6.4 Metrigau rheoli diogelwch a gwendidau

Trosolwg a chymhelliant

Mae’r pwnc hwn yn cau Rhan 6 trwy ymestyn yr un ddisgyblaeth dibynadwyedd y mae’r rhan hon wedi’i hadeiladu, gosod-targed, parejo- cledr-ddiogelwch, adrodd digwyddiad onest, i risg wahanol ond yn agos gysylltiedig: nid a yw system yn methu ar ei phen ei hun, ond a yw rhywun yn ei gwneud yn methu, neu’n ei chamfanteisio, yn fwriadol. Mae metrigau rheoli gwendidau yn mesur pa mor dda y mae sefydliad yn dod o hyd i wendidau diogelwch ac yn eu trwsio cyn iddynt gael eu camfanteisio: faint o wendidau sy’n bodoli, pa mor ddifrifol ydynt, ac, yn hollbwysig, pa mor gyflym y cânt eu hunioni unwaith y’u darganfyddir, gan fod gwendid hysbys ond heb ei drwsio’n risg sefydlog, meintiol y mae’r sefydliad wedi dewis ei gario, boed yn fwriadol neu trwy esgeulustod.

Mae pryder canolog y pwnc hwn yn adlewyrchu triniaeth pwnc 4.4 o ganfyddiadau dadansoddiad statig yn uniongyrchol: mae cyfrif gwendid crai’n fetrig gwael, gan gymysgu materion dibwys a chritigol, ac mae’n agored i union yr un risgiau twyllo, culhau diffiniad, atal, a thwyllo trothwy, y mae pwnc 1.2’n eu disgrifio’n gyffredinol. Yr ychwanegiad penodol y mae metrigau diogelwch ei angen yw olrhain amser-i-unioni yn erbyn difrifoldeb, gan fod gwendid critigol yn eistedd heb ei drwsio am fisoedd yn cynrychioli risg sylfaenol wahanol na’r un gwendid wedi’i ddal a’i drwsio o fewn diwrnod, gwybodaeth na all cyfrif syml ar ei ben ei hun ei chyfleu.

I dimau mawr, mae metrigau diogelwch yn cario canlyniadau y tu hwnt i’r risg dechnegol uniongyrchol: mae sefydliadau menter yn wynebu amlygiad contractiol ac enw da o dor-diogelwch, ac mae sefydliadau llywodraeth yn wynebu canlyniadau diogelwch cenedlaethol, cyfreithiol, ac ymddiriedaeth gyhoeddus sy’n gwneud metrigau diogelwch yn fater o ddiddordeb cyhoeddus gwirioneddol, nid dim ond pryder peirianneg mewnol. Mae’r pwnc hwn yn trin rheoli gwendidau â’r un trylwyredd a’r un ddisgyblaeth parejo-cledr-ddiogelwch y mae’r llyfr hwn yn ei chymhwyso drwyddo draw, oherwydd mae metrigau diogelwch yn agored i bob risg twyllo y mae’r llyfr hwn yn ei ddisgrifio, â stanciau uwch yn gyfatebol pan fydd y twyllo hwnnw’n llwyddo.

Egwyddorion allweddol

Mae amser-i-unioni yn ôl difrifoldeb yn bwysicach na chyfrif gwendid crai. Mae mater critigol heb ei drwsio am fisoedd yn risg sylfaenol wahanol na’r un mater wedi’i ddal a’i drwsio’n gyflym.
Mae metrigau diogelwch yn agored i’r un risgiau twyllo â chanfyddiadau dadansoddiad statig (pwnc 4.4), â stanciau uwch pan fydd twyllo’n llwyddo.
Mae angen meini prawf allanol, safonedig ar ddosbarthiad difrifoldeb lle bynnag y bo’n bosibl, nid barn fewnol bur a all ddrifftio tuag at oddefgarwch.
Mae gwendid wedi’i ddatgelu a’i drwsio’n gyflym yn arwydd o broses iach, nid methiant i’w guddio. Mae cosbi datgeliad yn digalonni’r adrodd y mae’r system gyfan hon yn dibynnu arno.
Mae dyled diogelwch yn gategori o ddyled dechnegol (pwnc 4.5) a dylai gystadlu am gynhwysedd unioni wedi’i flaenoriaethu ar yr un sail benodol, wedi’i meintioli.

