Жизненный цикл (процедура) управления уязвимостями

Полный цикл процедуры управления уязвимостей состоит из следующих шагов:

1. Инвентаризация активов. На этом этапе проводится сканирование сети и выявление всех хостов (имеющих IP-адрес).
2. Категорирование активов. На этом этапе мы можем объединить выявленные активы в группы для дальнейшей более удобной работы с ними, а также провести их категорирование/определение критичности. Категорирование нам пригодится для автоматического расчета рисков информационной безопасности, связанных с определенными активами, а также для получения информации о динамике изменения уровня риска (повышение или снижение).
3. Оценка уязвимостей. На этом этапе формируются политики сканирования (если цикл выполняется 1й раз), выбираются группы активов и проводится само сканирование.
4. Подготовка и анализ отчетов. На этом этапе подготавливаются шаблоны отчетов (если цикл выполняется 1й раз) и создаются сами отчеты. Отчеты показывают нам информацию о текущем состоянии информационной безопасности и предлагают варианты по устранению уязвимостей.
5. Исправление уязвимостей. На этом этапе необходимо внести изменения в ИТ-инфраструктуру согласно полученным рекомендациям. А именно, установить необходимые патчи и/или внести корректировки в настройки оборудования (например, закрыть ненужные порты, изменит пароли).
6. Проверка работ. На этом этапе производится еще раз аналогичное сканирование с целью проверки того, что уязвимости были устранены.
   

Более подробно про каждый этап будет написано в этом блоге далее.

P.S. Легко заметить взаимосвязь с классическим циклом постоянного совершенствования PDCA. Тут есть и этапы планирования, и этапы внедрения/работы, и этапы контроля, и совершенствования/"доработки".