[Óptí~mísá~tíóñ~ dé vó~s húí~t éff~órts~ éssé~ñtíé~ls dé~ gést~íóñ d~és vú~lñérá~bílí~tés]

[Díspáráté íñtércóññéctéd sýstéms áñd ñów rémóté émplóýéés ácróss thé glóbé íñcréásé óúr éxpósúré áñd óppórtúñítý fór cýbércrímé. Sécúrítý téáms héré íñ Áústrálíá, pártícúlárlý íñ Áústrálíáñ Fédérál áñd Státé Góvérñméñt dépártméñts, áré cóñtíñúállý báttlíñg héádwíñds tó ádópt áñd máíñtáíñ thé ádvícé áñd réqúíréméñts gívéñ fróm thé Áústrálíáñ Cýbér Sécúrítý Céñtré (ÁCSC) íñ thé fórm óf thé ÍSM Ésséñtíál Éíght.]

[Récéñt cóñvérsátíóñs wé’vé hád wíth ágéñcíés óñ rédúcíñg thé cóst áñd éffórt óf sécúrítý hýgíéñé hávé híghlíghtéd cóñtíñúéd chálléñgés áróúñd ópérátíñg sýstém áñd ápplícátíóñ pátchíñg, áñd óthér súch “fúñdáméñtál” práctícés thát sécúrítý téáms strúgglé tó gét óút fróm úñdérñéáth. Déspíté áccéss tó mátúré téchñólógíés thát détéct áñd ádvísé óñ hów tó kéép sýstéms áñd CÓTS ápplícátíóñs úp tó dáté, áñd á spríñt prógrám désígñéd tó hélp ÑCCÉ’s ímpróvé théír Ésséñtíál Éíght mátúrítý, qúéstíóñs rémáíñ óñ whéthér thé rámífícátíóñs óf vúlñérábílítý máñágéméñt fíñdíñgs áré fúllý úñdérstóód, áñd whéré tó spéñd thé éffórt óf álréádý strétchéd résóúrcés fór thé gréátést rétúrñ óñ rísk mítígátíóñ.]

[Vúlñérábílítý máñágéméñt ís óf cóúrsé á kéý práctícé íñ évérý sécúrítý téám’s árséñál áñd shóúld bé á bédróck óf áñý déféñcé strátégý, whích ís mádé évídéñt bý íts íñclúsíóñ íñ thé órígíñál Tóp 4 fróm 2011 áñd íts cóñtíñúéd réléváñcé íñ thé éxpáñdéd Ésséñtíál 8. Hówévér, dúé tó thé grówíñg cómpléxítý óf íñfrástrúctúré, ápplícátíóñ árchítéctúrés, áñd sóftwáré vúlñérábílítíés, ágéñcíés áré úñáblé ór fíñdíñg ít íñcréásíñglý díffícúlt tó pátch évérý vúlñérábílítý íñ thé tíméfrámés óútlíñéd, óftéñ hámstrúñg íñ déplóýíñg pátchés dúé tó féár óf bréákíñg théír ápplícátíóñs ór dísrúptíñg pródúctívítý.]

[Wíth thé lévél óf ÍÑFÓSÉC-4 cómplíáñcé dócúméñtéd íñ thé Áústrálíáñ Góvérñméñt’s Próáctívé Sécúrítý Pólícý Fráméwórk (PSPF) Cómplíáñcé Répórt (rélátíñg tó cýbér áñd ÍCT sýstém sécúrítý íñclúdíñg Strátégíés tó Mítígáté Cýbér Sécúrítý Íñcídéñts) rémáíñíñg thé lówést óf áll 36 máñdátórý réqúíréméñts, áñd bárélý ímpróvíñg óvér thé prévíóús ýéárs, sómé áré pérháps cóúñtíñg thémsélvés lúcký thát “thé Fédérál Góvérñméñt wíll cóñsídér óñlý máñdátíñg thé Ésséñtíál Éíght whéñ cýbér sécúrítý mátúrítý hás íñcréáséd.”]

[Cómm~óñ th~émés~ fróm~ óúr r~écéñ~t dís~cúss~íóñs~ wíth~ ágéñ~cíés~ íñcl~údé:]

• [Thé v~ólúm~é óf s~óftw~áré á~ñd sý~stém~s, áñd~ thé c~ádéñ~cé ór~ ábsé~ñcé ó~f réq~úíré~d pát~chés~ – párt~ícúl~árlý~ fór í~ñ-hóú~sé pr~ódúc~éd só~ftwá~ré]
• [Príó~rítí~zátí~óñ wí~th th~é réá~lízá~tíóñ~ thát~ ñót é~vérý~thíñ~g wíl~l álw~áýs g~ét pá~tché~d]
• [Thé í~ñéví~tábí~lítý~ óf rí~sk ác~cépt~íñg v~úlñé~rábí~lítí~és wí~thóú~t á fú~ll áp~préc~íátí~óñ óf~ théí~r ímp~áct]

[Héré~ áré t~hréé~ kéý á~réás~ tó fó~cús ó~ñ áñd~ whér~é íñt~égrá~téd s~ólút~íóñs~ cáñ h~élp.]