Argymhellion

Olrheiniwch amser-i-unioni yn ôl difrifoldeb fel y prif fetrig

Ar gyfer pob gwendid a ddarganfyddir, cofnodwch ei ddifrifoldeb (gan ddefnyddio graddfa safonedig fel y System Sgorio Gwendid Cyffredin, CVSS, lle bo’n berthnasol) ac olrheiniwch yr amser o ddarganfod i unioni gwirioneddol, nid i docyn yn cael ei gau na thrwsiad yn cael ei gyfuno ond heb ei ddefnyddio eto. Gosodwch dargedau amser-unioni penodol yn ôl difrifoldeb, wedi’u mesur mewn diwrnodau ar gyfer materion critigol ac wythnosau ar gyfer rhai difrifoldeb-is yn gyffredin, ac olrheiniwch gydymffurfiaeth yn erbyn y targedau hynny fel y prif fetrig iechyd diogelwch, yn hytrach na chyfrif gwendid crai, heb ei bwysoli.

Defnyddiwch sgorio difrifoldeb safonedig yn hytrach na barn fewnol bur

Lle mae system sgorio allanol safonedig fel CVSS ar gael, defnyddiwch hi fel y sylfaen gynradd ar gyfer dosbarthiad difrifoldeb yn hytrach na dibynnu’n gyfan gwbl ar farn fewnol, o bosibl anghyson. Mae hyn yn adlewyrchu disgyblaeth dosbarthiad diffyg-dianc pwnc 5.1 a disgyblaeth dosbarthiad digwyddiad pwnc 6.2, wedi’i chymhwyso yma i ddiogelwch yn benodol, ac mae’n gwrthsefyll yr un risg drifft-goddefol y mae’r pynciau hynny’n rhybuddio yn ei erbyn, gan fod sgôr wedi’i angori’n allanol yn anos ei ail-ddiffinio i lawr yn dawel na un mewnol bur.

Adeiladwch ddiwylliant datgelu gwendid ac adrodd mewnol gwirioneddol ddi-gosb

Cymhwyswch egwyddor post-mortem di-fai pwnc 6.2 yn uniongyrchol i ddiogelwch: dylid trin peiriannydd sy’n darganfod ac yn adrodd gwendid a gyflwynwyd ganddynt, neu ymchwilydd sy’n datgelu un a ganfuwyd yn allanol yn gyfrifol, fel un sy’n darparu gwasanaeth gwerthfawr, nid fel un yn cyffesu methiant. Mae cosbi datgeliad, yn fewnol neu gan ymchwilwyr allanol, yn digalonni’n ddibynadwy union yr adrodd y mae’r system rheoli-gwendidau gyfan yn dibynnu arni, gan yrru risg wirioneddol o dan ddaear yn hytrach nag i broses unioni reoledig.

Triniwch ddyled diogelwch fel categori o fewn eich cronfa-waith dyled dechnegol

Plygwch wendidau hysbys, risg-derbyniedig, rhai nad ydynt eto wedi’u hunioni’n fwriadol o ganlyniad i flaenoriaethau cystadleuol, i mewn i’r un gronfa-waith dyled dechnegol weladwy, wedi’i meintioli a ddisgrifir ym mhwnc 4.5, gyda’r un fframio cost-i-drwsio yn erbyn cost-i-gario. Mae hyn yn atal risg diogelwch rhag naill ai ddiflannu i mewn i statws anweledig, heb ei ddogfennu “rydym yn gwybod amdano” neu gystadlu’n annheg yn erbyn gwaith nodweddion heb achos penodol, wedi’i meintioli dros ei flaenoriaeth.

