Новые уязвимости появляются постоянно, а системы меняются, поэтому одноразовая проверка быстро устаревает. Анализ защищенности находит устранимые слабости раньше, чем их использует нарушитель. Его проводят регулярно, после существенных изменений, перед вводом системы в эксплуатацию, при аттестации и в рамках периодического контроля защищенности.

• Определить область проверки: сегменты сети, серверы, рабочие места, приложения, облачные ресурсы; согласовать окна и ограничения.
• Инвентаризировать активы и выбрать режимы сканирования: без учетной записи, с учетной записью, проверка конфигураций.
• Выполнить сканирование и сбор данных, исключить ложные срабатывания ручной проверкой.
• Оценить уязвимости по опасности и условиям эксплуатации в конкретной системе, учесть доступность из внешней сети и ценность активов.
• Подготовить отчет с приоритетами и рекомендациями: обновления, изменение настроек, компенсирующие меры.
• Передать задачи на устранение, проверить результат повторным сканированием и зафиксировать остаточные риски.

Отчет об анализе защищенности: перечень уязвимостей по узлам с оценкой опасности и приоритетом, рекомендации по устранению, результаты повторной проверки, список принятых остаточных рисков.

Сканирование проводит специалист по ИБ организации или внешний исполнитель; внешний взгляд полезен при аттестации, перед запуском и для независимой оценки. Администраторы исправляют уязвимости, владелец системы принимает решения о рисках и допустимых сроках.

• Проверять и критичные, и обычные узлы; сканер с актуальной базой и ручная проверка надежнее одного автоматического отчета.
• Определить режимы: с учетной записью и без нее, внутренний и внешний периметр.
• Согласовать окна и ограничения, чтобы сканирование не нарушило работу производственных систем.
• Просить отчет с приоритизацией по условиям конкретной системы, а не выгрузку сканера.
• Включить повторную проверку устранения в договор или внутренний регламент.
• Для внутренней работы выбрать сканер, обновляемую базу уязвимостей и назначить ответственных за устранение.