The Old Ways Are Not Enough Anymore الطرق القديمة ليست كافية الآن أتذكر وقتًا عندما كنت تشاهد تطبيقًا للخطر كان يشعر بالارتياح. كنت تتحرك بضع أدوات تلقائيًا، وتصحيح ما كان يُسمى، وتسجيل كل شيء للتوافق، وتسريعًا. في ذلك الوقت، كان هذا النظام يشعر أنه كان يحافظ على البوابة آمنًا. ولكن في هذه الأيام، يشعر هذا النظام نفسه أكثر بكثير مثل التحقق من حفرة في قائمة قديمة من خلال السرعة التي تتحرك التكنولوجيا. لا توجد التطبيقات اليوم فقط على الموردين المحليين مع محطات واضحة.إنها تشمل بيئات الكونفدرالية، API، المكونات، والخدمات الصناعية التي تتحرك إلى أعلى وأدنى حسب الرغبة.لقد لا يمكن لمسح استباقي، على الرغم من التقديرات المتقدمة، أن تتواصل مع السرعة والعديد من الأنظمة الحديثة.وإذا كانت خطوط الدفاع الوحيدة التي لدينا هي تسريع الضعف، فإننا لا نقوم بإدارة المخاطر – نحن فقط تسجيلها. Why Scanning Alone Isn’t Security لماذا لا يكون التحكم في نفسك آمنًا يخدم كوسيلة تحذير مبكر حقيقية. إنه يخبرك عن أين يتم إزعاج الأشياء في قاعدة الكود المعروفة، ويمكنك تحديد المكتبات القديمة، ويمكنك تحديد أطعمة أمنية منخفضة. ولكن المشكلة هي أنها تنتهي هناك. فهو لا يساعدك على فهم الوزن الحقيقي لهذه المخاطر. فهو لا يخبرك عن كيف يمكن أن تتحول خطأ واحد إلى تهديد تجاري أكبر بكثير. ولهذا فمن الواضح أنه لا يقدم لك استراتيجية للتعامل مع المخاطر فوق حدود فريق التطوير. لقد رأيت من أيدينا كيف يمكن أن يغرق الفريقون تحت تقريرات الضعف التي لا تحصل على أي شكل من أشكال الضعف. فهي في نهاية المطاف في سباق لتصحيح المشاكل بناءً على أرقام الضعف التي تم تصميمها مع التغييرات النظرية في ذهنه، بدلاً من عواقب العالم الحقيقي. واحدة من الأرقام الأكثر ضرراً هو التعامل مع جميع الضعف العالي كواحدة من الضروريات على حد سواء. فهي ليست. قد يكون نقصاً إيجابيًا مغمورًا في جزء غامض قد يكون أقل خطرًا من نقص الضعف المتوسط الذي يعيش في خدمة عملاقة مع العملاء. Understanding Risk in Real Business Terms فهم المخاطر في حالات الأعمال التجارية الحقيقية ما يحتاج إلى إدارة المخاطر التطبيقية هو وجهة نظر أوسع، وهي التي تؤكد ليس فقط الأخطاء التقنية ولكن أيضًا الواقعية التشغيلية، والتأثيرات التجارية، والتهديد المستخدم. على سبيل المثال، يرتبط مشكلة في وحدة معالجة الدفع أثناء موسم الركود بقدرة مختلفة تمامًا عن المشكلة نفسها في غرفة صغيرة من التنمية. هناك أيضًا ظاهرة التكامل التي تنتجها أدوات التحقق.من المريح أن تفكر في أنك تم تغطية جميع قواعدك فقط لأن التحقق يعود نظيفًا.لكن المخاطر لا تأتي دائمًا من الأخطار المعروفة.في بعض الأحيان تأتي من خيارات الأكاديمية، من التطبيقات المتسارعة، من عادات سيئة تنمو مع مرور الوقت.ولكن لا أدوات تريد أن تسجل هذه الأمور لك ما لم يتم تصميمها بشكل خاص لمراقبة هذه السلوكيات-وحتى ذلك الحين، فإنه بحاجة إلى السياق الصحيح لتكون معقدة. Moving From Periodic Reviews to Continuous Risk Awareness الانتقال من التحليلات المتكررة إلى الوعي المستمر بالخطر إن إدارة المخاطر الحديثة يعني معالجة التطبيقات كأنظمة حية.