Łączy dowody techniczne z kontekstem zasobów i usług, informacjami o zagrożeniach, właścicielstwem, decyzjami o remediacji lub mitigacji, wyjątkami i pomiarem. Praktyka jest szersza niż uruchamianie skanerów czy instalowanie poprawek i trwa wraz ze zmianami systemów i dowodów.
Użyteczny program ustanawia powtarzalne przepływy pracy od przyjęcia do zamknięcia, łącznie z ponowną oceną po poprawce lub kontroli kompensującej. Priorytety powinny odzwierciedlać prawdopodobną ekspozycję i konsekwencje organizacyjne, a nie samą etykietę skanera czy liczbową ocenę krytyczności.
Najważniejsze punkty
Cykl operacyjnyUtrzymuj zakres i właścicielstwo, zbieraj ustalenia z wielu źródeł, waliduj i deduplikuj je, priorytetyzuj postępowanie, śledź decyzje i weryfikuj, czy zamierzona redukcja ryzyka nastąpiła.
Opcje postępowaniaRemediacja może obejmować aktualizację, rekonfigurację, przeprojektowanie, usunięcie lub wymianę dotkniętego komponentu; mitigacja i udokumentowana akceptacja ryzyka to odrębne wyniki, które nadal wymagają przeglądu.
Dane wejściowe priorytetyzacjiUwzględnij dotknięte zasoby, krytyczność biznesową, ścieżki ataku, aktywność zagrożeń, dowody eksploatacji, wagę techniczną, czas ekspozycji, pokrycie kontroli oraz koszt i ryzyko postępowania.
Istotne ograniczenieZarządzanie podatnościami nie może zagwarantować, że każda słabość zostanie odkryta lub skorygowana, a zamknięcie zgłoszenia, zaliczenie ponownego skanu czy spełnienie celu usługowego samo w sobie nie dowodzi akceptowalnego ryzyka.