Cyfunwch fetrigau gwendid â chyd-destun amlygiad a chamfanteisioldeb

Nid yw pob gwendid â’r un sgôr difrifoldeb enwol yn cario’r un risg wirioneddol: mae gwendid critigol mewn offeryn mewnol heb amlygiad rhwydwaith allanol yn risg wahanol na’r un difrifoldeb enwol mewn gwasanaeth rhyngrwyd-wynebedig yn trin data cwsmer. Lle bo’n ymarferol, pwysolwch flaenoriaethu yn ôl cyd-destun amlygiad a chamfanteisioldeb gwirioneddol, nid sgôr difrifoldeb yn unig, fel bod cynhwysedd unioni’n canolbwyntio ar yr eitemau gwirioneddol risg-uchaf yn gyntaf.

Cyfnewidiadau: manteision ac anfanteision

Dull	Manteision	Anfanteision
Cyfrif gwendid crai	Syml i’w adrodd	Yn cymysgu materion dibwys a chritigol; yn hawdd ei dwyllo trwy atal
Olrhain wedi’i bwysoli-yn-ôl-difrifoldeb, amser-i-unioni	Yn adlewyrchu amlygiad risg wirioneddol dros amser	Angen dosbarthiad ac olrhain disgybledig, cyson
Barn difrifoldeb fewnol bur	Hyblyg, wedi’i deilwra i’r cyd-destun	Yn dueddol o ddrifft goddefol ac anghysondeb ar draws timau
Sgorio allanol safonedig (e.e. CVSS) ynghyd â phwysoli cyd-destun	Cyson, wedi’i angori’n allanol, yn gwrthsefyll twyllo	Angen dadansoddiad cyd-destun ychwanegol ar gyfer blaenoriaethu gwirioneddol gywir

Y tensiwn canolog yw cysondeb yn erbyn cyd-destun. Mae dull sgorio safonedig pur yn gyson ac yn wrthsefyll twyllo ond gall golli cyd-destun gwirioneddol, amlygiad a chamfanteisioldeb, sy’n pennu risg wirioneddol; mae dull cyd-destunol pur, wedi’i farnu’n fewnol yn dal naws ond mae’n dueddol i’r un risg drifft-goddefol y mae’r llyfr hwn yn rhybuddio yn ei erbyn ar gyfer pob metrig arall sy’n dibynnu-ar-ddosbarthiad. Datryswch y tensiwn trwy angori ar sgorio safonedig fel y llinell sylfaen gyson, yna cymhwyso pwysoli cyd-destun dogfennedig, archwiliadwy ar ei ben, yn hytrach nag un pen eithafol yn unig.

Cwestiynau i’w trafod gyda’ch tîm

A ydym yn olrhain amser-i-unioni yn ôl difrifoldeb, neu dim ond gyfrif gwendid crai? Tynnwch eich metrig cyfredol gwirioneddol a gwiriwch a yw’n gwahaniaethu mater critigol yn eistedd heb ei drwsio am fisoedd oddi wrth un a drwsiwyd o fewn diwrnod, gan fod cyfrif crai’n trin y sefyllfaoedd risg-wahanol-iawn hyn yn union yr un fath.
A ydym yn defnyddio system sgorio difrifoldeb allanol safonedig, neu a yw dosbarthiad yn dibynnu ar farn fewnol bur, o bosibl anghyson? Os yn fewnol bur, trafodwch beth fyddai mabwysiadu safon fel CVSS yn ei newid am eich arfer dosbarthu cyfredol.
A fyddai peiriannydd a gyflwynodd ac yna a adroddodd wendid yn teimlo’n ddiogel yn gwneud hynny, neu a fyddent yn ofni cosb? Dyma fersiwn diogelwch-benodol uniongyrchol o gwestiwn diwylliant-di-fai pwnc 6.2, ac mae ateb onest yma’n bwysig yn aruthrol ar gyfer a ellir ymddiried o gwbl yn eich data gwendid.
A oes gennym gronfa-waith weladwy, wedi’i meintioli o wendidau hysbys, risg-derbyniedig, neu a yw statws “rydym yn gwybod amdano” yn dawel yn dod yn anweledig ac heb ei drin dros amser? Gwiriwch a olrheinir eich dyled diogelwch â’r un trylwyredd â’ch cronfa-waith dyled dechnegol gyffredinol (pwnc 4.5).
A yw ein blaenoriaethu unioni’n cyfrifo am amlygiad a chamfanteisioldeb gwirioneddol, neu a yw’n dibynnu’n bur ar sgôr difrifoldeb enwol waeth beth fo’r cyd-destun? Dewiswch enghraifft wirioneddol lle roedd gan ddau wendid â difrifoldeb enwol tebyg risg wirioneddol gwahanol iawn, a thrafodwch a fyddai eich proses gyfredol wedi’u blaenoriaethu’n gywir.
A yw dosbarthiad difrifoldeb gwendid erioed wedi drifftio i lawr dros amser heb gyfiawnhad clir? Mae hyn yn adlewyrchu’r patrwm twyllo-diffiniad y mae pwnc 1.2 a phwnc 6.2’n rhybuddio amdano; archwiliwch sampl o’ch dosbarthiadau diweddar am y risg benodol hwn.

