Vulnerability Assessment

МТ-н мэргэжлийн үйлчилгээ
Утсаар зөвлөгөө авах

Vulnerability Assessment буюу Эмзэг байдлын үнэлгээ гэж юу вэ?

АНУ-ын Стандарт, Технологийн Үндэсний Институтийн (NIST) тодорхойлолтоор мэдээллийн систем, системийн аюулгүй байдлын процедур, дотоод хяналт, хэрэгжүүлэлтэд гарсан гадны халдлагад өртөхүйц сул талыг эмзэг байдал гэж үздэг. Тиймээс, халдлага үйлдэгчид системийн эмзэг, сул байдлыг ашиглан зорилгодоо хүрэх боломжтой. Эмзэг байдлын үнэлгээ гэдэг нь халдлагаас урьдчилан сэргийлэх зорилгоор байгууллагын аюулгүй байдалд байж болох аливаа эмзэг байдлыг олж тогтоох, задлан шинжлэх процесс юм. Энэхүү үнэлгээг мэдээллийн технологийн системийн эмзэг байдлыг олж тогтоох, туршилт хийх, задлан шинжилгээ хийх, тайлан гаргах зориулалтын автомат шалгах хэрэгслүүдийг ашиглаж сүлжээн дээр суурилсан эсвэл хост дээр суурилсан аргачлалаар гүйцэтгэдэг.

Яагаад эмзэг байдлын менежмент чухал вэ?

Vulnerability Assessment

Эмзэг байдлын үнэлгээг нэг удаа хийлгэснээр аюулгүй байдлыг сайжруулж, халдлагаас найдвартай сэргийлнэ гэж ойлгож болохгүй, энэ нь зөвхөн үнэлгээг хийсэн агшин дахь орчны дүр зургийг л харуулах бөгөөд тус үнэлгээний зорилго нь тухайн үед байгаа сул талуудыг олж тогтоох ба задлан шинжилгээ хийхэд чиглэдэг.

Тиймээс, мэдээллийн аюулгүй байдлын нийт үр ашгийг нэмэгдүүлэхийн тулд, байгууллагууд эмзэг байдлын үнэлгээг тогтмол хийлгэж байх, эдгээр үнэлгээний ажлаас гарсан үр дүн дээр суурилсан зохих арга хэмжээг цаг алдалгүй байнга авч хэрэгжүүлж байх ёстой. Эмзэг байдлын менежментийн систем (эсвэл процесс) нь асуудлыг таньж мэдэх, задлан шинжлэх, сул талыг нь олж тогтоох, тохирсон арга хэмжээ авахад дэмжлэг болох байнгын дадлыг бий болгох бөгөөд, үүний цаана тухайн байгууллагад өгөх үнэ цэнэ нь оршдог.

Эмзэг байдлын үнэлгээний үр ашиг, ач холбогдол

Аюулгүй байдал сайжрах

Эмзэг байдлын үнэлгээг гүйцэтгэснээр аюулгүй байдалд өгөх үр ашиг, ач холбогдол их. Үнэлгээний ажлын үр дүнг системийн аюулгүй байдлыг сайжруулах төлөвлөгөөнд ашиглахаас гадна patch менежмент эсвэл хөрөнгийн ашиглалтын менежмент зэрэгт үүссэн дутагдал цоорхойг илрүүлэхэд хэрэглэх боломжтой. Сүлжээний эмзэг байдлын шалгалтаар байгууллагын сүлжээнд холбогдсон гадны төхөөрөмжийг таних, сүлжээний алдаатай тохиргоог илрүүлэх, дотоод систем дээр ажиллаж байгаа хориотой үйлчилгээнүүдийг олж тогтоож болдог. Эмзэг байдлын үнэлгээний үр дүнгүүдийг байгууллагын эрсдэлийн шинжилгээ (enterprise risk analysis) болон нэвтрэлтийн туршилт (penetration testing) гэх мэт аюулгүй байдлын бусад үйл ажиллагаанд оролтын өгөгдлөөр ашиглах боломжтой.

Нийцлийн шаардлага хангах

Нийцлийн шаардлагыг зайлшгүй болон зайлшгүй биш гэсэн хоёр төрөлд хуваадаг. Засгийн газрын эсвэл тухайн салбарын зүгээс гаргасан байгууллагууд зайлшгүй мөрдөх стандарт шаардлагууд байдаг, жишээлбэл банкны салбарт бол PCI DSS гэсэн стандарт байдаг. Зайлшгүй биш ч тухайн байгууллагын хэрэглэгчид болон бизнесийн онцлог шаардлагаас үүдэж дагаж мөрдөх стандартууд байдаг, жишээлбэл, ISO/IEC 27001:2013 зэрэг мэдээллийн аюулгүй байдлын стандарт шаардлагыг дурдаж болно. Дээр өгүүлсэн ихэнх стандарт шаардлагуудад шууд болон шууд бус байдлаар аливаа байгууллага эмзэг байдлын үнэлгээ хийлгэх асуудлыг тусгаж оруулсан байдаг.

Мэдээлэл авах

Мэдээллийн технологийн салбарын тэргүүлэгч Ай Ти Зон компанийн мэргэшсэн, туршлагатай инженер, экспертүүд байгууллагуудад мэдээллийн аюулгүй байдлын чиглэлээр аудит, эмзэг байдлын үнэлгээ, нэвтрэлтийн туршилт, сүлжээний үнэлгээ, системийн шинжилгээ хийн, гүйцэтгэлийн тайлан боловсруулж, шийдлийн архитектур гарган зөвлөгөө өгч ажиллаж байна.