Analiza ranljivosti

Postopek se začne s popisom sredstev, saj ni mogoče pregledati tistega, česar organizacija ne ve, da ima. Sledijo pregledi s prijavo v sistem in brez nje, primerjava nastavitev z izhodišči za utrjevanje ter primerjava različic programske opreme z bazami znanih ranljivosti. Ugotovitve dobijo oceno resnosti po skupni lestvici (CVSS), ki jo je treba dopolniti z izpostavljenostjo sistema, dejansko izkoriščanostjo ranljivosti v praksi in poslovno pomembnostjo sredstva.

Razlika glede na penetracijski test je razlika med širino in globino. Analiza ranljivosti odgovarja na vprašanje, katere pomanjkljivosti obstajajo in kje; penetracijski test odgovarja na vprašanje, kaj lahko napadalec z njimi dejansko doseže, če jih poveže v verigo. Analiza je pretežno avtomatizirana, ponovljiva in pogosta ter pokriva celotno okolje; test je pretežno ročen, časovno omejen, osredotočen in potrdi resnični vpliv, vključno z logičnimi napakami, ki jih orodja ne zaznajo. Ugotovitve orodij je treba ročno preveriti, saj so lažni pozitivni in lažni negativni zadetki pogosti.

Vrednost nastane šele, ko je analiza vpeta v neprekinjen proces upravljanja ranljivosti: popis, odkrivanje, triaža, prednostno razvrščanje glede na tveganje in ne le glede na oceno resnosti, odprava ali nadomestni ukrep, preverjena zaprtost ter poročanje o trendih. Smiselni so dogovorjeni roki po stopnjah resnosti in evidenca izjem z utemeljitvijo in rokom veljavnosti. Sistematično obvladovanje tehničnih ranljivosti pričakujeta tudi standard za sisteme upravljanja informacijske varnosti in evropska kibernetska zakonodaja.