Golwg sector

Cwmni newydd. Mae prosesau rheoli gwendidau ffurfiol yn aml yn ddiangen yn gynnar iawn, ond mae mabwysiadu sganio dibyniaeth awtomataidd sylfaenol a norm adrodd mewnol syml, onest o’r dechrau’n costio ychydig ac yn atal dyled diogelwch rhag cronni’n anweledig cyn i’r tîm gael y gallu i fynd i’r afael ag ef yn systematig.

Busnes bach. Mae’r rhan fwyaf o blatfformau datblygu modern yn cynnwys sganio gwendid awtomataidd rhad neu am ddim ar gyfer dibyniaethau; galluogwch hyn yn gynnar ac olrheiniwch amser-i-unioni ar gyfer unrhyw beth wedi’i fflagio fel un critigol, hyd yn oed heb swyddogaeth diogelwch bwrpasol nac offeryno soffistigedig.

Menter. Mae sgorio difrifoldeb cyson, safonedig a diwylliant datgeliad gwirioneddol ddi-gosb ill dau’n hanfodol ac ill dau’n anos eu cynnal ar raddfa, lle mae anghysondeb ar draws degau o dimau a drifft diwylliannol tuag at geisio-beio ar ôl digwyddiad difrifol yn risgiau cyson. Buddsoddwch mewn swyddogaeth llywodraethiant diogelwch bwrpasol i gynnal cysondeb dosbarthiad a gwarchod diwylliant datgeliad yn weithredol.

Llywodraeth. Mae metrigau diogelwch yma’n aml yn croestorri’n uniongyrchol â diogelwch cenedlaethol, cydymffurfiaeth reoleiddiol, ac ymddiriedaeth gyhoeddus, a gall gwendid difrifol, wedi’i drin yn wael gael canlyniadau ymhell y tu hwnt i dor-diogelwch sector-preifat nodweddiadol. Cynhaliwch ddosbarthiad difrifoldeb trylwyr, wedi’i angori’n allanol, gwarchodwch ddiwylliant datgeliad mewnol ac allanol yn weithredol, a thriniwch ddyled diogelwch â’r tryloywder a’r trylwyredd blaenoriaethu y mae’r pwnc hwn yn ei argymell, gan fod gwendid critigol heb ei ddogfennu, wedi’i dderbyn yn dawel mewn isadeiledd cyhoeddus yn risg wirioneddol ddifrifol, archwiliadwy.

Enghreifftiau

Menter. Roedd tîm diogelwch cwmni meddalwedd, am flynyddoedd, wedi adrodd dim ond cyfrif gwendid crai i arweinyddiaeth, rhif a oedd wedi bod yn duedd fflat, gan roi ymdeimlad ffug o sefydlogrwydd. Datgelodd dadansoddiad diwygiedig, wedi’i bwysoli-yn-ôl-difrifoldeb, amser-i- unioni, er bod y cyfrif cyfan yn fflat, fod gwendidau critigol yn cymryd cyfartaledd o dros naw deg diwrnod i’w hunioni, ymhell y tu hwnt i unrhyw darged rhesymol, oherwydd eu bod yn cystadlu’n aflwyddiannus yn erbyn gwaith nodweddion ym mhob cylch cynllunio heb gynhwysedd pwrpasol, gwarchodedig. Daeth sefydlu targed unioni caled o 7 diwrnod ar gyfer gwendidau critigol, wedi’i gefnogi gan gynhwysedd unioni dyled-diogelwch gwarchodedig yn adlewyrchu model dyrannu dyled dechnegol pwnc 4.5, ag amser unioni critigol cyfartalog i lawr i lai na phum diwrnod o fewn dau chwarter.

