнеса, уязвимости, наличие публичных эксплойтов, KEV, EPSS
Учитывается значимость актива, требования бизнеса, уязвимости, наличие публичных эксплойтов, KEV, EPSS
Устранение
Требование немедленного обновления всех уязвимых систем
Согласованный регламент
Устранение уязвимостей в минимальные сроки, с учетом SLA и доступных ресурсов ответственной за процесс команды
Устранение уязвимостей в минимальные сроки, с учетом SLA и доступных ресурсов ответственной за процесс команды
Контроль устранения
Чаще всего – отсутствует
Контрольные отчеты о сканировании и связанные задачи в HelpDesk
Обработка уязвимостей при невозможности установки патча
Риск принимается или игнорируется.
Сканер продолжает фиксировать проблему
Сканер продолжает фиксировать проблему
Компенсирующие меры
Подбираются архитектурные и сетевые меры, которые позволяют снизить риск
Подбираются архитектурные и сетевые меры, которые позволяют снизить риск
Переходите от реактивного подхода к риск-ориентированному управлению уязвимостями уже сейчас
Проектируем VM-процесс с учётом вашей инфраструктуры, значимости активов и ресурсов команды.
Методология работы: от диагностики до автоматизации
Этап 1. Анализ и оценка
-
Анализ текущего состояния
Изучение существующего подхода к управлению уязвимостями: используемых источников данных, порядка обработки результатов, действующих ролей, уровня формализации, связей со смежными процессами и текущих ограничений. -
Оценка зрелости процесса
Определение сильных и слабых сторон, основных разрывов, точек потери управляемости и приоритетных направлений развития.
Результаты:
- установлено окружение и специфика инфраструктуры;
- определен уровень зрелости VM-процесса;
- сформированы требования к VM-процессу.
Этап 2. Проектирование и внедрение процесса
-
Разработка целевой модели процесса
Формирование логики процесса управления уязвимостями с учетом структуры компании, значимости активов, требований бизнеса и регуляторной среды. -
Формализация ролей, правил и артефактов
Определение зон ответственности, SLA, порядка приоритизации, обработки исключений, взаимодействия ответственных подразделений и владельцев активов, а также состава необходимых регламентирующих документов. -
Запуск процесса и сопровождение первой итерации
Перевод целевой модели в рабочий формат: запуск процесса, сопровождение первых циклов, корректировка спорных сценариев, поддержка участников и фиксация необходимых изменений. -
Контроль и корректировка
Проверка того, насколько процесс реально работает, где возникают задержки или разрывы, как исполняются SLA и что нужно скорректировать.
Результаты:
- сформированы и распределены роли и ответственности;
- определены критерии приоритезации и группировки уязвимостей;
- определены метрики и критерии эффективности процесса;
- процесс формализован во внутреннем нормативном документе.
Этап 3. Сопровождение
-
Автоматизация процесса
Перенос ручных операций, проектирование автоматизации ключевых сценариев и интеграция с ключевыми системами. -
План дальнейшего развития
Формирование рекомендаций по масштабированию процесса, повышению его зрелости, развитию метрик и следующим шагам автоматизации.
Результаты:
- совместное проведение первой итерации VM-процесса;
- корректировка ВНД (при необходимости).
Этап 4. Сопровождение —VMaaS (Vulnerability Management as a Service)
Если у вашей команды не хватает ресурсов, мы забираем на себя регулярную аналитику выявленных уязвимостей, анализ применимости, верификацию ложных срабатываний и подготовку задач на устранение для ответственных подразделений.
