Kwetsbaarhedensbeheerpraktijk

Kwetsbaarhedensbeheerpraktijk is een verzameling van activiteiten, processen en controles die gericht zijn op het identificeren, beoordelen, verhelpen en monitoren van beveiligingszwakheden in informatiesystemen met als doel het risico voor een organisatie te verminderen.

De praktijk bestrijkt hardware, software, netwerken, cloudomgevingen en applicaties, zowel on-premises als in hybride omgevingen, en streeft naar voortdurende verbetering en afstemming met de risicobalans van de organisatie.

Belangrijke onderdelen zijn: inventarisatie van assets; detectie en identificatie van kwetsbaarheden via scans en tests; beoordeling en prioritisering op basis van waarschijnlijkheid, impact en blootstelling; remediëring of mitigatie; verificatie van geïmplementeerde maatregelen; en rapportage en governance. Immers blijven processen met regelmatige evaluatie en aanpassing essentieel.

Actoren omvatten het security team, IT-operaties, eigenaren van assets, risicobeheer en toezicht op directieniveau. De samenwerking tussen deze rollen bepaalt tijdigheid en effectiviteit van de maatregelen.

Veelgebruikte hulpmiddelen zijn kwetsbaarhedenscan-tools, patchmanagementsystemen, configuratiebeheer en threat intelligence-feeds. Inzetten van deze tools vindt meestal plaats binnen een geïntegreerde beveiligings- en change-managementomgeving.

Kaders en standaarden die ondersteuning bieden zijn onder meer NIST SP 800-40, ISO/IEC 27001 en 27002, CIS Controls en het RMF-kader van NIST. Relevante principes zijn doorgaans terug te vinden in bredere informatiebeveiligings- en risicobeheerpraktijken.

KPI’s omvatten tijd tot remediatie, patchdekking, het aantal openstaande kwetsbaarheden en residual risk. Deze metrics helpen bij het sturen van prioriteiten en beoordelingen van volwassenheid van het kwetsbaarhedensbeheer.