Əsas fikir
İnventardan və adı müəyyən edilmiş məsul sahibdən başlayın. Hər tapıntını tədbir və ya təsdiqlənmiş istisna ilə əlaqələndirin, sonra nəticəni yoxlayıb qeyd edin.
Hansı zəifliklər əhatəyə daxildir
Zəiflik kodda bufer daşması və ya inyeksiya qüsuru, avadanlıq dizaynında problem, lazımsız və ya düzgün məhdudlaşdırılmamış xidmət, standart parol və ya təsdiq prosesində boşluq ola bilər. Dəstəklənməyən versiyalar texniki xidmət riski yaradır; köhnə versiya təkbaşına istismar imkanını sübut etmir. İnventara iş stansiyaları, serverlər, şəbəkə qurğuları, bulud resursları, tətbiqlər və üçüncü tərəf komponentləri daxil olsun. Texniki skan təlimi, təsdiqləri və insan riskini tam qiymətləndirmir; hesabat kanallarını və giriş siyasətini ayrıca nəzərdən keçirin.
Proqramın nəticələri
Proqram həll olunmamış məruzqalma müddətini azaltmağa, məsuliyyəti aydınlaşdırmağa və təkrarlanan problemləri aşkarlamağa yönəlsin. İş jurnalında tapıntı, qərar, dəyişiklik və yoxlama sübutunu saxlayın; tətbiq olunan tələblər üçün qeydləri uyğun nəzarətlərlə əlaqələndirin. Tələblər təşkilatın fəaliyyətindən asılıdır. Düzəlişləri planlaşdırarkən həssas məlumatları və xidmətin əlçatanlığını birlikdə nəzərə alın, irəliləyişi faktiki nəticələrlə qiymətləndirin.
İş axınını qurun
İşə başlamazdan əvvəl əhatəni, qərar sahiblərini və texniki icra qaydasını razılaşdırın. Bu quruluş sonrakı qiymətləndirmə və düzəliş dövrləri üçün əsas yaradır.
Əhatəni müəyyən edin
Aktivləri, xidmətləri, asılılıqları və proqramın biznes məqsədini qeyd edin.
Məsul sahibləri təyin edin
Texniki icra və biznes riskinə dair qərarlar üçün məsul şəxsləri müəyyən edin.
Qiymətləndirməni təşkil edin
İcazə verilmiş əhatəni və təhlükəsiz vaxtı razılaşdırın; tapıntıları və faktiki məruzqalmanı yoxlayın.
İcranı razılaşdırın
Təsdiqlənmiş dəyişiklik və ya riski məhdudlaşdıran tədbir üçün məsul sahib, son tarix və dəyişiklikdən sonrakı yoxlama təyin edin.
İnsanlar, avtomatlaşdırma və təkmilləşmə
Skan, bildiriş, yamaq yerləşdirmə və hesabat kimi təkrarlanan addımları avtomatlaşdırmaq gecikmələri azalda bilər, amma alətin əhatəsini, etimadnamələrini və nəticələrini yoxlayın. Təhlükəsizlik, İT əməliyyatları, tətbiq sahibləri və biznes risk sahibləri tapıntının sahibini və dəyişiklik təsirini birlikdə razılaşdırmalıdır. İşçilərə şübhəli mesajı necə bildirmək öyrədilməli, texniki komandaya isə təhlükəsiz skan və bərpa sınağı təlimi verilməlidir. Gecikmə, təkrar açılma, düzəlişdən sonrakı təsdiq və istisnaların yaşı üzrə göstəriciləri nəzərdən keçirib proqramı yeniləyin. Təkrarlanan zəifliklər proqramın daha erkən mərhələsinə baxmağa əsas verir: yeni kod üçün təhlükəsiz proqramlaşdırma yoxlaması, satınalmada dəstəklənən versiya meyarı və standart konfiqurasiya yoxlaması əlavə edilə bilər. Hadisədən sonra bərpa sınağı aparın ki, ehtiyat nüsxə və rol bölgüsü kağız üzərində qalmasın. Dəyişiklikləri təsdiqləmək səlahiyyəti açıq müəyyən edilsin.