Llywodraeth. Darganfu asiantaeth isadeiledd genedlaethol, yn dilyn archwiliad diogelwch allanol, fod peirianwyr mewnol wedi bod yn osgoi adrodd gwendidau a ddarganfuwyd yn eu cod eu hunain yn anffurfiol, gan ofni y byddai’n adlewyrchu’n wael ar eu hadolygiadau perfformiad, cyfatebiaeth glir i batrwm tan-adrodd digwyddiad wedi’i yrru-gan-fai pwnc 6.2. Sefydlodd yr asiantaeth bolisi penodol, wedi’i gyfathrebu’n gyhoeddus yn gwarchod adroddwyr gwendid mewnol rhag unrhyw ganlyniad perfformiad, wedi’i fodelu’n uniongyrchol ar arfer ymateb-digwyddiad di-fai, a chododd adroddiadau gwendid mewnol yn sylweddol o fewn y flwyddyn ganlynol, canlyniad y dehonglodd arweinyddiaeth yr asiantaeth yn gywir fel tystiolaeth o ganfod ac adrodd onest gwell, nid tystiolaeth o ansawdd cod dirywiedig, gan osgoi’r casgliad naturiol ond anghywir bod rhif cynyddol yn rhaid ei fod yn golygu bod pethau wedi gwaethygu.

Achos busnes: cymhellion, ROI, a TCO

Cost tor-diogelwch osgowyd, sy’n aml yn gwneud i gost unioni rhagweithiol edrych yn fach droeon lawer drosodd ar gyfer digwyddiad diogelwch difrifol, ynghyd â niwed rheoleiddiol, contractiol, ac enw da osgowyd, yw’r enillion ar reoli gwendidau trylwyr, wedi’i ddosbarthu’n dda, wedi’i adrodd yn onest. Mae’r enghraifft cwmni meddalwedd uchod yn dangos y mecanwaith penodol: roedd dyled diogelwch wedi bod yn colli’r gystadleuaeth flaenoriaethu’n dawel yn erbyn gwaith nodweddion am flynyddoedd, yn union y patrwm y mae pwnc 4.5’n rhybuddio amdano ar gyfer dyled dechnegol yn gyffredinol, hyd nes i gynhwysedd unioni gwarchodedig ei drwsio’n uniongyrchol.

Mae cost cyfanswm perchnogaeth yn cynnwys offeryno sganio awtomataidd, y cynhwysedd unioni gwarchodedig y mae’r pwnc hwn yn argymell ei ddyrannu, a’r buddsoddiad diwylliannol parhaus mewn arfer datgeliad di-gosb. Mae’r gost honno’n gymedrol o’i chymharu â chost gwendid difrifol, wedi’i gamfanteisio’n llwyddiannus y byddai unioni rhagweithiol, wedi’i flaenoriaethu’n dda wedi’i ddal a’i drwsio ymhell cyn iddo allu cael ei gamfanteisio.

Gwrth-batrymau a risgiau

Olrhain dim ond cyfrif gwendid crai: yn cymysgu materion dibwys a chritigol ac yn rhoi ymdeimlad ffug o sefydlogrwydd neu argyfwng waeth beth fo risg wirioneddol.
Dosbarthiad difrifoldeb mewnol bur, heb ei safoni: yn dueddol o ddrifft goddefol ac anghysondeb ar draws timau.
Cosbi datgeliad gwendid, mewnol neu allanol: yn gyrru risg wirioneddol o dan ddaear yn hytrach nag i broses unioni reoledig.
Dyled diogelwch heb gronfa-waith weladwy, wedi’i meintioli: yn colli’r gystadleuaeth flaenoriaethu yn erbyn gwaith nodweddion yn ddiofyn.
Blaenoriaethu yn ôl sgôr difrifoldeb enwol yn unig, gan anwybyddu cyd-destun amlygiad a chamfanteisioldeb: yn camgyfeirio cynhwysedd unioni cyfyngedig.
Dehongli cyfrif adrodd gwendid cynyddol fel tystiolaeth o ansawdd dirywiedig heb wirio a wellodd adrodd ei hun: enghraifft benodol o drap ffactor-drysu pwnc 1.6.

