Process för sårbarhetshantering: från fynd till åtgärd

Processens sex steg

• Inventarie: Utan fullständig tillgångsinventering förblir system okontrollerade (se Attack Surface Management).
• Upptäcka: Skannrar, agenter och molnanslutningar levererar fynd.
• Bedöma: Väga samman allvarlighetsgrad, utnyttjandebarhet, nåbarhet och affärsvärde.
• Prioritera: Fastställa ordningen efter risk och sätta tidsfrister.
• Åtgärda: Patch, konfigurationsändring eller kompenserande åtgärd.
• Kontrollera och styrka: Skanna igen, dokumentera resultatet.

Varför CVSS ensamt inte räcker

CVSS-värdet beskriver en sårbarhets tekniska allvarlighetsgrad – inte risken för ert företag. En stor del av sårbarheterna med högt CVSS-värde utnyttjas aldrig eller finns i system som inte ens går att nå. Den som strikt arbetar efter CVSS binder kapacitet på fel ställen.

Bättre signaler: EPSS, KEV och angreppsvägar

• EPSS (Exploit Prediction Scoring System från FIRST) uppskattar sannolikheten att en sårbarhet utnyttjas inom de kommande 30 dagarna.
• KEV-katalogen från den amerikanska myndigheten CISA listar sårbarheter som bevisligen utnyttjas aktivt.
• Nåbarhet och angreppsvägar visar om en sårbarhet kan nås utifrån och leder till kritiska system – det är vad Exposure Management levererar.

Tidsfrister och underlag

Tidsfrister för åtgärder bör styras av risk, till exempel några få dagar för aktivt utnyttjade, nåbara sårbarheter i kritiska system. För revisioner enligt ISO/IEC 27001 (bilaga A 8.8 ”Hantering av tekniska sårbarheter”) och för NIS2 är det viktigt att process, tidsfrister och åtgärder är spårbart dokumenterade.

Det här är viktigt i programvara för sårbarhetshantering

• Sammanförande av alla källor utan dubbletter
• Prioritering efter utnyttjandebarhet och nåbarhet, inte bara efter CVSS
• Uppgifter med sammanhang till ansvariga team
• Automatisk omkontroll efter åtgärd
• Rapporter med historik för revisorer och ledning