工程安全审计是系统性的评价,能够识别弱点、评估风险并提出改进技术系统的建议。 虽然这些审计的技术严谨性至关重要,但其最终成功取决于一个经常被忽视的因素:利益攸关方在整个过程中的积极和有意义的参与。 没有利益攸关方的参与,即使是最彻底的审计也会导致被忽略、误解或执行不力的建议。 本条探讨了利益攸关方的参与并非只是有益而是至关重要的原因,并为构建合作审计文化提供了可操作的战略,以加强一个组织---8217;安全态势。

了解安保审计中的利益攸关方

利益攸关方是指任何与系统安全有关或受其影响的个人、团体或实体。

  • 行政领导(首席执行干事、国际审计组织、首席执行官) {8211;负责战略决策、预算分配和将安全确定为业务优先事项。
  • 系统与网络管理员[] ⁇ 8211;管理日常操作,并熟悉基础设施 ⁇ 8217;s配置.
  • 开发商和工程师[] ⁇ 8211;构建和维护软件;他们的编码惯例直接影响安全.
  • 安全小组[ 8211; 进行审计、监测威胁和执行政策的专家。
  • 终端用户和客户[ ⁇ 8211;其使用模式和反馈揭示了现实世界的脆弱性和可用性权衡.
  • 外部缔约方[ {8211; 供应商、伙伴、监管机构和审计员,他们可能强制规定遵守要求或提供第三方验证。

每个组都带来独特的优势点。 开发者理解代码级风险; 管理员看到运行时的行为; 高管抓住业务影响; 终端用户遇到摩擦点,可能导致危险的绕行。 排除任何这些视角的安全审计都有可能丢失关键弱点或提出在实践中不切实际的解决方案。

利益攸关方参与事务的原因

吸收利益攸关方参与,将安全审计从合规检查框转变为协作改进举措。

全面风险识别

没有一个团队能够预见每个攻击矢量。 开发者可能忽略了管理员日常处理的错位;高管可能不知道工程师标注的过时库。 当来自不同领域的利益攸关方贡献知识时,审计发现更广泛的弱点,包括那些在进程、技术和人类行为交汇处出现的弱点。

强化购入和问责

参与审计过程的利益攸关方理解每个优先事项背后的理由,更愿意分配时间和资源进行补救,从而减少阻力并加快执行。

改进合规和风险管理

诸如ISO 27001、独联体管制和NIST SP 800 ⁇ 63等监管框架强调利益攸关方的沟通和参与,审计通过包括法律、合规和商业团队,确保安全控制既符合技术和监管要求,又符合监管要求,从而降低出现费用高昂的不遵守的可能性。

加强安全文化

当利益相关者定期参与审计时,安全就成为组织DNA的一部分而不是一个孤立的功能。 团队会开发一个共同词汇,学习及早发现风险,并将安全视为每个人的责任。 随着时间的推移,这种文化转变降低了事件的频率和严重程度。

利益攸关方参与面临的挑战

尽管它的好处,实现真正的利益攸关方参与并非直接。

  • (b) 许多利益攸关方不了解安全审计意味着什么,也不理解审计与其日常工作有何关系。
  • 时间限制[] ⁇ 8211;工程师和管理人员已经很紧张;审计参与可以感到额外负担.
  • 组织西洛斯[ ⁇ 8211;各部经常孤立运作,关于安全问题的沟通有限.
  • 害怕"责任"[ QQ8211;一些团队担心审计结果会被用来分配过失而不是改进系统.
  • 通信不适当 {8211;技术术语或过于详细的报告可能疏远非技术利益攸关方。

应对这些挑战需要周密规划,需要转变思维,从“审计作为检查”转变为“审计作为协作学习”。

有效利益攸关方参与的战略

为了最大限度地参与并充分体现利益攸关方的见解,各组织可以采取以下战略:

1. 尽早界定作用和期望

在审计开始前,先确定谁应该参与,谁的责任是什么。 比如,安全小组领导技术审查,而产品所有人则提供特征优先事项的背景。 公布明确的时间表和决策框架,让所有人都知道如何和何时作出贡献。

2. 建立公开通信渠道

使用同步(例如开场会议,审查会)和同步(例如共享文件,Slack通道)的通信相结合. 提供定期状态更新,并创建一个利益攸关方可以提出关切而不用担心报复的安全空间. 适应不同受众的语言和格式:高管需要高阶风险摘要,而工程师则需要详细的技术发现.

