"Pruebas" solo no lo hará.
- Evaluación de riesgos
Frecuencia: bianual
- Activos de información de documentos (sistemas, redes, componentes de infraestructura, etc.)
- Identifique amenazas a esos activos (vulnerabilidades, vectores de ataque, etc.)
- Examine y revise cómo los controles de seguridad y las medidas implementadas mitigan o eliminan el riesgo de esos ataques (controles de acceso, procesos, políticas, estándares de seguridad, etc.)
- Identifique las necesidades de seguridad, soluciones o áreas de mejora
Al categorizar los activos, no solo mire la importancia del servicio que brinda a la organización (p. ej., misión crítica), sino los riesgos que están asociados con un compromiso potencial, el valor de la información, el impacto de compromiso potencial. Un sistema puede ser totalmente poco importante para el negocio diario de la organización, pero podría ser de gran importancia en términos de la información que puede proporcionar a un atacante, si está comprometido. Hicimos una broma en la oficina: uno de nuestros compromisos de Pentest no iba a ninguna parte, los servidores web y la infraestructura pública del cliente eran sólidos, pero logramos comprometer la computadora portátil de la secretaria del Oficial Principal de Finanzas. Curiosamente, tenía una copia del estado financiero de la compañía, días antes de su lanzamiento oficial. Dado que el cliente era una empresa que cotiza en bolsa ... ya sabes a dónde va esto.
- Auditoría de seguridad
Frecuencia: Trimestral
Desafortunadamente, muchos se olvidan de que la mayoría de los problemas se pueden identificar al mirar las cosas desde adentro, en lugar de hacer pruebas desde afuera. Una auditoría realizada correctamente puede revelar problemas que podría no revelarse fácilmente durante un Pentest (veamos las cuentas definidas para ese administrador Tomcat). Aquí hay algunos puntos básicos:
- Revisar configuraciones (servidores, enrutadores, conmutadores, cortafuegos)
- Verifique que se apliquen las políticas (por ejemplo, asegúrese de que se hayan eliminado las cuentas de ex empleados, mire las contraseñas y cuándo se modificaron por última vez)
- Observe cómo se configuran y realizan las copias de seguridad, el cifrado de datos confidenciales, cómo se implementa el control de acceso (incluidos los identificadores físicos y otros elementos aparentemente sin importancia)
_
- Ciclo de vida de los sistemas
Frecuencia: En curso
Cada vez que TI presenta un nuevo sistema, agrega una red, proporciona un nuevo servicio o desactiva uno anterior, el equipo de infosec debe participar para revisar, analizar e implementar medidas de seguridad. Haz que sea parte del proceso.
- Revisión de vulnerabilidades y parches
Frecuencia: Semanal
Cuando reciba esos boletines de seguridad, si contienen elementos que están directamente relacionados con los productos / sistemas que tiene instalados, preste atención.
Además, no "asuma" que todo está remendado el martes; WSUS puede funcionar bien, pero debe realizar algunas comprobaciones básicas y mirar los registros.
Hay más elementos, pero esto ya es demasiado largo y no estoy escribiendo un libro. Cosas adicionales para mirar:
- Eventos de seguridad, informes de incidentes y respuesta a incidentes
- días de concientización sobre la seguridad
- Mesa redonda de seguridad (con la participación del CEO)
- ...