Əsas fikir
Nəticə yalnız checklist deyil: əhatə dairəsi, müşahidə edilən sübut, riskin mümkün təsiri, düzəliş sahibi və yoxlanmış bağlanma addımı olmalıdır.
Əhatəni və sübutları müəyyənləşdirin
Qiymətləndirmədən əvvəl hansı provayderlərin, hesabların, layihələrin, abunəliklərin, regionların, tətbiqlərin və məlumat siniflərinin daxil olduğunu yazın. Məsul komandalarla hədəfi razılaşdırın: məsələn, ictimaiyə açıq yaddaşı tapmaq, imtiyazlı girişə baxmaq və ya bərpa planını yoxlamaq. Hər nəzarət üçün sübut mənbəyini qeyd edin: konfiqurasiya ixracı, identifikasiya siyasəti, jurnal nümunəsi, kod baxışı və ya bərpa məşqinin nəticəsi. Əhatədən kənarda qalan resursları da açıq qeyd edin.
İdentifikasiya və konfiqurasiyanı yoxlayın
İnsan və iş yükü hesablarını, MFA əhatəsini, rol icazələrini, artıq qalmış etimadnamələri və xarici paylaşımı nəzərdən keçirin. Yaddaş resurslarının kimlər üçün açıq olduğunu, firewall və təhlükəsizlik qruplarını, API girişlərini, açarların idarəsini və audit qeydlərini yoxlayın. Hər tapıntıda konkret resursu, müşahidə olunan parametr və gözlənilən siyasəti göstərin. “Bulud təhlükəsiz deyil” kimi ümumi nəticə əvəzinə, məsələn, hansı bucket siyasətinin hansı məlumatı kimə açdığını və bunun təsdiqlənib-təsdiqlənmədiyini yazın.
İş yükləri, monitorinq və bərpanı qiymətləndirin
Virtual maşın və konteynerlərin yenilənməsi, virtual maşın və konteyner obrazlarının (image) mənşəyi, sirrlərin saxlanması, həssas məlumatın şifrələnməsi və xidmətlərarası əlaqə qaydalarını qiymətləndirin. Təhlükəsizlik qeydlərinin nə qədər müddət saxlanıldığını və məsul əməkdaşların bu qeydlərə giriş əldə edə bildiyini yoxlayın. Hadisə zamanı hansı komandanın bulud, tətbiq və məlumat sahibi ilə əlaqə saxladığını dəqiqləşdirin. Ehtiyat nüsxənin yaradılması kifayət deyil: səlahiyyətli şəxslərin bərpa edə bildiyini və nəticənin biznes tələbinə uyğun olduğunu sınaqdan keçirin.
Tapıntıları riskə görə planla bağlayın
Tapıntının bağlanmasını düzəliş və ya təsdiqlənmiş qalıq risk qərarı ilə sənədləşdirin. Riskin qəbulu texniki düzəliş deyil.
Tapıntını qeydə alın
Konkret resursu, müşahidə olunan vəziyyəti, sübutu və mümkün təsiri yazın.
Prioritet və sahib təyin edin
Təsir, istismar ehtimalı, məlumat həssaslığı və kompensasiya nəzarətlərinə görə prioritet seçin; sahib, müddət və müvəqqəti tədbir təyin edin.
Düzəlişi və ya istisnanı yoxlayın
Yüksək təsirli düzəlişi işlək mühitə tətbiq etməzdən əvvəl həm düzəlişi, həm də onu geri qaytarma prosedurunu sınaqdan keçirin; qalıq risk qalırsa, istisnanı və onu təsdiqləyən şəxsi sənədləşdirin.
Təkrar yoxlayın və sübutu saxlayın
Düzəlişdən sonra ilkin vəziyyətin aradan qalxdığını və nəzarətin işlədiyini yoxlayın; istisnada təsdiqi və qalan vəziyyəti qeyd edin. Bağlanma sübutunu saxlayın və təkrar qiymətləndirmə şərtini müəyyən edin.
Çərçivələri və təkrar yoxlamanı məqsədə uyğun seçin
NIST CSF 2.0 kimi çərçivə nəzarət nəticələrini risk proqramı ilə əlaqələndirə bilər; uyğun konfiqurasiya benchmarkı isə seçilmiş provayder və xidmət üçün konkret texniki yoxlamalar verir. Hər ikisini təşkilatın sahəsinə, məlumat həssaslığına və müqavilə öhdəliyinə uyğunlaşdırın. Yoxlamanı yalnız təqvim üzrə deyil, yeni hesab və region açıldıqda, identifikasiya siyasəti dəyişdikdə, kritik tətbiq köçürüldükdə və ya audit tapıntısı yarandıqda da təkrarlayın. CSF 2.0 avtomatik sertifikat və ya uyğunluq sübutu vermir.