Abstract
Avec plus de 15,000 2023 vulnérabilités déjà identifiées en 25,227 et 2022 XNUMX en XNUMX, les organisations dépendent des ressources dont elles disposent. Elles sont de plus en plus dépassées par le volume de découvertes et par la tâche difficile de trier les vulnérabilités pour déterminer celles à traiter en premier lieu de manière opportune et judicieuse.
Il est donc nécessaire de faire évoluer les processus de gestion des vulnérabilités et de s’éloigner des évaluations de gravité traditionnelles. L’évolution des capacités des acteurs de la menace influençant grandement la montée de l’exploitation, il est important pour les organisations de mettre en œuvre des cadres et des normes durables de priorisation dans la gestion des vulnérabilités. Ce document constitue la première itération d’une série de communications sur la gestion des vulnérabilités, mettant l’accent sur l’importance de la priorisation et son applicabilité aux organisations utilisant une variété de concepts recommandés.
Préface
Les équipes de sécurité réseau sont souvent encombrées par la publication continue de vulnérabilités
Les vulnérabilités sont soit divulguées publiquement, soit identifiées comme zero-day par les fournisseurs et les chercheurs en sécurité. Chacune de ces vulnérabilités est associée à un niveau de gravité et d'exploitabilité du Common Vulnerability Scoring System (CVSS) et, souvent, à un numéro Common Vulnerabilities and Exposures (CVE). Ces masses d'informations se sont révélées fastidieuses et peuvent parfois poser un problème aux organisations concernant leurs capacités de gestion des vulnérabilités. Seulement 2 à 7 % de toutes les vulnérabilités publiées sont exploitées dans la nature et, dans de nombreux cas, sont ignorées en raison d'un manque de priorisation.
Le concept de priorisation dans la gestion des vulnérabilités est important car il permet de soutenir des stratégies efficaces d'atténuation et de correction à différents niveaux de capacité organisationnelle. La corrélation entre la priorisation et le niveau de capacité des organisations est étroitement liée car elle peut aider les équipes de sécurité à communiquer efficacement avec les parties prenantes, à identifier la valeur des actifs et à développer des politiques de correction propices à la continuité des systèmes critiques pour l'entreprise. La priorisation est un processus qui couvre tous les niveaux de capacité et permet aux équipes de sécurité d'allouer correctement les ressources pour traiter les vulnérabilités associées à des niveaux de gravité qui dépassent l'appétence au risque de l'organisation.
Livre blanc sur l'approche basée sur les risques de l'ISAC en matière de santé FNL
Taille: 4.2 MB Format: PDF
