Angripare utnyttjar ofta de hål som finns i miljöer kopplat till tidsluckor mellan sårbarhet och installation av uppdateringar eller där vi endast har mjuka policys som inte styrs av tekniska kontroller. Alla de kritiska säkerhetskontroller vi har skrivit om kan utnyttjas om de inte säkerställs på fler sätt än att bara implementera mjuka policys. Genom ”Red team”-övningar och penetrationstester både testar vi organisationens beredskap och sårbarhet koppla till alla dessa angreppsvektorer. Här tränar vi även organisationen i att bekämpa angrepp och höjer det allmänna säkerhetsmedvetandet. Tanken med dessa övningar och tester är just att träna och identifiera sårbarheter i den holistiska säkerheten för det må låta som en klyscha men en kedja är inte starkare än dess svagaste länk.
Mål:
Utsätt hela företaget för tester av dess skydd kopplat till både teknologi, processer och personer genom simulerade övningar med samma mål och metoder som en angripare skulle ha.
Säkerställ att:
- Genomför återkommande interna och externa penetrationstester för att finna angreppsvektorer mot IT-miljön
- Genomför återkommande “Red team”-övningar för att utvärdera företagets förmåga att identifiera och stoppa angrepp mot IT-miljön
- Upprätta ett poängsystem kopplat till “Red team”-övningarna så att dessa kan värderas och jämföras mot tidigare övningar
Kontrollfråga:
Vad är genomsnittspoängen på ”Red team”-övningar i förhållande till tidigare övningar?
Vill du veta mer:
Kontakta Mårten Thomasson
The post Kritisk säkerhetskontroll 20 appeared first on Addlevel.