Sårbarhetshåndtering som prosess: fra funn til utbedring

Prosessens seks steg

• Inventar: Uten et komplett inventar over eiendeler blir systemer ikke kontrollert (se attack surface management).
• Oppdage: skannere, agenter og skyintegrasjoner leverer funn.
• Vurdere: sette sammen alvorlighetsgrad, utnyttbarhet, tilgjengelighet og forretningsverdi.
• Prioritere: fastsette rekkefølge etter risiko og sette frister.
• Utbedre: patch, konfigurasjonsendring eller kompenserende tiltak.
• Etterkontrollere og dokumentere: skanne på nytt, dokumentere resultatet.

Hvorfor CVSS alene ikke holder

CVSS-verdien beskriver den tekniske alvorlighetsgraden til en sårbarhet – ikke risikoen for virksomheten deres. En stor andel av sårbarhetene med høy CVSS-verdi blir aldri utnyttet eller gjelder systemer som ikke kan nås. Den som jobber strengt etter CVSS, binder kapasitet på feil sted.

Bedre signaler: EPSS, KEV og angrepsveier

• EPSS (Exploit Prediction Scoring System fra FIRST) anslår sannsynligheten for at en sårbarhet blir utnyttet de neste 30 dagene.
• KEV-katalogen fra den amerikanske myndigheten CISA lister sårbarheter som bevislig utnyttes aktivt.
• Tilgjengelighet og angrepsveier viser om en sårbarhet kan nås utenfra og fører til kritiske systemer – det er hva exposure management gjør.

Frister og dokumentasjon

Utbedringsfrister bør styres av risiko, for eksempel få dager for aktivt utnyttede, tilgjengelige sårbarheter på kritiske systemer. For revisjoner etter ISO/IEC 27001 (vedlegg A 8.8 «Håndtering av tekniske sårbarheter») og for NIS2 er det viktig at prosess, frister og utbedring er sporbart dokumentert.

Hva som teller i programvare for sårbarhetshåndtering

• Sammenstilling av alle kilder uten duplikater
• Prioritering etter utnyttbarhet og tilgjengelighet, ikke bare etter CVSS
• Oppgaver med kontekst for de ansvarlige teamene
• Automatisk etterkontroll etter utbedring
• Rapporter med historikk for revisorer og ledelse