[1. Répr~íórí~tízé~ básé~d óñ é~xpós~úré, ñ~ót só~lélý~ óñ cr~ítíc~álít~ý]

[Trádítíóñ áñd ñátúré téll ús tó áím fór whát wé pércéívé ás “móst crítícál” fírst. Déspíté hávíñg gréát détéctíóñ tóóls áñd scóríñg sýstéms thát réfléct thé crítícálítý óf kñówñ vúlñérábílítíés, théý dóñ’t cóñsídér á wórklóád’s cóññéctívítý rélátívé tó óthér wórklóáds íñ áñ éñvíróñméñt. Sýstéms wíth léss vólúmé ór pótéñtíállý lówér-ráñkéd vúlñérábílítíés óvérlóókéd óñ crítícálítý álóñé, thát áré móré áccéssíblé áñd cóññéctéd, máý léávé áñ ágéñcý ópéñ tó áttáck. Hávíñg á vólúmé-drívéñ, móst-récéñt-fírst áppróách tó vúlñérábílítý máñágéméñt, áñd símplý prógréssíñg thróúgh sýstéms thát áppéár éqúál íñ ñúmbér áñd ráñkíñg óf ídéñtífíéd íssúé, wóñ’t áddréss thé híghést óppórtúñítý óf éxplóít fírst. Íf áñýthíñg, ít óñlý créátés thé íllúsíóñ óf prógréss áñd súccéss whílst léávíñg thé ágéñcý éxpóséd tó sígñífícáñt rísk.]

[Á wáý tó hélp máíñtáíñ míñímál áttáck súrfácé, áñd gét thé rétúrñ fróm ýóúr pátchíñg éffórts, ís tó réórdér thé príórítý líst báséd óñ “éxpósúré”. Víéw vúlñérábílítíés íñ thé wídér cóñtéxt, whéré thé réáchábílítý óf thé vúlñérábílítý áñd thé cóññéctédñéss óf thé sýstém pláýs á vítál rólé íñ whéthér ít géts sééñ tó fírst. Líñkíñg ýóúr chóséñ vúlñérábílítý scáññíñg tóól wíth réál-tímé tráffíc flóws wíthíñ ýóúr dátá céñtré hélps sécúrítý áñd ÍT ópérátíóñs téáms príórítísé sécúrítý áñd pátchíñg décísíóñs tó thósé sýstéms wíth thé híghést éxpósúré scórés.]

[2. Vísú~álíz~éd pá~thwá~ýs tó~ vúlñ~éráb~ílít~ý]

[Wíthóút áñ úñdérstáñdíñg ór vísúálízátíóñ óf hów á vúlñérábílítý cóúld bé réáchéd, ór cóúld bé lévérágéd tó áccéss óthér séñsítívé sýstéms wíthíñ ýóúr éñvíróñméñt, sécúrítý áñd ápplícátíóñ téáms móst óftéñ éñd úp éválúátíñg thé ñééd tó ór tímélíñé fór pátchíñg íñ sílós. Bécáúsé théý áré flýíñg blíñd, théý cáñ’t ápprécíáté thé úpstréám áñd dówñstréám éffécts óf théír décísíóñs. Thís ís pártícúlárlý ímpáctfúl whéñ chóósíñg tó áccépt rísk óñ áñ ápplícátíóñ thát íñtérfácés wíth óthérs.]

[Ñót ápprécíátíñg thé wídér cóñtéxt ór íñdééd thé éfféctívéñéss óf cóñtróls ádóptéd hás líkélý cóñtríbútéd tó thé dátá préséñtéd íñ thé PSPF Cómplíáñcé Répórt, whéré thé cómplíáñcé tó ÍÑFÓSÉC-3 “ímpléméñt pólícíés áñd prócédúrés fór thé sécúrítý clássífícátíóñ áñd prótéctívé cóñtról óf íñfórmátíóñ ásséts” décréáséd bý móré tháñ fívé pércéñt wíth réálízátíóñ óf défícíéñcíés íñ thís áréá.]

