التقدير

يتألف سعر الفحص الأمني لتكنولوجيا المعلومات من عنصرين هم: المعدل (يوم/ساعة) والزمن المقدر للفحص. سوف يحتوي التقدير على وصف للنهج القائم على إطار المعايير و/أو أفضل الممارسات من أجل الفحص الذي يتعين الاضطلاع به. كما أنه سيتم الإشارة بوضوح إلى ما يمكن توقعه من VASC وحيث يجب أن تكون الشروط المسبقة موجودة من أجل إجراء الفحص المناسب.

لجدولة

بعد تحديد النطاق وتخصيص المهمة، يجب جدولة الفحص الأمنيلتكنولوجيا المعلومات. هل هناك أي طلبات خاصة بشأن الجدولة؟ هل علينا، على سبيل المثال، أن نأخذ بعين الاعتبار تاريخ البث المباشر على الهواء؟ أو هل الفحص جزء من المراجعة الذي يجب أن تتعامل معه المنظمة؟ من المستحسن أن تتم معالجة هذه القضايا في المراحل المبكرة المحتملة.

عند الجدولة، من المستحسن أيضًا الأخذ في الاعتبار الفترة الزمنية المطلوبة (إذا لزم الأمر) لإزالة المخاطر المكتشفة وما يليها من إجراء إعادة الفحص. وبناء على الجدولة المطلوبة والنطاق الذي جرى تحديده سلفًا، يمكننا تحديد أي فريق من المتخصصين هو الأفضل لتنفيذها. وفقًا لتوافرها، سنقوم بوضع جدولًا زمنيًا محددًا معًا.

العقد

يمكن أن تخدم العقود العرفية والشروط العامة لتوفير خدمات تكنولوجيا المعلومات كأساس للعقد مع الشروط العامة (GC). عند صياغة عقد لإجراء الفحص الأمنيلتكنولوجيا المعلومات، نتبع النقاط المحددة التالية من الفائدة:

• الإذن والتعويض والتحديد الصحيح للنطاق (الفني) للمهمة عبر عناوين URLs وعناوين IP و/أو نطاقات الشبكة.
• السرية: من المهم لجميع الأطراف أن يتم التعامل مع (نتائج) الفحص الأمنيلتكنولوجيا المعلومات بمنتهى السرية.
• الحد من المسؤولية: من المعتاد الحد من مسؤولية كلا الطرفين للنطاق ذي الصلة بالمهمة.

إعداد التقارير

عند الانتهاء من الفحص الأمني لتكنولوجيا المعلومات، ستقدم VASC تقريرًا شاملًا لجميع النتائج التي توصلت إليها من الفحص. سيشمل هذا التقرير المعلومات التالية:

• نطاق الفحص
• تواريخ تنفيذ الفحص
• ملخص الإدارة
• المخاطر المكتشفة
• وصف المخاطر أو دليل المخاطر
• • وصف المخاطر أو دليل المخاطر
  • تصنيف المخاطر
  • المشورة المتعلقة بالتدابير التي يجب اتخاذها

المتابعة

حالما يتم التزويد بتقرير VASC، فمن المهم فحص النتائج بعناية. ويمكن تعريف إجراءات المتابعة الواردة هنا. النتيجة الأكثر إيجابية للفحص الأمني لتكنولوجيا المعلومات والتقرير هو أنه لا يوجد نتائج. في الواقع، فإن العكس هو الصحيح في كثير من الأحيان. لكل نتيجة، يجب وضع ما هو الأثر للمنظمة وما هي التكاليف لتخفيف النتيجة.

للاطلاع على النتائج مع مستوى المخاطر العالية، يكون الخيار واضحًا جدًا في كثير من الأحيان، ولكن بالنسبة لنتائج المخاطر المتوسطة وخاصة منخفضة المخاطر، تحتاج المنظمة إلى اتخاذ قرار دقيق. ويمكن أن تشمل هذه القرارات تنفيذ تغييرات إجرائية، ولكن قد تنطوي أيضًا، على سبيل المثال، على تعيين مطورين و/أو متخصصين شبكات لتنفيذ هذه التغييرات التي تم تقليل المخاطر و/أو تأثير النتيجة من أجلها - يفضل أن تكون معدومة، ولكن إلى مستوى مقبول للتنظيم في أي حال.

إعادة الفحص

بعد إجراء الفحص وحل النتائج، فمن المستحسن إجراء إعادة الفحص لمعرفة ما إذا كان قد تم القيام به بشكل صحيح. واعتمادًا على عدد من سبل التكيف لحل هذه النتائج، يمكن لـ VASC إجراء فحص جزئي. ولكن قد يكون من الضروري أيضًا إجراء فحص جديد وكامل من أجل تحديد ما إذا كانت التدابير التي اتخذت لم تسبب أي نقاط ضعف جديدة. ينصح باستكمال إعادة الفحص مرة واحدة بمجرد مرور عدة أشهر منذ إجراء الفحص الأصلي. وهذا يزيد من احتمال أنه لم يتم حل فقط كل النتائج بل أيضًا إجراء سبل التكيف الأخرى وإما بإضافة أو إزالة الوظائف.

وبمجرد إصدار قرار بإجراء إعادة الفحص، سوف نقدم التفاصيل التي تتعلق بالنتائج ذات الصلة بإعادة الفحص.

النهج الهيكلي

نوصي باقتراب الاختبارات الأمنية لتكنولوجيا المعلومات على المستوى الهيكلي. في واقع الأمر، يبدو في كثير من الأحيان إجراء هذه الاختبارات بشكل مخصص أو بشكل دوري فقط (بتردد منخفض ونطاق محدود).

يمكن لوضع سياسة واضحة فيما يتعلق بالاختبارات الأمنية لتكنولوجيا المعلومات أن يقدم للزملاء إدراك افضل لمتى ينبغي اختبار بعض التطبيقات والبنى التحتية لتكنولوجيا المعلومات بأي تردد وبأي طريقة. وإلى جانب هذه الاختبارات الدورية، ينبغي النظر أيضًا في اختبار