資料來源: 2019年9月4日/Galvanize/風險，機器人

全球安全威脅每年都在增加，但對威脅和漏洞管理採取基於風險的方法可能會有所幫助。以下是幫助您入門的五個步驟。

2018年是網絡安全創紀錄的一年 - 並不是一個好的方式。在Mitre的常見漏洞和暴露數據庫中發現並編目了超過16,500個安全漏洞。這比2017年增加了12％。

隨著這樣的增長，您可能認為不可能保持領先於威脅。但是，自動化和基於風險的漏洞管理方法可以改進您的計劃以解決這一日益嚴重的問題。

這種演變的一部分包括從整體上看待您的網絡安全戰略。但這說起來容易做起來難。那麼，您應該採取哪些第一步來開始基於風險的漏洞管理方法？

1.了解您的資產重要性（記錄庫存）

資產關鍵性是您分配給組織最重要資產的價值，包括硬件，軟件和機密信息。定義這一點可以將您的注意力集中在監控和維護最重要的資產上 - 如果這些資產失敗，將落入壞人之手，或者過時。通常通過查看資產更換，服務/停機時間和法律責任的成本來獲得成本。要了解您的資產重要性，第一步是創建資產清單。

“一個好的威脅和漏洞管理平台將使用[你的]評分和分類來自動委派和分配補救任務。”

2.指定風險評級（量化您的重點）

現在您的資產已被編目，下一步是確定可能影響您資產的風險或威脅與漏洞的組合。這不是一項快速的任務，但值得付出努力。考慮可能影響組織的計算機，移動設備，基於雲的存儲甚至員工的方案。可能會發生什麼樣的不必要事件？哪些弱點可以被利用？

這就是您計算風險評級的方法，風險評級是確定每種風險實際發生的影響和可能性的分數。這些分數為您提供了基準，因此您可以確切地知道風險何時超出可接受的水平，並且您可以採取行動。

3.規範安全和風險定義（說同一種語言）

在進行資產清點並分配風險評分時，創建標準的內部安全性和風險定義非常重要。這是因為漏洞掃描程序和其他威脅信息源不會統一記錄嚴重性。一些人以數字方式（例如1-10）分配評級，而另一些人則定性評分（例如，“緊急”，“嚴重”或“嚴重”）。您需要選擇適合您的方法，而不是將自己鎖定在別人對嚴重性和風險的定義中。

如果您正在使用特定的漏洞管理軟件，那麼您可以在此處輸入自己的風險分類，並繪製如何解釋Qualys分數與Nexpose分數的解釋。這樣做將創建一個統一的評分系統，可以對掃描儀結果進行標準化，標準化修復計劃，並從所有安全工具中提取結果，以創建準確，及時的報告和儀表板。

4.委派威脅和漏洞管理（採取行動）

一個好的威脅和漏洞管理平台將使用評分和分類來自動委派補救任務並將其分配給正確的人或團隊來處理威脅。例如，如果它是子網中的Windows漏洞，則會轉到Windows團隊。

許多組織都有針對根據威脅級別解決漏洞所需的最長時間的策略，例如：

• 1-10天的嚴重漏洞
• 高嚴重性漏洞需要30天
• 中等漏洞60天。

但這些補救的最後期限往往很難滿足。一個SANS研究所調查標記，只有68％的受訪者能夠修復，補丁，或者在一個月內減輕下關鍵漏洞。顯然，這並不理想，因為這些問題得到解決的時間越長，風險就越大。但是，通過自動計算這些威脅並分配適當的風險評級，您可以開始跟?截止日期並確定工作流程的優先級。

此設置和自動化將簡化您的工作，並幫助您處理每天收到的大量漏洞數據。許多自動執行這些流程的組織都可以大幅縮短執行日常網絡風險管理所需的時間。通過創建此層次結構，您將更快地響應高優先級項目。

5.充分利用您的數據

整個過程中最重要的部分之一就是清楚地了解如何分析數據。許多IT安全專業人員發現自己擁有大量數據，但不知道如何使其可用。但是，由於您已擁有數據，現在只需將其納入威脅和漏洞管理平台即可。然後你可以完成那些第一次映射，以包圍你的關鍵性。

當然，有時間投入設置它，但它是完全值得的 - 特別是當你開始看到節省時間，更快的補救，降低風險和開放漏洞。

了解一家大型美國醫療保健提供商如何實施我們的供應商風險管理解決方案，刪除手動流程並將完成的年度評估增加373％。