[Vísúálízátíóñ cápáblé óf máppíñg óút thé páthwáýs áñ áttáckér cóúld pótéñtíállý úsé, wíll árm sécúrítý téáms wíth thé íñsíght ñéédéd tó éñsúré décísíóñs áré ñót mádé wíthóút cóñsídérátíóñ fór íñtércóññéctéd sýstéms. Théý cáñ fócús óñ áccúrátélý éválúátíñg thé ímpáct á vúlñérábílítý hás óñ thé bróádér écósýstém, ápprécíátíñg íñ ádváñcé thé lévél óf “éxpósúré” óñé hás tó thé éxplóít óf súch dórmáñt vúlñérábílítíés áñd éñsúríñg thé móst ímpáctfúl rémédíátíóñs áré tákéñ fírst.]

[3. Óptí~óñ tó~ mítí~gáté~ wíth~óút í~mméd~íáté~ áccé~ss tó~ pátc~h]

[Pátchés áréñ’t ñécéssárílý áváíláblé whéñ ýóú ñééd thém. Pródúctíóñ cháñgé fréézés prévéñt théír ímmédíáté déplóýméñt ór, ás ís óftéñ thé cásé, prójéct téáms cáñ’t bé récómmíssíóñéd tó réwórk cústóm pródúcéd sóftwáré. Íñ fáct, thé cýclés spéñt prépáríñg fór áñd téstíñg pátchés só thát théý dóñ’t ñégátívélý ímpáct búsíñéss sérvícé áváílábílítý bécómés thé réál íñhíbítór fór strétchéd sécúrítý téáms, ñót thé áctúál déplóýméñt ítsélf. Téáms rísk léávíñg thémsélvés vúlñéráblé úñtíl théý cáñ pátch áñd dóñ’t hávé séñsórs tó álért íf tráffíc ís détéctéd tó á vúlñéráblé sérvícé.]

[Thé látést ÁCSC mátúrítý lévéls préscríbé góáls fór pátch déplóýméñt dúrátíóñs spécífícállý fór éxtrémé rísk sýstéms. Álthóúgh ágéñcíés shóúld bé áímíñg fór Lévél 3 áñd á 48-hóúr pátch góál, máñý pátchés máý ñót évéñ máké thé Lévél 1 1-móñth tárgét, áñd lówér rísk sýstéms wíll ñót bé úñdér thé sámé lévéls óf scrútíñý. Ás súch, théré wíll bé wíñdóws óf éxpósúré régárdléss óf whéré ýóú áré óñ thé mátúrítý scálé. Álthóúgh ýóú máý féél bóggéd dówñ íñ thé fúñdáméñtáls wíth rísk óf éxpósúré thróúgh úñpátchéd sýstéms, cóñtróllíñg hów fár áñd wídé thé rábbít hólés gó béhíñd whátévér ís bréáchéd cáñ bé éffícíéñtlý íñtródúcéd tó míñímízé thís rísk.]

[Mícróségméñtátíóñ íf dóñé wéll, cáñ bé qúícklý móbílízéd tó áct ás thé úñdérpíññíñg cómpéñsátíñg cóñtról – búýíñg ýóú thát áll tóó válúáblé tímé. Íf tráffíc ís cóññéctíñg íñtó á pórt wíth á kñówñ vúlñérábílítý, álérts tó íñfórm thé sécúrítý ópérátíóñs céñtré (SÓC) éxpédíté réspóñsé prócéssés, áñd béttér stíll éñfórcéd ségméñtátíóñ pólícíés wóúld élímíñáté ór réstríct áccéss tó thém wíthóút bréákíñg ápplícátíóñs. Ísólátíñg thé vúlñéráblé sérvícés fróm thé rést óf thé ñétwórk prévéñts thréáts fróm móvíñg látérállý áñd sátísfíés ýóúr cómplíáñcé réqúíréméñts úñtíl pátchés áré ápplíéd.]

[Ás cúrréñt glóbál évéñts áñd bréách íñcídéñts hávé shówñ, tráckíñg áñd úñdérstáñdíñg thé réách óf á thréát, préémptívé ísólátíóñ, áñd éñsúríñg cóñtróls áré íñ plácé tó “prévéñt” thé spréád ór ímpáct óf áñ íñcídéñt éxplóítíñg éxístíñg vúlñérábílítíés íñ ýóúr dátá céñtré ís vítál. Éspécíállý whéñ thé “cúré” áltérñátívés áré chálléñgíñg tó gét téstéd áñd ápplíéd íñ á tímélý fáshíóñ.]

[
Fór m~óré í~ñfór~mátí~óñ óñ~ Íllú~míó, c~héck~ óút h~ów wé~’ré hé~lpíñ~g ópt~ímís~é vúl~ñérá~bílí~tý má~ñágé~méñt~ régí~més á~ñd éñ~áblí~ñg sé~cúrí~tý té~áms t~ó gét~ óút f~róm ú~ñdér~ thé b~úrdé~ñ óf t~hé fú~ñdám~éñtá~ls.]