Инвентаризация
ручная, данные предоставляются Заказчиком
Аналитика
- периодический мониторинг сводок
- анализ трендовых уязвимостей
Экспертиза
рекомендации по обновлению до актуальной версии (вплоть до конкретной версии пакета)
Приоритезация
- на основании ранее определенных критериев процесса
- группировка уязвимостей на родительскую и дочернюю (опционально)
Управление мероприятиями
- план мероприятий по обработке с учетом приоритета/критичности уязвимости
- проекты заявок на устранение (опционально)
Работа с исключениями
конкретные контрмеры определяются Заказчиком
Консультации
15 часов в месяц
Дополнения
- ежемесячная отчетность
- MSSP Сканер (опционально)
Подход к работам
Глубина аналитики, степень автоматизации и вовлечение ваших ИТ-специалистов напрямую зависят от текущего уровня зрелости инфраструктуры и выбранного пакета услуг. При этом наш подход гибко адаптируется под специфику и бизнес-процессы вашей организации.
Независимо от выбранного формата взаимодействия, следующие этапы являются обязательными для выстраивания системного процесса:
Независимо от выбранного формата взаимодействия, следующие этапы являются обязательными для выстраивания системного процесса:
-
Регламент и первичный анализ
Утверждение регламента взаимодействия, определение зон ответственности и сбор первичной информации о текущем подходе к управлению уязвимостями (анализ используемых сканеров, источников данных и текущих ограничений); -
Логика процесса управления уязвимостями
Формирование логики процесса управления уязвимостями строго в контексте архитектуры вашей корпоративной сети, значимости активов и требований регуляторов; -
Правила приоритизации и SLA
Определение правил приоритизации уязвимостей, порядка обработки исключений и SLA для взаимодействия ответственных подразделений; -
Внедрение спроектированной модели
Перевод спроектированной модели в рабочий формат.
Дополнительные этапы
В зависимости от ваших потребностей и ИТ-ландшафта, в проект могут быть включены следующие расширенные этапы
-
Автоматизация и интеграция процесса
Проектирование автоматизации ключевых сценариев и бесшовная интеграция процесса со смежными системами (CMDB, Service Desk, SGRC) для контроля статусов и снижения доли ручного труда; -
Компенсирующие меры при отсутствии патчей
В случаях, когда выпуск или установка патча от вендора невозможны, мы подбираем и помогаем безопасно внедрить компенсирующие меры, снижающие риск эксплуатации до приемлемого уровня.
Выстроим процесс управления уязвимостями под вашу инфраструктуру
Проектирование, внедрение и автоматизация — или регулярное сопровождение в формате VMaaS. Выберем формат под ваш ресурс.
Кейсы по организации процесса управления уязвимостями
Детали проекта не раскрываются в соответствии с условиями соглашения о конфиденциальности (NDA).
- Успешно локализован и непрерывно функционирует процесс VM
- Снижено время на обработку уязвимостей с 8 до 1-2 дней
- 100% ИТ-инфраструктуры покрыто сканированием
- Снижена нагрузка на штатных ИБ-специалистов
- ИТ-отдел получает готовые и понятные задачи для устранения уязвимостей вместо «сырых» отчетов со сканера
Результат
- Разработан и формализован процесс работы с уязвимостями
- Определены зоны ответственности, закреплены SLA и правила передачи задач в ИТ-отдел
- Функция аналитики уязвимостей взята на аутсорс
- Организован регулярный разбор результатов сканирования и выдача очищенных задач для ИТ-отдела
Решенные задачи
- До 2022 г. компания пользовалась сервисами головной иностранной компании
- 3 ИБ-специалиста в штате
- 500+ хостов в скопе
- 100+ программных продуктов
Масштаб проекта
- Восстановить процесс обработки уязвимостей после отключения от сервисов глобальной компании
- Выстроить новый процесс VM для ИТ-инфраструктуры с учетом текущих реалий
- Компенсировать нехватку внутренних ИБ-ресурсов в части аналитики
- Организовать регулярный разбор результатов сканирования, их аналитику и создание задач для ИТ-отдела
Задача
Пищевая промышленность
Сфера деятельности
Кейс №1
- Успешно пройден ежегодный аудит процесса VM со стороны Головной компании
- Снижено время на обработку уязвимостей с 20 до 5 дней
- 100% ИТ-инфраструктуры покрыто сканированием
- Снижена нагрузка на ДИБ и ДИТ
- Организован непрерывный процесс работы с уязвимостями
- Работа с уязвимостями синхронизирована с другими ИБ и ИТ-процессами
Результат
- Разработан и формализован процесс работы с уязвимостями для всей инфраструктуры
- Определены зоны ответственности, закреплены SLA по устранению и технологические окна
- Процесс VM взят на полный аутсорсинг
- Организована техническая поддержка ИТ на этапе устранения
Решенные задачи
- Высокие требования головной компании к уровню зрелости ИБ.
