Recientemente he realizado una revisión de seguridad y he descubierto más o menos 200 áreas para mejorar al cubrir una gama muy diversa de temas; Algunos puntos son procesos, otros son configuración, algunos son sistemas nuevos que se implementarán. Todo, desde SAST, desde la arquitectura hasta qué cifrado usar.
En este momento es un gran lío de problemas. Necesito una forma de organizarlos en categorías coherentes para tener sentido, agrupar diferentes temas que se encuentran en un tema similar y priorizar quizás. También sería útil ver si hay áreas que no he considerado.
He estado buscando modelos estandarizados o listas informales de categorías para cubrir, pero lo que he encontrado ha sido muy limitado y específico.
He considerado algo como:
- Prevención (Configuración, SAST, DAST, WAF, DLP, etc.)
- Detección (SIEM, Escaneo de Vulnerabilidad, Pruebas con Pluma)
- Respuesta (eliminación de malware, etc.)
El problema aquí es:
- Siento que estoy tratando de reinventar una rueda
- Esto es demasiado simplista, especialmente para la prevención, que se puede dividir en tantas categorías.
Me sorprendería si no hay un sistema preexistente que pueda usar. Solo una cuestión de qué buscar en google.