Astratto
Con oltre 15,000 vulnerabilità già identificate nel 2023 e 25,227 nel 2022, le organizzazioni dipendono dalle risorse a loro disposizione. Le organizzazioni sono sempre più sopraffatte dal volume di risultati e dal difficile compito di smistare le vulnerabilità per determinare quali affrontare per prime in modo tempestivo e ponderato.
Di conseguenza, c'è bisogno di processi di gestione delle vulnerabilità maturi e di un allontanamento dalle tradizionali classificazioni di gravità. Con l'evoluzione delle capacità degli attori delle minacce che influenzano notevolmente l'aumento dello sfruttamento, è importante che le organizzazioni implementino framework e standard sostenibili per la definizione delle priorità nella gestione delle vulnerabilità. Questo documento rappresenta la prima iterazione di una serie di comunicazioni riguardanti la gestione delle vulnerabilità, incentrate sull'importanza della definizione delle priorità e sulla sua applicabilità alle organizzazioni che utilizzano una varietà di concetti consigliati.
Sintesi
I team di sicurezza di rete sono spesso gravati dal rilascio continuo di vulnerabilità che sono
o divulgate pubblicamente o identificate come zero-day da venditori e ricercatori di sicurezza. Ciascuno di questi livelli di gravità e sfruttabilità delle vulnerabilità è associato a un punteggio Common Vulnerability Scoring System (CVSS) e, spesso, a un numero Common Vulnerabilities and Exposures (CVE). Queste serie di informazioni si sono dimostrate ingombranti e, a volte, possono rappresentare un enigma per le organizzazioni in merito alle loro capacità di gestione delle vulnerabilità. Solo il 2-7 percento di tutte le vulnerabilità pubblicate viene mai sfruttato in natura e, in molti casi, viene ignorato a causa di una mancanza di priorità.
Il concetto di definizione delle priorità nella gestione delle vulnerabilità è significativo in quanto aiuta a supportare strategie efficaci di mitigazione e rimedio attraverso diversi livelli di capacità organizzativa. La correlazione tra definizione delle priorità e livello di capacità delle organizzazioni è strettamente allineata in quanto può aiutare i team di sicurezza a comunicare in modo efficace con le parti interessate, identificare il valore delle risorse e sviluppare policy di rimedio favorevoli alla continuità dei sistemi critici per l'azienda. La definizione delle priorità è un processo che abbraccia tutti i livelli di capacità e consente ai team di sicurezza di allocare correttamente le risorse per affrontare le vulnerabilità associate a livelli di gravità che superano la propensione al rischio dell'organizzazione.
Approccio basato sul rischio dell'ISAC sanitario Libro bianco FNL
Dimensione : 4.2 MB formato: PDF
