Koncepcja procesu zarządzania podatnościami systemów teleinformatycznych

W pracy przedstawiono koncepcję zarządzania bezpieczeństwem systemów teleinformatycznych ze szczególnym naciskiem położonym na automatyzację zarządzania podatnościami na zagrożenia w cyberprzestrzeni. W zaproponowanym podejściu zakłada się wykorzystanie standardów z rodziny SCAP (ang. The Security Content Automation Protocol), pozwalających na efektywną wymianę informacji o charakterystykach podatności. Wśród nich wymienić należy słowniki przeznaczone do sformalizowanego opisu różnych aspektów bezpieczeństwa systemów, kwestionariusze do ewaluacji zgodności z założonymi politykami oraz systemy scoringowe pozwalające zbadać krytyczność podatności. W oparciu o założenia zaproponowanej koncepcji opracowano prototypy narzędzi mogących stanowić podstawę do budowy systemu zarządzania bezpieczeństwem.

The paper presents the concept of security management process for IT systems, with particular emphasis on IT vulnerabilities management automation. The proposed approach involves the use of SCAP (The Security Content Automation Protocol) components which allow for an effective vulnerability data exchange. These include enumerations for providing unified naming conventions for IT security artifacts, security checklists for evaluation of the compliance with the developed security policy and scoring systems for measuring vulnerability serverity. On the basis of the assumptions of the proposed concept several mechanisms were implemented which can further be the basis of the complex system for security management.