Bekende zwakheden vinden en verhelpen

Hoe StandardOS dit controleert

Alleen-lezen verbonden, volgens een schema. Een geslaagde controle houdt een bewijsregel vers; een mislukte laat hem verlopen, zodat een achteruitgang aan het licht komt in plaats van op de audit te wachten. Elke integratie, en wat elke set toegangsgegevens kan zien.

• GitHub · StandardOS leest open Dependabot-waarschuwingen gemeten aan uw hersteltermijnen, en of waarschuwingen op elke repository zijn ingeschakeld.
• Snyk · StandardOS leest open problemen naar effectieve ernst tegen dezelfde termijnen, en of de laatste scan van een project te oud is om nog iets te betekenen.
• AWS · StandardOS leest of het containerregister images bij aankomst op bekende kwetsbaarheden scant.
• Microsoft Intune · StandardOS leest welke beheerde apparaten volgens de Mobile Threat Defense-partner een actieve dreiging dragen.
• Snyk · StandardOS leest welke open hoge en kritieke problemen genegeerd zijn, elk een geaccepteerd risico dat een reden, een beoordelaar en een vervaldatum hoort te dragen.

Risico's die deze maatregel behandelt

Uit het startrisicoregister dat StandardOS bij het inrichten voorstelt. U behoudt, bewerkt of verwijdert elk ervan; dit zijn de risico's die A.8.8 als behandeling noemen.

• Kwetsbaarheid geïntroduceerd in eigen softwareApplicatie

Wat klanten over deze maatregel vragen

Beveiligingsvragenlijsten gebruiken geen maatregelnummers. Dit zijn de vragen, zoals klanten ze stellen, die uitkomen bij A.8.8. Elke vraag wordt beantwoord uit dezelfde vier registraties: de VvT-status, het goedgekeurde beleid, gedateerd bewijs en een live controle. De volledige kaart van dertig onderwerpen.

• Wanneer was uw laatste penetratietest, en hoe snel worden kritieke kwetsbaarheden gepatcht?

  Penetratietests, kwetsbaarheidsbeheer, patchen

• Hoe vaak voert u een risicobeoordeling uit, en wie beoordeelt het risicoregister?

  Risicobeoordeling en risicobehandeling · ook A.5.1

Waar dit onder NIS2 valt

A.8.8 is onderdeel van wat artikel 21, lid 2, onder e), Security in network and information systems acquisition, development and maintenance, vraagt. Het één keer invoeren telt voor beide, en dat is precies waarom de NIS2-mapping bestaat.