Bizim metodologiyamız
Əksər təhlükəsizlik alətləri zəifliklərin siyahısını çıxarır və sizə bunu anlamağa imkan verir. Biz bunun əksini edirik: ətrafınızla oturub, hər sorğunu izləyirik, hər təbəqəni sənədləşdiririk və sabah həyata keçirə biləcəyiniz prioritet planı sizə təqdim edirik.
Məqsəd daha uzun bir zəiflik siyahısı deyil - bu, harada məruz qaldığınızı, bunun nə üçün vacib olduğunu və ilk növbədə nə edəcəyinizi daha dəqiq başa düşməkdir. Tarama və qiymətləndirmə arasındakı fərq budur.
Biz əslində işlətdiyiniz şeylərin xəritələşdirilməsi ilə başlayırıq: sistemlər, hesablar, perimetrlər, inteqrasiyalar. Görmədiyinizi müdafiə edə bilməzsiniz.
Edge, proqram, şəbəkə, backend, data. Hər bir təbəqə öz analizini alır - tək perimetr taraması deyil.
Qırmızı/narıncı/yaşıl prioritetləri və konkret növbəti addımları olan yazılı Təhlükəsizlik Hesabı. Saxlamaq, paylaşmaq, hərəkət etmək sizin ixtiyarınızdadır.
Domen 1 — Girişə Nəzarət və Şəxsiyyətlər
Hər bir pozuntu hesabla başlayır. Biz şəxsiyyəti başdan-başa yoxlayırıq: insanlar, imtiyazlar, SSO, offboarding və təcili giriş.
Çox faktorlu autentifikasiya autentifikator-tətbiq ehtiyatı ilə hər yerdə tətbiq edilir.
Artırmalarda tam audit qeydi ilə ayrı admin hesabları.
Kataloq xidmətinin kəsilməsi sizi bloklamaması üçün oflayn saxlanılan təcili yardım hesabı.
Əsas alətlərdə SSO, SAML/OIDC naqilləri hələ də ikinci dərəcəli tətbiqlərdə gözlənir.
Departamentlər üçün anbarlar və işçi-işçi axını ilə komanda miqyasında parol meneceri.
Hər bir sistem üçün sənədləşdirilmiş offboarding skripti – yetim giriş yoxdur.
Domain 2 — Məlumatların Qorunması və Yedəkləmə Strategiyası
Biz bütün qorunma dövrünü yoxlayırıq: nə şifrələnir, nəyin ehtiyat nüsxəsi alınır, nə qədər tez-tez sınaqdan keçirilir və nə qədər tez geri qayıda bilərsiniz.
Gündəlik ehtiyat nüsxələri rüblük sandbox bərpa testi və vaxtlı bərpa ilə birləşdirilmişdir.
Hər bir noutbukda disk şifrələməsi və yaddaş və verilənlər bazasında platforma tərəfindən idarə olunan açarlar.
İstifadədə aktiv məlumat mühafizəsi etiketləri ilə cari, imzalanmış siyasət.
Hər sistem üçün sənədləşdirilmiş Bərpa Müddəti və Bərpa Nöqtəsi Məqsədləri.
Runbooks, adlı sahibi və tarixli audit sübutları ilə rüblük kadans.
Prioritetlər, asılılıqlar və illik araşdırma ilə yazılı DR planı.
Sizinlə birlikdə işlədiyimiz ehtiyat dövrü
Avtomatlaşdırılmış gündəlik snapshotlar, tranzit və istirahət zamanı şifrələnir.
Qum qutusuna rüblük bərpa - heç bir bəhanə, istisna yoxdur.
Həqiqi RTO-ya qarşı real bərpa - vədlərlə deyil, saatlarla ölçülür.
Auditorlar üçün sübut kimi arxivləşdirilmiş məlumatların bütövlüyünün yoxlanılması + imza.
Yedəkləmə hadisə deyil, bu, bir döngədir - vacib olan yeganə addım bərpa etməkdir.
Domain 3 — İnfrastruktur və Şəbəkə Təhlükəsizliyi
İnternetə baxan kənarlar, ofis WiFi, VLAN sərhədləri, patch kadansı. Perimetriniz vasitəsilə açıq internetdən gələn sorğunu iş yüklərinə qədər izləyirik.