Model aeddfedrwydd

Lefel 1, Cychwyn: Olrheinir gwendidau, os o gwbl, fel cyfrif crai heb bwysoli difrifoldeb, heb olrhain amser-unioni, a chyda diwylliant datgeliad cosbol.
Lefel 2, Datblygu: Mae rhywfaint o ddosbarthiad difrifoldeb yn bodoli, ond mae safonau’n anghyson ac ni olrheinir amser unioni yn erbyn targedau penodol.
Lefel 3, Safoni: Cymhwysir sgorio difrifoldeb safonedig, wedi’i angori’n allanol a thargedau amser-unioni penodol yn ôl difrifoldeb yn gyson, gyda diwylliant datgeliad gwirioneddol ddi-gosb.
Lefel 4, Rheoli: Olrheinir dyled diogelwch mewn cronfa-waith weladwy, wedi’i meintioli â chynhwysedd unioni gwarchodedig; mae blaenoriaethu’n cyfrifo am gyd-destun amlygiad a chamfanteisioldeb, nid difrifoldeb yn unig.
Lefel 5, Cerddorfaru: Gall y sefydliad bwyntio at ostyngiadau penodol, mesuradwy mewn amser unioni critigol a gall ddangos diwylliant datgeliad parhaus, ymddiriedol sy’n cynhyrchu data gwendid onest, cynhwysfawr.

Syniadau ar gyfer trafodaeth

Beth yw ein hamser-i-unioni cyfartalog cyfredol ar gyfer gwendidau critigol, ac a yw’n bodloni targed penodol?
A fyddai peiriannydd a gyflwynodd wendid yn teimlo’n ddiogel yn ei adrodd ei hunain?
A oes gennym gronfa-waith weladwy, wedi’i meintioli o ddyled diogelwch hysbys, risg-derbyniedig?
A yw ein blaenoriaethu unioni’n cyfrifo am amlygiad gwirioneddol, neu ddifrifoldeb enwol yn unig?
A yw dosbarthiad difrifoldeb erioed wedi drifftio i lawr dros amser heb gyfiawnhad clir?

Prif gasgliadau

Olrheiniwch amser-i-unioni yn ôl difrifoldeb, nid gyfrif gwendid crai, fel y prif fetrig iechyd diogelwch.
Defnyddiwch sgorio difrifoldeb allanol safonedig (fel CVSS) fel llinell sylfaen gyson, yn gwrthsefyll y risg drifft-goddefol y mae barn fewnol bur yn ei wahodd.
Adeiladwch ddiwylliant datgeliad gwirioneddol ddi-gosb; mae cosbi adrodd yn gyrru risg wirioneddol o dan ddaear.
Triniwch ddyled diogelwch fel categori o ddyled dechnegol (pwnc 4.5), gan gystadlu’n deg am gynhwysedd unioni gwarchodedig.
Pwysolwch flaenoriaethu yn ôl amlygiad a chamfanteisioldeb gwirioneddol, nid sgôr difrifoldeb yn unig.

Cyfeiriadau a darllen pellach

Manyleb System Sgorio Gwendid Cyffredin (CVSS) FIRST.org: y fframwaith sgorio difrifoldeb safonedig y cyfeirir ato drwy’r pwnc hwn.
Adnoddau Sefydliad OWASP ar reoli gwendidau ac arfer cylch bywyd datblygu meddalwedd diogel.
Site Reliability Engineering: How Google Runs Production Systems, gan Betsy Beyer, Chris Jones, Jennifer Petoff, a Niall Richard Murphy, gol. (yr egwyddorion diwylliant di-fai y mae’r pwnc hwn yn eu cymhwyso i ddatgeliad diogelwch).
Cyhoeddiad Arbennig NIST 800-40, Guide to Enterprise Patch Management Planning: canllawiau awdurdodol ar arfer unioni gwendid.