Bagaimana Mengomunikasikan Hasil Penilaian Keamanan - dummies

Anda mungkin perlu mengatur informasi kerentanan Anda ke dalam dokumen formal untuk manajemen atau klien Anda sehingga mereka dapat menilai risiko hacking di perusahaan mereka sendiri. Ini tidak selalu terjadi, tapi sering hal profesional untuk dilakukan dan menunjukkan bahwa Anda menganggap pekerjaan Anda serius. Buatlah temuan kritis dan dokumentasikannya sehingga pihak lain dapat memahaminya.

Grafik dan grafik adalah nilai plus. Tangkapan layar menangkap temuan Anda - terutama bila sulit menyimpan data ke file - dapat menambahkan sentuhan yang bagus ke laporan Anda dan menunjukkan bukti nyata bahwa masalahnya ada.

Tanggal pengujian dilakukan

• Pengujian yang dilakukan

• Ringkasan kerentanan yang ditemukan

• Daftar kerentanan yang diprioritaskan yang perlu ditangani

• Rekomendasi dan langkah-langkah spesifik tentang cara memasang lubang keamanan yang ditemukan

• Jika akan menambah nilai manajemen atau klien Anda (dan sering terjadi), Anda dapat menambahkan daftar pengamatan umum seputar proses bisnis yang lemah, dukungan manajemen terhadap TI dan keamanan, dan seterusnya dengan rekomendasi untuk menangani setiap masalah.

Kebanyakan orang ingin laporan akhir menyertakan

ringkasan temuan - bukan segalanya. Hal terakhir yang kebanyakan orang ingin lakukan adalah menyaring setumpuk kertas berukuran setebal 5 inci yang berisi jargon teknis yang sangat sedikit artinya bagi mereka. Banyak perusahaan konsultan telah dikenal untuk mengenakan lengan dan kaki untuk jenis laporan ini, tapi itu tidak membuatnya menjadi cara yang tepat untuk melapor.

Banyak manajer dan klien menyukai laporan data mentah dari alat keamanan. Dengan begitu, mereka bisa mereferensikan datanya nanti jika mereka mau tapi tidak terperosok dalam ratusan halaman hard copy gobbledygook teknis. Pastikan Anda menyertakan data mentah dalam Lampiran laporan Anda atau di tempat lain dan rujuk pembaca ke sana.

Daftar item tindakan Anda dalam laporan Anda mungkin mencakup yang berikut ini:

Aktifkan audit keamanan Windows di semua server - terutama untuk logon dan logoff.

• Letakkan kunci yang aman di pintu kamar server.

• Harden sistem operasi berdasarkan praktek keamanan yang kuat dari National Vulnerabilities Database dan Pusat Alat Bantu Tolak Internet Security / Scoring.

• Gunakan mesin penghancur kertas potong silang untuk menghancurkan informasi hard copy rahasia.

• Memerlukan PIN atau frasa sandi yang kuat pada semua perangkat mobile dan memaksa pengguna untuk mengubahnya secara berkala.

• Instal perangkat lunak firewall / IPS pribadi di semua laptop.

• Validasi masukan di semua aplikasi web untuk menghilangkan skrip cross-site dan injeksi SQL.

• Terapkan patch vendor terbaru ke server database.

• Sebagai bagian dari laporan akhir, Anda mungkin ingin mendokumentasikan reaksi karyawan yang Anda amati saat melakukan tes hacking etis Anda. Misalnya, apakah karyawan benar-benar tidak sadar atau bahkan berperang saat melakukan serangan rekayasa sosial yang jelas? Apakah IT atau staf keamanan benar-benar kehilangan tip teknis, seperti kinerja jaringan yang merendahkan selama pengujian atau berbagai serangan yang muncul dalam file log sistem?

Anda juga dapat mendokumentasikan masalah keamanan lain yang Anda amati, seperti seberapa cepat staf TI atau penyedia layanan manajer menanggapi tes Anda atau apakah mereka merespons sama sekali.

Jagalah laporan akhir agar aman dari orang-orang yang tidak berwenang melihatnya. Laporan hacking etis dan dokumentasi dan arsip terkait di tangan pesaing, hacker, atau orang dalam yang jahat dapat menimbulkan masalah bagi organisasi. Berikut adalah beberapa cara untuk mencegah hal ini terjadi:

Kirimkan laporan dan dokumentasi dan file terkait hanya kepada mereka yang memiliki bisnis perlu diketahui.

• Saat mengirim laporan akhir, mengenkripsi semua lampiran, seperti dokumentasi dan hasil tes, menggunakan PGP, format Zip terenkripsi, atau layanan berbagi file awan yang aman. Tentu, pengiriman tangan adalah taruhan Anda yang paling aman.

• Tinggalkan langkah-langkah pengujian aktual yang mungkin dilecehkan orang jahat dari laporan tersebut. Jawab pertanyaan tentang subjek itu sesuai kebutuhan.