Termin “stan bezpieczeństwa” jest używany do opisania ogólnego stanu bezpieczeństwa organizacji i gotowości do reagowania. Pojawia się wiele rozwiązań, które agregują wyniki, aby zapewnić całościowy obraz zagrożeń bezpieczeństwa w przedsiębiorstwie.

Stan bezpieczeństwa może być również postrzegany jako sposób na ustalenie priorytetów działań w zakresie bezpieczeństwa, pomagając odpowiedzieć na pytanie: “Nad czym powinniśmy pracować w następnej kolejności?” w oparciu o równoważenie ryzyka poprzez analizę danych kontekstowych i ważenie wymaganych działań naprawczych.

Ale skąd pochodzą potrzebne dane kontekstowe? Czy wymagają one nowych skanerów? Czy strategia “wyrwij i wymień” jest właściwa? Nie sądzimy, aby tak było; ASPM to nowy rodzaj narzędzi do zarządzania ryzykiem, najlepiej zbudowany na bazie tego, co już działa w Państwa przedsiębiorstwie.

ASPM

W Maj 2023, Gartner zdefiniował Application Security Posture Management jako najnowszy segment rynku Security Posture Management, definiując go jako system, który “stale zarządza ryzykiem aplikacji poprzez gromadzenie, analizę i priorytetyzację kwestii bezpieczeństwa w całym cyklu życia oprogramowania”.

Rozwiązania ASPM gromadzą kwestie związane z aplikacjami, aby pomóc w analizie wpływu ryzyka. Kwestie te obejmują zakodowane sekrety, nieuwierzytelnione interfejsy API, niezaszyfrowane przepływy danych, kwestie związane z danymi PII i wiele rodzajów luk w zabezpieczeniach aplikacji. Jest to szybko rozwijający się rynek, na którym obecni są tacy gracze jak ArmorCode, Bionic (firma CrowdStrike), Cider Security (firma należąca do Palo Alto Networks)oraz Kondukto.

Państwa bezpieczeństwo jest tylko tak dobre, jak Państwa dane

Chociaż rozwiązania ASPM nie są cudownym lekarstwem, mogą zapewnić nowy sposób na szybkie uzyskanie cennego wglądu. Jednak jak w przypadku każdej technologii, istnieją pewne pułapki, na które należy uważać.

Fałszywe pozytywy

Jeśli narzędzie bezpieczeństwa ma wysoki stosunek szumu do sygnału, z dużą liczbą fałszywych alarmów, wpłynie to na Państwa zdolność do jasnego zrozumienia tego, co się dzieje. Jeśli narzędzia te generują nieoznakowane lub nieocenzurowane raporty o incydentach, rozróżnienie między kwestiami krytycznymi i niskiego ryzyka staje się naprawdę trudne. Chociaż wszystkie narzędzia będą z czasem poprawiać swoją dokładność, nie wszystkie zostały w takim samym stopniu zahartowane w boju.

Fałszywe negatywy

Brak alarmu niekoniecznie oznacza, że wszystko jest w porządku; może to oznaczać, że system nie sprawdza właściwych rzeczy. Błędnie skonfigurowane narzędzia mogą zgłaszać test jako pozytywny, gdy w rzeczywistości nie przeprowadza on kontroli. Myślenie, że nie ma problemów, może oznaczać niezauważenie narastającego problemu, dopóki nie stanie się on uciążliwy i kosztowny.

Złożoność rozwiązania

Ze względu na charakter rozwiązań ASPM, pobierających dane z wielu źródeł i skanerów, istnieje nieodłączna złożoność tego podejścia. Jeśli zarządzają Państwo tylko niewielką liczbą aplikacji, koszty ASPM mogą przewyższać korzyści. ASPM nie jest rozwiązaniem uniwersalnym.

Środki zaradcze są kluczowe

ASPM powinien również określać ścieżkę naprawy zidentyfikowanych błędów. Ilość wysiłku potrzebnego do naprawienia błędu jest poważnym czynnikiem branym pod uwagę przy rozważaniu różnych zadań na liście triage. Jeśli wdrożenie poprawki zajmie kilka chwil i znacznie zmniejszy ryzyko, jest to łatwa “poprawka teraz”. Jeśli naprawa zajmie tygodnie, ale wiąże się z mniejszym ryzykiem, można odłożyć to zadanie na przyszły sprint.

Jako dodatek, a nie zamiennik

Ostatnio, jeden z analityków narzędzi bezpieczeństwa powiedział“Nie znam ani jednego specjalisty ds. bezpieczeństwa, który nie byłby szczęśliwy, mogąc porzucić wszystkie swoje stare narzędzia na rzecz jednego lepszego, jeśli nie poświęciłby przy tym przydatnych funkcji”. (podkreślenie moje).

Rzeczywistość jest taka, że nawet jeśli narzędzie bezpieczeństwa typu “wszystko w jednym” mogłoby dorównać użytecznością i przewyższyć narzędzia zajmujące się konkretnymi kwestiami bezpieczeństwa, rozwiązanie typu “rip-and-replace” prawdopodobnie nie sprawdzi się w większości przedsiębiorstw. Koszty i wola polityczna potrzebne do zastąpienia istniejącej i działającej technologii “obiecującym” nowym narzędziem będą wysokie.

Proszę przygotować się na nadchodzące zagrożenia

Ewolucja rynku zarządzania stanem bezpieczeństwa oznacza ewolucję branży bezpieczeństwa. Przedsiębiorstwa nie mogą już polegać na niepowiązanych ze sobą zestawach wyników testów i ogromnych raportach dotyczących bezpieczeństwa. Musimy wyjść z naszych silosów informacyjnych. Zarządzanie ryzykiem w nowoczesnym przedsiębiorstwie wymaga bardziej aktywnego i holistycznego podejścia. U podstaw każdego podejścia ASPM leży potrzeba posiadania dobrych danych i jasnej ścieżki naprawy.