إنشاء وصيانة عملية إدارة الثغرات
الوصف
إنشاء وصيانة عملية موثقة لإدارة الثغرات لأصول المؤسسة. مراجعة وتحديث الوثائق سنويًا أو عند حدوث تغييرات مؤسسية كبيرة قد تؤثر على هذا الضمان.
قائمة التحقق من التطبيق
توصيات الأدوات
تقييم مستمر للثغرات الأمنية وإدارة التعرض عبر أصول تقنية المعلومات والسحابة والحاويات والتقنيات التشغيلية
Tenable · اشتراك لكل أصل
إدارة الثغرات الأمنية السحابية والاكتشاف والاستجابة مع إدارة التصحيحات المتكاملة وجرد الأصول
Qualys · اشتراك لكل أصل
منصة إدارة الثغرات الأمنية مع لوحات معلومات مباشرة وترتيب أولويات المخاطر وسير عمل المعالجة
Rapid7 · اشتراك لكل أصل
التهديدات والثغرات (CIS RAM)
سيناريوهات التهديد
استجابة ثغرات مخصصة تؤدي إلى فقدان ثغرات CVE حرجة
السريةبدون عملية إدارة ثغرات موثقة، تتم معالجة الثغرات الحرجة مثل Log4Shell أو MOVEit بشكل غير متسق، حيث تصحح بعض الفرق فوراً بينما تبقى أخرى مكشوفة لأشهر.
أولوية ثغرات غير متسقة تمكّن الاستغلال
السلامةيعني غياب عملية رسمية أن الثغرات تُصنف بناءً على الحكم الفردي بدلاً من معايير قائمة على المخاطر، مما يسمح لثغرات عالية الخطورة في الأصول المواجهة للإنترنت بالاستمرار بينما تستهلك مشكلات داخلية منخفضة المخاطر موارد المعالجة.
عدم امتثال تنظيمي من معالجة ثغرات غير موثقة
التوفريجد المدققون والجهات التنظيمية عدم وجود دليل على برنامج إدارة ثغرات منظم، مما يؤدي إلى فشل الامتثال وغرامات محتملة بموجب أطر مثل PCI DSS أو HIPAA التي تفرض إدارة ثغرات موثقة.
الثغرات (عند غياب الإجراء الوقائي)
عدم وجود سياسة أو إجراءات محددة لإدارة الثغرات
لا تمتلك المؤسسة سياسة مكتوبة تحدد مسؤوليات تحديد الثغرات وتقييمها ومعالجتها، تاركة كل فريق يتعامل مع الثغرات بشكل مستقل دون مساءلة.
أدوار ومسؤوليات غير محددة لمعالجة الثغرات
بدون عملية موثقة، لا توجد ملكية واضحة لفحص الثغرات أو الفرز أو المعالجة أو الموافقة على الاستثناءات، مما يتسبب في سقوط الثغرات الحرجة بين فرق تقنية المعلومات والأمان.
عدم وجود إطار تصنيف خطورة الثغرات
تفتقر المؤسسة إلى مخطط تصنيف خطورة موحد (مثل حدود CVSS) لتحديد أولويات معالجة الثغرات، مما يؤدي إلى معالجة غير متسقة لمخاطر مماثلة عبر وحدات الأعمال.
متطلبات الأدلة
| النوع | عنصر الدليل | تكرار الجمع |
|---|---|---|
| وثيقة | وثيقة السياسة الحاكمة (حالية، معتمدة، مُبلغة) | يُراجع سنوياً |