Dal vulnerability assessment al Continuous Exposure Management
Cosa cambia quando la gestione delle vulnerabilità diventa un ciclo continuo collegato alla remediation.
Il vulnerability assessment risponde a una domanda importante: quali debolezze posso rilevare nel perimetro analizzato? Il Continuous Exposure Management aggiunge una domanda operativa: che cosa facciamo, in quale ordine, e come dimostriamo che il rischio è stato ridotto?
Da una fotografia a un inventario vivo
Un assessment è necessariamente legato a un momento e a una copertura. Applicazioni, dipendenze ed esposizione cambiano però continuamente. Un inventario aggiornato, arricchito da SBOM e informazioni sui componenti, confronta le nuove vulnerabilità con ciò che è effettivamente presente.
Continuo non significa onnisciente: il perimetro, le fonti e le esclusioni devono essere dichiarati. Anche la qualità e l’aggiornamento delle SBOM sono indicatori da misurare.
La priorità combina tecnica e business
Gravità, probabilità di sfruttamento e presenza in cataloghi di vulnerabilità attivamente sfruttate aiutano a ordinare il lavoro. Ma la decisione richiede anche esposizione, raggiungibilità, dati trattati, rilevanza del servizio e controlli esistenti.
L’automazione accelera la correlazione. La validazione specialistica impedisce che una corrispondenza incerta diventi automaticamente un intervento urgente.
Il ciclo include chi esegue
La remediation non è un’appendice del processo. Il piano deve indicare chi interviene, con quale pacchetto tecnico, in quale finestra e con quali alternative se la patch non è disponibile. Team interno, fornitore IT e partner operativo possono convivere, purché stati e responsabilità siano condivisi.
- Una condizione esplicita per confermare l’impatto.
- Una distinzione tra mitigazione e correzione definitiva.
- Una verifica tecnica successiva all’intervento.
- Una gestione formale delle eccezioni e del rischio accettato.
Misurare per rimuovere gli ostacoli
I tempi del ciclo sono utili se aiutano a capire dove il processo si ferma. Un ritardo nella valutazione richiede interventi diversi da una patch non disponibile o da una finestra negata. La metrica deve quindi accompagnare il contesto, non sostituirlo con un unico numero.