Компенсирующий контроль

Простыми словами

Проще говоря, «Компенсирующий контроль» помогает команде найти или подтвердить слабое место, оценить реальный риск и проверить исправление. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

Как применяется

В практике ИБ термин «Компенсирующий контроль» используют так: его применяют при поиске слабых мест, подтверждении эксплуатации, оценке риска и контроле исправлений. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

Пример применения

В согласованных границах проверки специалист опирается на понятие «Компенсирующий контроль», сохраняет воспроизводимое доказательство и передаёт владельцу системы риск и способ исправления.

Не путать с

  • Виртуальный патчингВиртуальный патчинг — блокирование попыток эксплуатации на уровне WAF, IPS или другого средства без изменения уязвимого приложения.
  • Окно обслуживанияОкно обслуживания — согласованный период, в который допускаются изменения и возможное влияние на доступность систем.
  • Конец жизненного цикла (EOS)EOS — конец жизненного цикла продукта или услуги, означающий прекращение её предоставления либо развития.

Как это работает

  1. Обнаружить потенциальную слабостьВ контексте «Компенсирующий контроль» находят условие, поверхность или сценарий для проверки.
  2. Подтвердить воспроизводимостьБезопасным способом проверяют затронутый объект и необходимые предпосылки.
  3. Оценить практический рискТехнический результат связывают с экспозицией, угрозой и последствиями для бизнеса.
  4. Устранить и повторно проверитьИзменение подтверждают ретестом, не ограничиваясь отметкой о выполненной задаче.

Частые вопросы

Что такое «Компенсирующий контроль» простыми словами?

Проще говоря, «Компенсирующий контроль» помогает команде найти или подтвердить слабое место, оценить реальный риск и проверить исправление. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

Как «Компенсирующий контроль» применяют на практике?

В практике ИБ термин «Компенсирующий контроль» используют так: его применяют при поиске слабых мест, подтверждении эксплуатации, оценке риска и контроле исправлений. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

Чем «Компенсирующий контроль» отличается от близких понятий?

«Компенсирующий контроль» описывает следующее: мера, уменьшающая риск, когда основное исправление временно невозможно или недостаточно. «Виртуальный патчинг» означает: блокирование попыток эксплуатации на уровне WAF, IPS или другого средства без изменения уязвимого приложения. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.

Компенсирующий контроль — мера, уменьшающая риск, когда основное исправление временно невозможно или недостаточно.