Użyj arkusza dla domen i adresów należących do firmy albo objętych wyraźną zgodą. To inwentaryzacja, nie pozwolenie na aktywne testowanie cudzych systemów.
Data przeglądu:
Zakres (domeny, publiczne IP, dostawcy chmurowi):
Osoba prowadząca:
Osoba zatwierdzająca decyzje:
Rejestr
| Domena / publiczne IP | Usługa, protokół i port | System / dostawca | Właściciel | Uwierzytelnianie / MFA | Data ostatniej aktualizacji | Powód biznesowy | Decyzja |
|---|---|---|---|---|---|---|---|
| zamknąć / ograniczyć / utrzymać | |||||||
| zamknąć / ograniczyć / utrzymać | |||||||
| zamknąć / ograniczyć / utrzymać |
Wpisuj także usługi pośrednie: VPN, bramy zdalnego dostępu, panele dostawców, urządzenia brzegowe i rekordy DNS wskazujące na nieużywaną infrastrukturę. „Nie wiem” jest poprawną wartością, ale musi dostać właściciela i termin wyjaśnienia.
Pytania do każdego wiersza
- Czy usługa musi być dostępna z całego internetu?
- Czy nazwa i adres wskazują na ten sam, oczekiwany system?
- Czy właściciel potwierdził cel i użytkowników?
- Czy MFA obejmuje właściwy przepływ logowania?
- Czy wersja i data aktualizacji są znane?
- Czy dostęp można ograniczyć do VPN, bramy albo znanych źródeł?
- Czy logowane są udane i nieudane próby oraz zmiany konfiguracji?
- Czy istnieje sposób wycofania zmiany bez utraty dostępu administracyjnego?
W przypadku pulpitu zdalnego zacznij od wpisu RDP wystawione do internetu to nie plan pracy zdalnej.
Decyzja i działanie
| Pozycja | Decyzja | Uzasadnienie | Działanie | Właściciel | Termin | Dowód zamknięcia |
|---|---|---|---|---|---|---|
| zamknąć / ograniczyć / utrzymać |
Zamknąć — brak aktualnego powodu biznesowego albo usługa została zastąpiona.
Ograniczyć — dostęp jest potrzebny, lecz nie z każdego źródła lub nie bez dodatkowej warstwy uwierzytelniania.
Utrzymać — właściciel potwierdził potrzebę, zabezpieczenia i monitoring; decyzja ma datę następnego przeglądu.
Podsumowanie
Liczba pozycji bez właściciela:
Liczba pozycji bez znanej daty aktualizacji:
Najpilniejsza zmiana:
Właściciel zmiany:
Termin ponownego przeglądu:
Arkusz pokazuje stan w chwili zbierania danych. Nie dowodzi braku innych usług i nie zastępuje uzgodnionej oceny bezpieczeństwa.