Biz real topologiyanın xəritəsini - ictimai IP-lər, WAF qaydaları, VLAN-lar və giriş - sonra hər hopu onun gözlənilən konfiqurasiyası ilə yoxlayın.
İctimai domenlərdə tarif məhdudiyyəti və bot idarəetməsi ilə kənar təhlükəsizlik.
Kataloqla dəstəklənən identifikasiyası olan WPA3-Müəssisə — paylaşılan WPA2 parolu deyil.
İşçilər, IoT və Qonaq üçün ayrıca VLAN-lar - düz ofis LAN yoxdur.
Sənədləşdirilmiş istisnalarla 30 gün ərzində əməliyyat sistemi və proqram yeniləmələri.
Giden DNS filtrasiyası və nəzərdən keçirilmiş təhlükəsizlik duvarı qaydaları dəsti.
Daxili xidmətlərə şəxsiyyət məlumatlı giriş, gizli şəbəkə etibarı yoxdur.
Domain 4 — Hadisələrə Cavab və Davamlılıq
Hadisəyə cavab planı sənəd deyil, əzələdir. Planı, qazma kadansını, xarici kontaktları və hadisədən sonrakı döngəni yoxlayırıq.
Rollar, eskalasiya yolları və aydın ünsiyyət ağacı ilə cari IR planı.
Nə yoxlayırıq: Versiya, son baxış tarixi, sahiblik və saxlama yeri – və orada adları çəkilən şəxslərin hələ də burada işləməsi.
İldə iki dəfə fırlanan ssenarilərlə stolüstü məşq edir ki, komanda oyun kitabını bilsin.
Nə yoxlayırıq: Son məşq tarixi, ssenarilərin icrası, əldə edilən dərslər və plana geri qaytarılan dəyişikliklər.
IR planında 24/7 nömrələri ilə CERT, sığortaçı, hüquq məsləhətçisi və məhkəmə ekspertizası.
Nə yoxlayırıq: Böhran zamanı danışıqlar aparmamağınız üçün hər bir əlaqə valyuta və əvvəlcədən təsdiqlənmiş əhatə dairəsi üçün sınaqdan keçirilmişdir.
İşçilər, müştərilər, tənzimləyicilər və mətbuat üçün əvvəlcədən hazırlanmış holdinq bəyanatları — hüquqi cəhətdən nəzərdən keçirilmişdir.
Nə yoxlayırıq: Hər bir auditoriya üçün şablonlar, imzalanmış eskalasiya hədləri və status yeniləmələri üçün tək həqiqət mənbəyi.
14 gün ərzində strukturlaşdırılmış ölümdən sonra, əməliyyat elementləri bağlanana qədər izlənilir.
Nə yoxlayırıq: Qüsursuz şablon, fəaliyyət reyestri və hadisədən 90 gün sonra nəzarətləri yenidən yoxlamaq üçün təqvim xatırladıcısı.
Domain 5 — Uyğunluq və Üçüncü Tərəf Riski
GDPR qeydləri, inventarların işlənməsi, məlumat subyektinə giriş, satıcı rəyləri. Biz qeydləri və üçüncü tərəfin risk səthini yoxlayırıq və sizə faktiki olaraq aktual olan reyestrlə buraxırıq.
Domenlərinizə uyğunlaşdırılmış təhlükəsiz keçid, qoşma və anti-fişinq siyasətləri ilə e-poçt platformasının filtrasiyası.
Hər bir fəaliyyəti, qanuni əsasları, saxlama müddəti və sahibi ilə müasir reyestr.
Sahib, SLA və şablonlarla sənədləşdirilmiş Məlumat Mövzusu Giriş Sorğu prosesi.
İstehsal və ya şəxsi məlumatlara çıxışı olan hər bir təchizatçı üçün risk əsaslı qiymətləndirmə.
Reyestrdə arxivləşdirilmiş şəxsi məlumatlara toxunan hər bir yeni sistem və ya təchizatçı üçün PIA.
Bir axtarış edilə bilən yerdə uyğunluq sübutu - siyasətlər, imzalar, qazma qeydləri, rəylər.
Çatdırılan
Yuxarıdakı beş domendən əldə edilən hər bir tapıntı, tərcüməçi olmadan fəaliyyət göstərə biləcəyiniz üç səviyyəli sistemdə hesablanmış bir yazılı hesabatda toplanır. Biz gedəndən sonra əlinizdə qalan budur.
