Ta rozmowa po prostu wyjaśnia, jak działa MIAUW i jaka jest wartość dodana. Jest to jasne podsumowanie, które oczywiście nie jest wyczerpujące. Omawia dlaczego, jak działa MIAUW i dlaczego potrzebujesz przejrzystości w zakresie testów.
Ponadto dobrze omawia wartość audytu z udziałem audytora.
Stworzyliśmy zapis rozmowy:
Głośnik 1 Witamy dzisiaj, zanurzamy się w świat testów penetracyjnych. Często nazywane są testami piórowymi. Wiesz, jak ważne jest cyberbezpieczeństwo, prawda? Zwłaszcza w obliczu nowych przepisów, takich jak, cóż, NIS2, które zwiększają presję.
Głośnik 2 Z pewnością, ale czasami zastanawiacie się nad tym testem piórkowym, który przeprowadziłem. Czy to było naprawdę dobre, wiesz? I co właściwie oznaczają te wyniki?
Głośnik 1 Dokładnie. Według MIAUW właśnie tym starają się zająć źródła, którymi dysponujemy, zwłaszcza te części pentestingu. Tak, to całkiem sporo, jeśli chodzi o metodologię badań bezpieczeństwa informacji o wartości audytorskiej, ale chodzi o to, aby zaprowadzić porządek. Cóż, czasami nieco nieprzejrzysty świat.
Głośnik 2 OK, więc pozbądź się tej dwuznaczności. Dzisiejszym celem jest sprawdzenie, co pociąga za sobą metodologia „MIAUW” i dlaczego takie ustrukturyzowane podejście jest najwyraźniej tak ważne, aby naprawdę mieć kontrolę. Rozpakujmy to.
Głośnik 1 Dobry pomysł. Źródła właściwie zaczynają się od praktycznych przykładów, rzeczy, które idą nie tak, prawda? Tak.
Głośnik 2 Takie jak raporty, do których nie wolno Ci przeglądać, testy, które po prostu pomijają ważne systemy lub ustalenia, które później okazują się całkowicie błędne.
Głośnik 1 Em your jest rodzajem odpowiedzi na podstawową ideę. Upewnij się, że wszystko jest możliwe do naśladowania i niezaprzeczalne. Każde śledztwo musi, jak mówią, mieć wartość audytorską.
Głośnik 2 Wartość audytu, która brzmi poważnie. Co to dokładnie oznacza?
Głośnik 1 Cóż, to po prostu oznacza, że jest to krystalicznie jasne. Co zbadałeś, jak to zrobiłeś i z jakim skutkiem, a co bardzo ważne, na podstawie wszystkich dowodów zdefiniowałeś 9 pewników, takich jak jasność co do wiedzy specjalistycznej testera, zastosowanego procesu lub tego, czy test został ukończony zgodnie ze standardami.
Głośnik 2 Poczekaj chwilę zgodnie ze standardami. Tak, zakres musi być jasny, dowody i raportowanie muszą być jednolite. To spora lista.
Głośnik 1 To brzmi jak MIAUW, nie tyle wymyślanie koła na nowo, ale raczej wzięcie istniejących najlepszych praktyk i standardów i powiedzenie: tak powinno się to robić, prawda?
Głośnik 2 Tak, to właściwie dobre podsumowanie. Źródła wyraźnie wspominają standardy międzynarodowe, takie jak przewodniki po testach OWASP.
Głośnik 1 No cóż, znam go od góry.
Głośnik 2 Dokładnie, ale uważaj, prawda? Źródło podkreśla spojrzenie poza pierwszą dziesiątkę. To bardziej dla świadomości. Nie jest to kompletna metoda testowa. To są prawdziwi przewodnicy. Pstg dla Internetu MSTG dla telefonów komórkowych i tak dalej.
Głośnik 1 W jaki sposób ustalają jasność i powagę znalezionych informacji?
Głośnik 2 W tym celu MIAUW zaleca standard CVSS, który przyznaje ocenę od zera do 10. To pomaga zachować obiektywizm, wiesz?
