Popis řešení
Výstupem nástroje je mimo jiné tzv. security rating, ohodnocení bezpečnostní úrovne společnosti v rámci odvětví, přičemž hodnocení je A (nejlepší) až F (nejhorší). Hodnocení je počítáno v logaritmické škále, díky které lze lépe porovnávat velké společnosti s rozsáhlou infrastrukturou s těmi menšími, které mají třeba pouze jednu doménu.
Celkový rating je kombinací hodnotících algoritmů rozdělených do 10 úrovní: network security, DNS health, patching cadence, endpoint security, IP reputation, application security, cubit score, hacker chatter, information leak a social engineering. Pro každou z deseti oblastí je vytvořen soupis nalezených nedostatků rozdělených do kategorií (high, medium, low, informational severity a positive signals). Každý nedostatek je popsán a je navrhnuto možné opatření.
Security rating se aktualizuje jednou denně a lze sledovat jeho historii a změny v čase, takže je možné pozorovat, zda se stav společnosti zlepšuje nebo zhoršuje, ale také reakci na nové zranitelnosti, standardy a doporučení v konfiguraci služeb (jako např. šifrovací algoritmy). Graf zobrazuje úroveň společnosti, průměr v daném odvětví a celkové rozpětí hodnot v daném odvětví. V historii je zároveň event log, který vypisuje jednotlivé nové nebo vyřešené události.
Kromě sledování úrovně vlastní bezpečnosti slouží SecurityScorecard i k řízení rizik dodavatelů, neboť dovoluje stejným způsobem zobrazit ratingy jiných společností. Platforma zároveň nabízí možnost pozvat vendora, který získá zdarma přístup k ratingu vlastní společnosti. Pro každou společnost je vytvořena závěrečná detailní zpráva, která obsahuje tyto informace:
- Přehled všech hodnocených faktorů s počtem zjištěných nedostatků.
- Graf hodnocení za uplynulých 30 dnů.
- Přehled nejkritičtějších zjištění.
- Vyhodnocení všech kategorií faktorů, které obsahuje výsledné skóre, seznam všech monitorovaných oblastí a u nich uvedený počet nálezů.
SecurityScorecard je možné integrovat do GRC nástroje, a to jak data vlastní společnosti, tak i data vendorů. GRC nástroj pak synchronizuje data získaná z dotazníků s hodnocením dodavatelů, zranitelnostmi a s daty ze SecurityScorecard.
SecurityScorecard nabízí i přiřazení nalezených nedostatků do jednotlivých kategorií nebo částí bezpečnostních standardů či legislativy, a to konkrétně
- GDPR,
- HIPAA,
- ISO/IEC 27001:2005,
- NIST 800-171,
- NIST Cybersecurity framework Version 1.1,
- PCI DSS Version 3.1,
- SIG a SIG Lite
- TISAX.
Jak probíhá implementace?
Implementace řešení je velmi jednoduchá. Protože společnost získává data kontinuálně o velkém množství společností, stačí získat přístupové údaje do platformy, a následně společnost může zobrazit ratingy své a svých vendorů, případně ratingy dalších společností (partnerů atd.). Cena řešení se odvíjí od počtu sledovaných dodavatelů (přístup k vlastní společnosti je vždy zdarma).
Získávání dat probíhá v těchto krocích:
- Zjištění aktiv – veřejně dostupná digitální aktiva společnosti.
- Skenování aktiv – jak aktivně, tak i pasivně – uloží se do databáze Threat market, což umožní analýzu současného i minulého stavu.
- Měření kyberbezpečnosti – důsledně měří širokou škálu metod skenování a monitorování kybernetické bezpečnosti.
- Atribuce aktiv – aktiva přiřazena a seskupena společností, která je vlastní.
- Hodnocení – na platformě, porovnání se společnostmi v jejich odvětví, případně integrace do GRC platformy.