3. 纳入培训和提高认识课程

在审计前提供短期培训单元,解释目的、程序和预期成果,从而解密审计,并增强利益攸关方有效作出贡献的能力,例如,一个30分钟的常见攻击载体讲习班可以帮助非技术人员在日常工作中识别钓鱼风险。

4. 利用合作讲习班和威胁模型

超越被动报告审查。促进结构化讲习班,不同职能的利益攸关方共同查明风险。OWASP威胁模型[等技术或建筑审查会鼓励积极参与,并产生比单项清单审计更丰富的结果。

5. 提供可操作反馈循环

审计结束后,分享结果的方式可以直接与每个利益相关者的势力范围联系起来。 对于开发者来说,这可能意味着优先的代码修正;对于执行者来说,这意味着一个业务风险仪表板。 计划后续会议跟踪进展并视需要调整计划。 这强化了利益相关者投入导致实际改善。

有效的利益攸关方参与的益处

如果利益攸关方的参与做得好,回报远远超出立即审计结果:

  • 快速补救 \\ 8211; 由于利益攸关方已经了解了背景和优先事项,修复工作得到更快的实施。 Ponemon研究所的一项研究发现,安保和行动小组之间高度协作的组织将平均补救时间减少了30%以上。
  • 风险数据更高的质量 QQ8211; 多个视角表面微妙的弱点,自动扫描器或孤立的专家错过了这些弱点. 例如,开发者可能知道,某个API端点很少使用,可以退役,消除了攻击表面.
  • (b) 通过协作审计及早查明安全问题,防止了因违反清理规定而造成费用高昂的事故。
  • (b) 小组成员认为其专门知识受到重视,他们的声音得到倾听,工作满意度就会提高。
  • 不断改进[ ; 包容各方的审计工作创造了学习周期。 每次审计都以以前的建议为基础,各小组更适合自然地将安全纳入其工作流程。

案例:利益攸关方如何参与改变审计

考虑一个规模中等的SaaS公司来准备年度安全审计。 历史上,审计仅由安保小组进行,由此产生的报告被发电子邮件给各部门负责人,几乎没有讨论。 调查结果持续了几个月,同样的脆弱性年复一年地出现。

在新的办法中,公司成立了一个跨职能审计委员会,其中包括一名开发商、一名产品经理、一名基础设施负责人、一名客户支助代表和CISO。委员会举行了一次启动讲习班,每个成员都在会上分享了最大的安全关切。 开发商指出,遗留的认证库已不再保留;支助代表分享了客户密码重设问题的模式,在会议管理缺陷中暗示了这种模式;产品经理标出了一种新特征,未经安全审查就匆忙上市。

通过从一开始就让这些声音参与进来,审计范围扩大到了本会被忽视的领域,根据业务影响和技术可行性,建议被优先排序,每个委员会成员都支持团队内部的执行。 在6个月内,关键弱点的数量下降了70%,平均补救时间从90天下降到14天。 此外,合作进程在各部门之间建立信任,导致持续改善安全,远远超出审计周期。

结论

工程安全审计如果具有包容性、透明度和面向行动,则效果会大得多。 利益攸关方的参与将静态合规工作转化为全组织管理风险和加强防御的动态努力。 通过积极吸引高管、开发商、业务和终端用户参与,公司不仅发现更多的弱点,而且还建立应对不断变化的威胁所需的文化基础。

投资让利益相关者参与的组织会发现,他们的安全审计能产生更快、更可持续的结果。 关键是将利益相关者视为保护关键系统和数据的现行任务中的重要伙伴,而不是消极接受审计结果。 在当今的威胁环境中,合作安全不是可选的,而是竞争优势。