דירוג לפי השפעה עסקית, לא רק CVSS.
CVSS מודד את החולשה. הוא לא יודע שהשרת הזה הוא זה שהתשלומים תלויים בו.
ציון שמראה את החישוב
הבעיה
ציון שאי אפשר להסביר לא ישכנע אף בעל מערכת.
כשמבקשים מבעל מערכת להשבית מערכת בלילה, השאלה הראשונה היא למה דווקא היא ודווקא עכשיו. "הכלי אמר 8.7" היא לא תשובה. הציון צריך להיות ניתן לפירוק לרכיבים שאפשר לחלוק עליהם.
איך זה נראה
ציון, ומתחתיו החישוב
- קריטיות המערכת — גבוהה+28
- רמת חשיפה — Tier 1+18
- חומרת החולשה הגבוהה ביותר+22
- איחור מול מועד היעד+12
- מספר שרתים מושפעים+6
86מתוך 100
- 01
ניתוח השפעה עסקית
לכל מערכת יש קריטיות, תיאור ורמת שירות מוגדרת. זה נתון שלכם, לא שלנו, והוא הבסיס לכל שאר החישוב.
- 02
רכיבים
לכל תיקון מצטברים רכיבים: קריטיות המערכת, רמת החשיפה, החומרה הגבוהה שבין החולשות, האיחור מול מועד היעד, ומספר השרתים הנוגעים.
- 03
שקיפות
הציון מוצג עם כל רכיביו וסכומם שווה בדיוק לציון. אין משקל נסתר ואין נרמול שאי אפשר לשחזר.
- 04
המלצה
המערכות מסודרות לפי הציון, ומכל שורה אפשר לפתוח אשף תזמון עם השרתים של אותה מערכת — בפיצול לפי מערכת הפעלה, כי התדירות שונה.
הציון מחושב מנתונים שכבר קיימים במערכת.
- מרשם ה‑BIA
- מרשם החולשות
- מצאי השרתים
- מועדי היעד
תראו לנו את החלון הכי בעייתי שלכם.
תביאו את זה שכל הזמן נדחה. שלושים דקות, המצאי שלכם, בלי מצגות.