Girişə nəzarət, məlumatların qorunması, infrastruktur, insidentlərə cavab, uyğunluq — hər biri status, tapıntı və sübutlarla.
Hər bir boşluq üçün: prioritet, sahib, səylərin qiymətləndirilməsi və konkret növbəti fəaliyyət – qeyri-müəyyən “nəzərdən keçirin və təkmilləşdirin” deyil.
Hesabata daxil edilmiş memarlıq diaqramları sağlam/risk altında/kritik ilə işarələnmişdir ki, şəkil nəsrə uyğun olsun.
Təhlükəsizlik Hesabınız
Siz jarqonla dolu bir yığın kağız almırsınız. Siz xal alırsınız: hər bir maddə üçün nəyin işlədiyini və nəyə diqqət yetirilməsi lazım olduğunu dərhal aydınlaşdırın.
Kritik zəiflik - dərhal hərəkət tələb olunur. Mümkünsə, gün ərzində düzəldirik.
Diqqət lazımdır — bunu 30 gün ərzində planlaşdırın. Sizə addımları təqdim edirik.
Hər şey yaxşıdır - bu hissə düzgün idarə olunur. Yazılı şəkildə təsdiq edilmişdir.
Hər qiymətləndirmədə orta hesabla 8-12 məsələ tapırıq. Nə tapırıqsa, onu düzəldirik – mümkünsə eyni gün.
Könüllü — eyni gündə sürətli qalibiyyətlər
Tam qiymətləndirmədən sonra vaxtımız varsa, həftələrlə deyil, dəqiqələr çəkən dəyişiklikləri tətbiq edirik, beləliklə, oyandığınızdan daha təhlükəsiz yatırsınız.
Bot idarəetməsini, brauzer bütövlüyünü yoxlamaq və onlara ehtiyac duyan yollar üçün təhlükəsizlik səviyyəsini yandırın. Beş dəqiqə, real təsir.
Əlaqə formasına, giriş və parolun sıfırlanmasına müvafiq məhdudiyyətlər qoyun. Başlamazdan əvvəl ən asan sui-istifadə vektorlarını kəsir.
1-ci səviyyədə tapdığımız keçmiş işçiləri, köhnə admin hesablarını və istifadə olunmamış API açarlarını ləğv edin. Hesabatda ən ucuz qalibiyyət.
HSTS, X-Frame-Options, baza CSP-ni buraxın. Kenarda bir konfiqurasiya dəyişikliyində edildi, əbədi olaraq saxlanılır.
Dürüst xəbərdarlıq: Sürətli qələbələr yalnız tam qiymətləndirmə boş vaxtla başa çatdıqda baş verir. Biz heç vaxt düzəlişlər üçün dərinliyi dəyişməyəcəyik - hərtərəfli yoxlama nəticədir, düzəlişlər bonusdur.
Niyə Korur fərqlidir
Bir çox alət sizə bir skan satacaq. Çox az adam bir gün ofisinizdə oturub tapdıqlarını izah edəcək. Fərq buradadır.
Hər səviyyədə nə etdiyimizi dəqiq görürsünüz - nə qara qutu, nə də mülkiyyət sirri. Metodologiya çatdırıla biləndir.
İnventar, kənar, tətbiq, şəbəkə, arxa uç, məlumat, inteqrasiya. Skanların əksəriyyəti bir təbəqəni əhatə edir; yolu əhatə edirik.
Problem bir neçə dəqiqə ərzində həll olunarsa, davam etməzdən əvvəl onu həll edirik. Siz yalnız siyahı ilə deyil, nəticələrlə ayrılırsınız.
Tərəfdaşlıq xidmətimiz vasitəsilə Təhlükəsizlik Hesabı canlı qalır – tövsiyələrə əməl etdikcə duruşunuzun dəyişdiyini görürsünüz.
Tapdığımız hər şey, auditorunuzun, texniki direktorunuzun və gələcək işə qəbul etdiyiniz şəxslərin oxuya biləcəyi bir sənəddə yer alır. Bilik bizimlə getmir.
Siz olanda hazır olun
Tam bir gün. Saytda. Sabit qiymət. Siz Təhlükəsizlik Hesabı hesabatı və - əgər vaxt varsa - artıq yerləşdirilmiş təkmilləşdirmələr yığını ilə uzaqlaşırsınız.