- 7 ИБ-специалистов в штате
- 1500+ хостов в скопе
- 200+ программных продуктов
- Не только сканирование «белым ящиком», но и CPT, конфигурации, Bug Bounty и пр.
Масштаб проекта
- Обеспечить соответствие требованиям Головной компании по уровню зрелости процесса VM
- Выстроить зрелый процесс VM для сложной ИТ-инфраструктуры
- Взять на аутсорсинг процесс VM для всей ИТ-инфраструктуры
- Обеспечить успешное прохождение ежегодного внешнего аудита разработанного процесса VM
- Обеспечить консультационную поддержку ИТ-подразделений по устранению уязвимостей
Задача
Комплексный застройщик
Сфера деятельности
Кейс №2
Почему нам можно доверять
- Мультивендорная экспертиза250 + сертифицированных инженеров в команде
- Более 210 кейсов по комплаенсуВ ритейле, промышленности, финансах, телекоме, ИТ-компаниях и не только
Наши специалисты имеют международные сертификаты: CISA, CRISC, CISSP, CISM, ISO 27001 Lead Auditor, ISO 27001 Lead Implementer, ISO 22301 Lead Auditor, ISO 27001, 20000, 22301 Tutor - Пентестеры Infosecurity — входят в топ-10 РоссииНаши специалисты имею ключевые сертификаты: TCM Security Practical Ethical Hackin, TCM Security Practical Web Application Security & Testing, TSARKA – Web Application Penetration Testing, OSCP, HWSP, eWPTXv2, eWPTv1, OSCP, OSCP+, OSWP, eMAPT, eCCPTv2, eCPTX_v2, CAP, API Academy, CRTP, CRTO, eCPTX, KLCP, OSWE, OSWA, CWEE
- Повысили осведомленность более 20 000 человекКоманда Awareness Infosecurity состоит из инженеров, аналитиков, консультантов, методистов, разработчиков, дизайнеров и пентестеров, которые работают над созданием уникальных материалов
- Более 500 брендов под нашей защитойВ ритейле, финансах, телекоме, строительстве, промышленности, и не только
Бесплатная консультация
У Вас остались вопросы?
Оставьте заявку и мы свяжемся с вами в ближайшее время.
Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь c политикой конфиденциальности. Не является публичной офертой.
Новости и события
FAQ
Сканер – это исключительно инструмент. Он находит технические недостатки, но сам по себе не снижает риски. Процесс управления уязвимостями необходимо выстраивать целенаправленно.
Для фильтрации этого объема мы используем многофакторную оценку, учитывая значимость конкретного актива, требования бизнеса, а также трендовость уязвимости (наличие публичных эксплойтов, присутствие в базах KEV и предиктивные метрики EPSS).
Да. Каждый заказчик индивидуален, и мы обладаем компетенциями для автоматизации всего цикла работы с уязвимостями. Глубина интеграции и набор автоматизируемых систем зависят исключительно от архитектуры и бизнес-целей Заказчика.
На выходе Заказчик получает функционирующий рабочий процесс управления уязвимостями, включая необходимый комплект документации, матрицу распределения ролей и настроенные инструменты автоматизации.
Это непрерывный процесс обнаружения, оценки, приоритизации и устранения слабых мест в вашей ИТ-инфраструктуре. В отличие от разового сканирования, управление уязвимостями — это цикличный подход, который позволяет системно закрывать уязвимости в защите программного обеспечения и оборудования до того, как ими воспользуются злоумышленники.