في معظم المؤسسات التي راجعناها (في هذا السيناريو التجريبي)، لم تكن المشكلة نقص الأدوات؛ بل العكس. ماسحات متعددة، لوحات تقارير ملوّنة، وآلاف النتائج «الحرجة» التي لا يعرف أحد من أين يبدأ بها. إليك خمسة أنماط تتكرر باستمرار.
1. الخلط بين درجة CVSS والأولوية
درجة CVSS تقيس خصائص الثغرة، لا خطرها على بيئتك. ثغرة بدرجة 9.8 في خدمة داخلية معزولة قد تكون أقل إلحاحًا من ثغرة بدرجة 7.5 في بوابة مكشوفة على الإنترنت وتُستغل فعليًا. الفرق الوحيد الذي يهم هو: هل تُستغل؟ وهل هي قابلة للوصول؟
2. غياب مالك واضح للأصول
لا يمكنك ترقيع ما لا تعرف من يملكه. برامج إدارة الثغرات الناجحة تبدأ بجرد الأصول وربط كل خادم وتطبيق بفريق مسؤول، قبل تشغيل أي ماسح.
3. قياس الحجم بدل الزمن
«أغلقنا 3,000 ثغرة هذا الربع» رقم يبدو جيدًا في العرض التقديمي لكنه لا يقول شيئًا. المقياس الأهم هو متوسط زمن المعالجة للثغرات المستغلة على الأصول المكشوفة، ونسبة ما يتجاوز اتفاقية مستوى الخدمة.
المقياس | ماذا يقيس فعلًا؟ | هل يستحق لوحة التقارير؟ |
|---|---|---|
عدد الثغرات المغلقة | نشاط الفريق | لا |
متوسط زمن المعالجة للمستغلة | تقليص نافذة التعرض | نعم |
نسبة الأصول المجرودة | جودة الرؤية | نعم |
عدد النتائج الحرجة الإجمالي | ضجيج الماسح | لا |
4. الترقيع بوصفه مشروع أمن لا مشروع عمليات
عندما يكون فريق الأمن هو من «يطارد» فرق البنية التحتية، يتحول الترقيع إلى تفاوض دائم. المؤسسات الأنضج تُدرج نوافذ الترقيع في خطط العمليات الاعتيادية وتمنح فرق الأمن دور المراقبة لا التنفيذ.
5. تجاهل الأصول التي لا يمكن ترقيعها
أنظمة قديمة، أجهزة طبية، خطوط إنتاج. لن تُرقّع أبدًا. البرنامج الجيد يعترف بذلك ويتحول إلى ضوابط تعويضية: عزل الشبكة، مراقبة مكثفة، وتقييد الوصول.
الخلاصة: إدارة الثغرات ليست مسألة تقنية بقدر ما هي مسألة ملكية وأولويات وقياس. الأداة تأتي أخيرًا.