Głośnik 1 Logiczne.
Głośnik 2 Nawiasem mówiąc, wspominają również o kontrolach CIS przy sprawdzaniu konfiguracji, ale co ważne, jeśli coś nie jest zgodne z taką kontrolą CIS, nie jest to automatycznie luka w CV. Ślady. To raczej obserwacja, kontekst jest tu ważny.
Głośnik 1 OK, więc standardy dotyczące treści, ale co z procesem? To chyba też trzeba mocniej dokręcić.
Głośnik 2 Oczywiście, to też jest ustrukturyzowane. Zaczyna się od spożycia, fazy poprzedzającej zaangażowanie. Następnie otrzymasz plan działania.
Głośnik 1 Plan działania? Tak.
Głośnik 2 Potem samo wdrożenie, a potem zakończenie i raportowanie, ale wisienką na torcie MIAUW jest krokiem opcjonalnym. Walidacja przez niezależnego audytora.
Głośnik 1 Poczekaj, aż audytor obejrzy test piórem. To dla mnie nowość. Jak to działa?
Głośnik 2 Audytor ustanawia aktualizację procesu, która sprawdza. Właściwie wszystkie te wymagania zostały spełnione. Czy proces został zrealizowany? Zgodnie z ustaleniami, czy rzeczywiście istnieją dowody? Czy raportowanie jest prawidłowe?
Głośnik 1 Ach, więc sprawdza, że tak powiem, kontrolowane.
Głośnik 2 Dokładnie, to jest klucz do tej wartości kontrolnej. Ten audytor jest mniej zaniepokojony. Głębia techniczna. To pozostaje rolą testera penetracji, ale tak naprawdę dotyczy niezawodności całego procesu.
Głośnik 1 A to oczywiście ogromnie pomaga wykazać, że masz kontrolę nad NS i RODO. 70 10 W służbie zdrowia.
Głośnik 2 Właśnie o to chodzi, demonstrowalność.
Głośnik 1 Logicznie rzecz biorąc, bierze się pod uwagę także stronę prawną, bo tak, testowanie bez pozwolenia jest karalne, prawda? Naruszenie komputera.
Głośnik 2 Zgadza się, źródła są co do tego jasne. Dobre ustalenia co do zakresu są kluczowe. Umowa o zachowaniu poufności, NDA, jest również standardowym zastrzeżeniem.
Głośnik 1 Oraz RODO, jeśli napotkają dane osobowe.
Głośnik 2 Tak, według źródeł często konieczna jest umowa o przetwarzanie danych. Widzimy zatem wszystkie te rzeczy razem, metodologię, standardy, oficjalny raport, ramy prawne, co sprawia, że test piórowy jest naprawdę czymś więcej niż tylko testem technicznym.
Głośnik 1 Staje się swego rodzaju dowodem.
Głośnik 2 Sprawdzalny dowód należytej staranności? Tak. OK, więc podsumowując, MIAUW stara się, aby testy piórkowe były bardziej przejrzyste, spójne i przede wszystkim wyraźnie niezawodne. Daje to pewnego rodzaju ramy, dzięki którym wiesz, co kupujesz, a wyniki faktycznie mają wartość dla audytów i zgodności.
Głośnik 1 Zapewnia coś, czego można się trzymać, aby naprawdę móc się pokazać. Słuchaj, podchodzimy do tego poważnie, kontrolujemy to, mamy kontrolę.
Głośnik 2 No cóż, ostatnia myśl, co? Kiedy spojrzymy na te źródła. Teraz ta presja, aby wyraźnie kontrolować sytuację. Zwiększa to proces techniczny i prawny. Jak to się zmienia? Dobrym pytaniem jest sposób, w jaki Państwo, jako organizacja, kupujecie taki test piórowy, czy nadal najważniejsza jest najniższa cena, czy też możliwa do wykazania jakość staje się wartością audytu, o której mówiliśmy? Myślę, że jest to o wiele ważniejsza rzecz do przemyślenia.
<sterowanie dźwiękiem>