Gaitasun bat inplementatua izateak ez du zertan esan nahi ziurtatzeko moduan egon behar denik. SOC batek urteetan zehar ahultasun-analisiak egiten, gertaerak kontrolatzen edo intzidenteei erantzuten aritu daiteke, eta oraindik ere berrikusi beharreko alderdiak aurki ditzake bere eragiketak ezarritako ziurtagiri-eskakizunekin alderatzean. Aldea frogatu daitekeen horretan datza.

CCN-STIC 896 Gidak, Kudeatutako Segurtasun Zerbitzuen Betetze Profil Espezifikoa (PCE-SSG), ziurtagiria bilatzen duten zerbitzuen gaitasun teknikoa eta gaitasun operatiboa egiaztatzeko gutxieneko baldintza derrigorrezkoak ezartzen ditu. Ez du soilik SOCek zer egiten duen jorratzen, baita lan hori nola antolatzen den, zer prozedurak laguntzen dioten, zer tresna erabiltzen diren, zer rol dauden inplikatuta eta jarduerak zer froga uzten dituen ere.

Beraz, teknologian soilik zentratzen den gida irakurtzeak ikuspegi osatugabea ematen du. Baldintzen zati handi batek gaitasun bat nola bihurtzen den zerbitzu antolatu, errepikagarri eta egiaztatzeko moduko bat dakar.

Gaitasun Teknikoaz Haratago

Eragiketa-eskakizunei eskainitako atalak CCN-STIC 896 estandarra zenbateraino iristen den aplikazio praktikoan ikusteko aukera ematen digu.

Har dezagun adibide gisa Prebentzio Zerbitzuen barruan sartutako ahultasunen analisia. Gidak ez du soilik eskatzen SOCak ahultasunak identifikatu ahal izatea. Beste eskakizun batzuen artean, ezartzen du prozedura bat egon behar dela haien identifikaziorako, analisirako, txostenak egiteko eta jarraipena egiteko, zuzendu direla egiaztatu arte; prozesu horien dokumentazioa eguneratuta mantendu behar dela; aktiboen inbentario eguneratua eskuragarri egon behar dela; eta identifikatutako ahultasunek CVE edo CVSS bezalako erreferentzietan oinarritutako kritikotasun-ebaluazio sistema bat izan behar dutela.

Era berean, erakundeari eragin diezaioketen ahultasun berrien jarraipena, erabakiak hartzea errazten duten txostenak eta aginte-panelak sortzea eta alertak jakinarazteko eta jarraitzeko txartelen kudeaketa tresnak erabiltzea barne hartzen ditu.

Adibide hau erabilgarria da, ziurtagiriaren atzean dagoen logika ilustratzen duelako. Ez da nahikoa jarduera tekniko bat behar bezala egitea. Beharrezkoa da frogatzea prozesu bat dagoela atzean eta prozesu hori denboran zehar iraun daitekeela.

Logika bera, eskakizun zehatzekin, gidak jasotzen dituen zerbitzu eta azpizerbitzu desberdinei aplikatzen zaie.

Praktikan, horrek eguneroko eragiketak ikuspegi desberdin batekin aztertzera behartzen gaitu. Zeregin bat eraginkortasunez egin daiteke eta, hala ere, pertsona jakin baten esperientziaren menpe egon daiteke gehiegi. Prozedura bat egon daiteke, baina baliteke hilabeteetan eguneratu gabe egotea. Informazio garrantzitsua sor daiteke ikerketa batean zehar, baina ez da gorde gertatutakoa geroago berreraikitzeko moduan.

Gaitasun teknikoaren eta haren formalizazioaren arteko desadostasun horiek dira, hain zuzen ere, auditoria bat egin aurretik identifikatu behar direnak.

Zerbitzu bat berrikusteko modu praktiko bat

Eskuragarri dagoen dokumentazio guztiarekin hasi beharrean, erabilgarriagoa izan daiteke ziurtatu nahi dituzun zerbitzuetako bat hautatzea eta haren funtzionamendua hasieratik amaierara jarraitzea.

Adibidez, benetako zerbitzu-jarduera bati dagokionez:

  • Ba al dago nola egin behar den deskribatzen duen prozedurarik?
  • Dokumentazioan islatzen al da nola egiten den lana gaur egun?
  • Nork parte hartu zuen eta zer ekintza egin zituzten identifikatu al dezakezu?
  • Erabaki eta emaitza garrantzitsuak erregistratzen al dira?
  • Aurreikusitako jarraipen-tresnak eta -mekanismoak erabiltzen ari al dira?
  • Egindakoaren frogak geroago berreskura daitezke?
  • Jarduera egiten ari diren langileek beharrezko prestakuntza al dute?

Galdera hauetakoren bat erantzutea zaila bada, komeni da puntu hori berrikustea aurrera egin aurretik. hurrengoa. prozesua.

Ez dira guztiak modu berean aplikatuko zerbitzu guztietan. CCN-STIC 896 berak ezartzen ditu bakoitzarentzako baldintza zehatzak. Ariketaren erabilgarritasuna prozedurak ezartzen duenaren, zerbitzua ematean gertatzen denaren eta azkenean dokumentatu daitekeenaren artean jarraitutasunik dagoen egiaztatzean datza. Hau askotan prestaketaren gakoetako bat da.

Gida honek arreta berezia jartzen die SSG-n (Zerbitzuen Kudeaketa Sistemak) parte hartzen duten profesionalei. Operadoreek eta analistek funtzionamendu-prozedura estandarizatuak eta erabilera-kasuen eta ezarritako protokoloen dokumentazio eguneratua izatearen garrantzia azpimarratzen du, inprobisazioa murrizteko helburuarekin. Zerbitzu desberdinekin lotutako profil profesionalak eta haien prestakuntza eta esperientziari buruzko jarraibideak ere sartzen ditu.

Honek beste gai bat aurkezten du, ziurtagiria eztabaidatzerakoan beti kontuan hartzen ez dena: SOC-aren gaitasuna mantendu behar da, zeregin jakin bat egiten duten pertsonak aldatzen badira ere.

Prozesu batek analista batek buruz konpontzen dakielako bakarrik funtzionatzen badu, ezagutza teknikoa badago, baina heldutasun operatiboa falta izan daiteke oraindik. Froga dokumentatzeak, estandarizatzeak eta gordetzeak banakako ezagutza hori zerbitzu gaitasun bihurtzea ahalbidetzen du.

CCN-STIC 896rako prestatzeak puntu horiek identifikatzeko balio dezake zehazki. Auditoriarako dokumentazioa metatzeaz gain, pertsonen, prozesuen, teknologiaren eta frogen arteko korrespondentzia dagoela egiaztatzea da kontua.

Proba sinple batek jarduera berri bat aukeratu eta SOC-ak duen informazioa soilik erabiliz berreraikitzen saiatzea dakar. Zer gertatu zen, zer prozedura jarraitu zen, nork parte hartu zuen, zer erabaki hartu ziren eta zein izan zen emaitza jakitea posible bada, oinarri ona egongo da ziurrenik. Parte hartu zutenen oroitzapenetan oinarritu behar badugu istorioa osatzeko, badugu jada pista bat non egon daitekeen hurrengo hobekuntza.