بسیاری از سازمان‌ها تصور می‌کنند که برای کاهش حجم آسیب‌پذیری‌های شناسایی شده، به اسکنرهای پیشرفته‌تری نیاز دارند؛ اما واقعیت این است که مشکل اصلی آن‌ها نه در شناسایی (Detection)، بلکه در پاسخگویی و مالکیت (Accountability & Ownership) است.
تفاوت ظرفیت شناسایی و ظرفیت رفع
زمانی که حجم آسیب‌پذیری‌های انباشته شده (Backlog) به مدیریت ارشد گزارش می‌شود، واکنش معمول خرید ابزارهای اسکن گسترده‌تر یا سریع‌تر است. اما باید درک کرد که ظرفیت شناسایی و ظرفیت رفع (Remediation Capacity) دو متغیر مستقل هستند. ارتقای لایسنس ابزارها تنها دید شما را نسبت به مشکلات افزایش می‌دهد، اما توانایی تیم‌های مهندسی برای رفع آن‌ها را تغییر نمی‌دهد.
ظرفیت رفع آسیب‌پذیری‌ها توسط عواملی محدود می‌شود که با خرید نرم‌افزار تغییر نمی‌کنند: ساعت‌های کاری مهندسان، پنجره‌های تغییر (Change Windows)، سازگاری اپلیکیشن‌ها و میزان پذیرش توقف سرویس (Downtime) توسط کسب‌وکار.
چهار سناریوی شکست در مالکیت دارایی‌ها
دلیل تفاوت سرعت رفع آسیب‌پذیری در سازمان‌های مختلف، مدیریت مالکیت است. چهار وضعیت رایج که منجر به توقف فرآیند رفع می‌شود عبارتند از:
- عدم وجود مالک: دارایی به هیچ فرد یا تیمی متصل نیست. این بدترین حالت است زیرا امکان ارجاع و پیگیری (Escalation) وجود ندارد.
- مالک بدون اختیار: تیمی مسئول است اما قدرت تغییر ندارد (مثلاً منتظر پچ венدور است یا اپلیکیشن طبق قرارداد منجمد شده است).
- مالک بدون ظرفیت: مسئولیت و اختیار وجود دارد، اما رفع آسیب‌پذیری در اولویت‌های پایین‌تر نسبت به توسعه قابلیت‌های جدید (Feature Delivery) قرار می‌گیرد.
- مالک بدون پیامد: همه شرایط مهیاست، اما چون عدم رعایت SLA هیچ هزینه‌ای برای مالک یا مدیرش ندارد، اقدامی صورت نمی‌گیرد.
راهکار: تمرکز بر نگاشت دارایی به مالک (Asset-to-Owner Mapping)
بهترین اقدام برای یک برنامه مدیریت آسیب‌پذیری، به‌روزرسانی دقیق CMDB و متصل کردن هر دارایی به یک شخص یا تیم مشخص است. این کار بیشتر شبیه به حسابرسی (Audit) است تا مهندسی امنیت، اما تاثیر آن بسیار بیشتر است.
تغییر در معیارهای سنجش (Metrics)
تعداد آسیب‌پذیری‌های باز (Open Findings) یکی از کم‌فایده‌ترین معیارهاست. به جای آن، از معیارهای مدیریتی زیر استفاده کنید:
- میانگین زمان رفع (MTTR) به تفکیک تیم‌های مالک.
- میزان رعایت SLA به جای نرخ کلی بستن تیکت‌ها.
- درصد دارایی‌های دارای مالک تایید شده: اگر این عدد زیر ۹۰٪ باشد، سایر معیارهای امنیتی معنای چندانی ندارند.
وقتی مالکیت شفاف شود، رفع آسیب‌پذیری از یک «مزاحمت برنامه‌ریزی نشده» به یک «کار قابل زمان‌بندی» تبدیل می‌شود.
