39:51Cet enregistrement n'est pas encore disponible.
Scanning Isn’t Enough: Measuring true risk with a Risk-Based Vulnerability Management program
Télécharger les ressourcesCatégories
Gouvernance, risque et leadership (GRC)Gestion du risqueProgramme et stratégie de sécuritéSécurité offensive et expositionGestion des vulnérabilitésMenaces et renseignement
Fournisseurs et outils abordés
À propos de cette session
Nathan Wenzler, stratège en chef chez Tenable, soutient que la plupart des organisations évaluent les vulnérabilités sans les gérer : balayages sporadiques non authentifiés, rapports bruts et une liste de correctifs classée par CVSS à appliquer au complet. Avec le mythe de la cartouche Nintendo, il met en garde contre les habitudes qu'on ne remet plus en question. Son modèle de maturité va du balayage classique à la gestion fondée sur le risque, qui couvre tous les actifs (web, conteneurs, TO) et priorise selon le renseignement sur les menaces et la criticité des actifs, puis à la gestion de l'exposition cyber, où le risque technique rejoint le contexte d'affaires : ententes de service, cyberassurance, valeur des actifs. Il cite McKinsey, où la seule priorisation a réduit le risque de 7,5 fois sans coût ajouté, et Gartner, qui y associe moins de brèches. La cote de priorité de Tenable, bâtie sur environ 150 données, est illustrée par la faille Windows exploitée par Sodinokibi, un bogue Oracle dont la menace s'est estompée et une faille du noyau Linux cotée avant son CVSS. Il termine sur les métriques : tendance du risque par unité d'affaires, respect des ententes, comparaison aux pairs et ludification.
The threat landscape isn't just changing at blinding speeds, it's expanding into areas and devices that many never considered before. Vulnerability Management (VM) tools have been around for many years, but like
any other security function, have had to adapt to account for the scope and scale of the devices security teams are protecting. In this discussion, we'll take a look at some of the challenges security teams are facing when trying to mitigate vulnerabilities across every type of asset out there. We'll also discuss how a risk-based approach to prioritization of vulnerabilities is a real force multiplier for security programs versus traditional VM methodologies. Finally, we'll review a data science driven model for assigning risk, that,
even as the threat landscape changes, demonstrates how these approaches can be brought together to answer the right kinds of questions your leaders are asking which will improve your overall security posture and encourage a stronger security culture in your organization.
À retenir
- Cesser de rapporter des nombres de correctifs; rapporter la réduction du risque par unité d'affaires, le respect des ententes de service et la comparaison aux pairs, et laisser une saine compétition entre équipes accélérer la remédiation.
- Prioriser selon l'exploitabilité et l'activité réelle des menaces, croisées avec la criticité des actifs; seule une petite fraction des milliers de CVE annuelles a un exploit fonctionnel.
- Étendre l'évaluation au-delà des serveurs et postes vers les applications web, les conteneurs, le nuage et les TO, et valider qu'un correctif et son changement de configuration ont vraiment éliminé le risque.
- Attribuer un propriétaire à chaque actif et convenir avec lui du chemin de remédiation; bien des correctifs passent par la configuration, le code ou des contrôles compensatoires plutôt qu'une rustine.
- Intégrer les données du balayeur au SIEM, aux outils de poste, à l'ITSM et aux dossiers des finances ou du juridique (couverture d'assurance, exigences de politique) pour bâtir une vue d'affaires de l'exposition.