إن هذه الأنظمة تتطور باستمرار.بعد كل تطوير، والتكامل، وإطلاق ميزات، تتغير سياق المخاطر.هذا هو السبب في أن المستقبل من إدارة المخاطر التطبيقية يجب أن يكون مستمرًا، وليس مفاجئًا. والخطر ليس مجرد شيء يمكن التحكم به على نحو إيجابي. هناك قوة هائلة في أن تكون فعالة - إدخال الوعي بالخطر في عملية التصميم والتطوير. عندما تتعاون فريق الأمان والمخاطر في وقت مبكر ، يمكن أن تساعدهم على توجيه قرارات الأكاديمية بطرق تؤدي إلى إزالة فئات كاملة من الضعف قبل أن تخلقها في قاعدة الكود. Vulnerabilities Evolve Faster Than You Ship — Monitor or Fall Behind الضعف تطور أسرع من السفينة - مراقبة أو انخفاض السرعة ليست وحدها أصولك - أنها معاركك أيضا. كل يوم، يتم إصدار نقاط الضعف الجديدة.أجهزة الاستغلال أصبحت أسرع من أي وقت مضى، ولا تنتظر المهاجمون دورة التصفح.أمكانيات الوقت الحقيقي ليست نظرية الآن، بل هي مساحة المعركة. هذا هو الحقيقة الصارمة: لقد تجاوزت سرعة اكتشاف الضعف الممارسات الأمنية التقليدية.تقييم الفرق بين بيانات CVE التي يتم نشرها واستغلالها بشكل فعال في كثير من الأحيان في ساعات وليس أيام. هذا هو السبب في أن مراقبة الضعف في الوقت الحقيقي ليست "خالية من الضرر"، بل هي موجودة ضرورية. - لا تستطيع تقييم الضعف المستمر. - تحتاج إلى التسلية في الوقت الحقيقي على سلوك البنية التحتية والتطبيقات الخاصة بك، وتغذية المعلومات عن التهديدات في خطوط CI/CD الخاصة بك، وتترابطات CVE تلقائياً مع الحد الأقصى الحالي الخاص بك، وتحديد الأولوية للتخفيضات الأمنية حسب المخاطر التجارية والتغلب على المخاطر. وهكذا، هنا هو الخطر: يجب أن تكون هذه الآراء متوافقة مع اتفاقية SLA المرتبطة بالأسواق والالتزامات في الوقت الحالي.لأن ماذا عن نظام متواضع إذا فشل تحت سيطرة الجمهور أثناء أزمة يوم واحد؟ إن الأمان والتوفر لم تعد أهدافاً منفصلة، بل هي الجانب الثاني من وعدك بالوقت المناسب. لا يمكنك أن تتحمل مسؤولية الأمان دون إثبات أنك آمن الآن، ليس فقط الأسبوع الماضي. Yes, Some Risk Is Actually Healthy نعم ، بعض المخاطر هي في الحقيقة صحية ولكن هناك شيء لم يحدث كافياً: ليس كل المخاطر سيئة. في الواقع، يأتي بعض الأنشطة الابتكارية الأكثر تأثيراً من فريقين كانا مستعدين لضمان كمية معينة من المخاطر المحددة. تفكر في إطلاق منتج يضغط على السجل أو تدمير منصة تفتح أسواق جديدة. هذه ليست خطوات منخفضة المخاطر، ولكنها ضرورية. بدلاً من الهدف من إزالة جميع المخاطر، يجب أن يكون الهدف هو فهمها، والتخطيط لها، وتشييد القرارات المعروفة حولها.هذا يعني ليس فقط تشخيص المخاطر ولكن أيضًا تحديد مستوى المخاطر المقبول، أي المؤشرات تشير إلى الحاجة إلى التدخل، وكيفية مراقبة هذه المؤشرات في الوقت الحقيقي.هذا يعني مراقبة ليس فقط وجود المخاطر ولكن أيضًا النجاح في جهود التخفيف من المخاطر وصحة النظام في الوقت المناسب. We Need Better Metrics—Not Just More of Them نحن بحاجة إلى نمطيات أفضل - وليس فقط أكثر منها وتلعب الأرقام دورًا هامًا هنا، ولكن ليس فقط الأرقام الأساسية مثل "معدلات الضعف المفتوحة". وهذه هي الإحصاءات الخاطئة إذا لم تكن متصلة بالنتائج. ماذا نحتاج إلى الأرقام التي تتحدث عن قصة. كم بسرعة نحن نلجأ إلى حل مشاكلنا الأكثر أهمية؟ هل نرى إصابات متكررة في نفس المجال من الكود؟ كيف نتقارن الآن مع الربع الأخير من حيث التعرض للخطر؟ تقدم الإجابة على هذه الأسئلة المزيد من الاستفادة من أي سجل خطير من أي وقت مضى. إن المنظمات التي ستنمو في هذا الجوانب الجديدة هي أولئك الذين يتعاملون مع المخاطر كمسؤولية مشتركة.المنظمات، والمديرين على المنتج، والهيئات الأمنية، وحتى الأشخاص القانونيين والموافقين لديهم كل دور في اللعب.وكلما تم دمج إدارة المخاطر في عمليات العمل اليومية، كلما كان الأمر أقل يشعر بالضغط منفصل. The Real Shift Is Cultural, Not Just Technical التغيير الحقيقي هو الثقافي وليس فقط تقني وبطبيعة الحال، فإن الوصول إلى هذا النوع من التكامل لا يحدث خلال النهار. يبدأ من تحديد كيفية التعامل مع المخاطر. ليس كمخاطر، بل كإشارة. ليس كسبب للتوقف عن بناء، ولكن كسبب لإنشاء أذكى. ويحتاج إلى الأدوات والأنظمة التي يمكن أن تدعم هذا الفلسفة - الأدوات التي توفر رؤية ومفاهيم وأفكار في الوقت الحقيقي حول ما يحدث في سياق التطبيقات. في نهاية المطاف، فإن المستقبل من إدارة المخاطر التطبيقية لا يتعلق بتبديل محركات الكمبيوتر، بل يتعلق بتحفيز المحادثة.هذا يتعلق بالتركيز من البحث عن الضعف إلى اتخاذ قرارات استراتيجية.هذا يتعلق بالتركيز على التوافق والانخراط في مساحة حيث يتم إدارة المخاطر بنشاط، وتقييمها باستمرار، وتفعيلها بشكل عاجل لمكافحة الابتكار. نحن نصل إلى وقت لم يعد فيه السرعة والسلامة قوة متناقضة.لقد لا يكون التحدي الحقيقي هو مدى السرعة التي يمكنك إطلاقها، بل هو كيف يمكنك القيام بذلك بأمان دون تبطئ.وذلك هو التحدي الذي يستحق التعامل معه بشكل مباشر، مع استراتيجية المخاطر التي تكون متقدمة مثل التطبيقات التي تهدف إلى حمايةها. 
 
 تم توزيع هذه القصة كجزء من إصدار Sanya Kapoor تحت برنامج HackerNoon Business Blogging. تم توزيع هذه القصة كجزء من إصدار Sanya Kapoor تحت برنامج HackerNoon Business Blogging.

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Read My Stories

تم إنتاج هذا الصوت باللغة الأصلية للقصة!

طويل جدا؛ ليقرأ

Download free Tech Leaders Productivity Report!

مستقبل إدارة المخاطر في التطبيقات: من خلال تسجيل الضعف

About Author

تعليقات

شنق العلامات

تم تقديم هذه المقالة في

Related Stories

Top Ecommerce Development Companies

The shortage of women in tech

30 Top Blockchain Development Companies in 2019

Aria Coin Achieves 3000% Growth, Pioneering a Galactic-Themed Crypto Ecosystem

Top Ecommerce Development Companies

The shortage of women in tech

30 Top Blockchain Development Companies in 2019

Aria Coin Achieves 3000% Growth, Pioneering a Galactic-Themed Crypto Ecosystem

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps