Naršyklės plėtinių valdysena pagal NIS2, DORA ir GDPR

Maria, sparčiai augančios fintech įmonės vyriausioji informacijos saugumo vadovė (CISO), manė, kad DORA išankstinis vertinimas vyksta sklandžiai. Jos komanda buvo parengusi IRT trečiųjų šalių registrą, kritinių SaaS sutarčių sąrašą, tiekėjų deramo patikrinimo įrašus, rizikos priėmimo sprendimus ir valdymo organui skirtą ataskaitų paketą.

Tada auditorius uždavė klausimą, kuriam niekas nebuvo pasirengęs.

„Ar galite parodyti naršyklės plėtinių valdysenos procesą?“

Klausimas kilo per finansų analitiko galinio įrenginio peržiūrą. Ekrano bendrinimo metu auditorius analitiko naršyklėje pastebėjo trečiosios šalies produktyvumo plėtinį. Jis atrodė nepavojingas, tačiau greita paieška parodė, kad kūrėjas prieš tris mėnesius buvo patyręs tiekimo grandinės kompromitavimą. Kompromituotas plėtinys buvo naudojamas pagrindinių SaaS platformų sesijų žetonams eksfiltruoti.

Fintech įmonė turėjo griežtas neautorizuotos programinės įrangos politikas. Ji naudojo EDR, MFA, CASB, SaaS žurnalus ir su ISO/IEC 27001 suderintą ISVS. Tačiau niekas naršyklės nebuvo traktavęs kaip valdomos programinės įrangos platformos. Niekas nebuvo inventorizavęs plėtinių. Niekas nebuvo patvirtinęs jų leidimų. Niekas nebuvo patikrinęs, ar plėtinių kūrėjai laikytini tiekėjais. Niekas nebuvo susiejęs plėtinių veiklos su DORA, NIS2 ar GDPR įrodymais.

Vienas naršyklės plėtinys iš, atrodytų, atitiktį užtikrinančio galinio įrenginio sukūrė galimą slaptosios prieigos kelią į finansines sistemas, klientų duomenis ir reglamentuojamas darbo eigas.

Tai ir yra 2026 m. naršyklės plėtinių valdysenos problema. Naršyklė nebėra tik langas į internetą. Joje darbuotojai autentifikuojasi, tvirtina mokėjimus, pasiekia CRM įrašus, tvarko asmens duomenis, valdo debesijos infrastruktūrą ir dirba su kritinėmis SaaS platformomis. Plėtiniai nebėra kosmetiniai priedai. Tai trečiųjų šalių kodas, veikiantis jautriausiame šiuolaikinio darbo sluoksnyje.

CISO, atitikties vadovams, duomenų apsaugos pareigūnams ir IRT rizikos savininkams nevaldomi plėtiniai yra galinių įrenginių saugumo, šešėlinės IT, tiekėjų rizikos, pakeitimų valdymo, pažeidžiamumų valdymo ir privatumo atskaitomybės sankirtoje. ISO/IEC 27001:2022 suteikia organizacijoms struktūrą šiai rizikai valdyti. NIS2, DORA ir GDPR sukuria reguliacinį spaudimą tai įrodyti.

Naršyklės plėtiniai yra programinė įranga, tiekėjai ir duomenų tvarkytojai

Dauguma organizacijų jau išmoko valdyti nešiojamuosius kompiuterius, mobiliuosius įrenginius, serverius, SaaS taikomąsias programas, debesijos infrastruktūrą ir privilegijuotas paskyras. Naršyklės plėtiniai dažnai patenka į tarpą tarp šių programų.

Saugumo komandos juos mato kaip naršyklės nustatymą. Pirkimų funkcija jų nemato, nes nepasirašoma sutartis. Teisinė funkcija jų nemato, nes neatidaroma tiekėjo įtraukimo užklausa. Privatumo komandos jų nemato, nes plėtinį įdiegia naudotojas, o ne organizacija kaip oficialią taikomąją programą. Tačiau plėtinys gali prašyti leidimo skaityti ir keisti duomenis visose svetainėse, pasiekti iškarpinės turinį, fiksuoti puslapio metaduomenis, valdyti atsisiuntimus, įterpti scenarijus arba komunikuoti su išorine galine paslauga.

Tai reiškia, kad naršyklės plėtinys vienu metu gali būti visa tai:

[ZB] Zenith Blueprint: An Auditor’s 30-Step Roadmap savo ISO/IEC 27002:2022 gairėse dėl kontrolės priemonės 8.19 aiškiai įvardija pagrindinę problemą. Jose įspėjama, kad „net gerų ketinimų turintys darbuotojai gali įdiegti priemones, kad „darbą atliktų greičiau“ – naršyklės plėtinį, kodo biblioteką ar failų perdavimo programą – nesuvokdami, kad ką tik įdiegė užpakalines duris, nepataisytą priklausomybę arba duomenų iškėlimo vektorių.“

Šį sakinį reikia vertinti kaip valdybos lygmens rizikos pareiškimą. Darbuotojai, diegiantys rizikingus plėtinius, paprastai nesiekia apeiti saugumo. Jie siekia padidinti produktyvumą. Valdysenos nesėkmė įvyksta tada, kai organizacija nesuteikia saugaus prašymo, tvirtinimo, diegimo ir stebėsenos proceso.

Kodėl dėl NIS2, DORA ir GDPR ši akloji zona tampa skubi

Naršyklės plėtinių rizika egzistuoja jau daugelį metų, tačiau reguliacinis kontekstas pasikeitė. 2026 m. organizacijos turi parodyti ne tik tai, kad kontrolės priemonės egzistuoja, bet ir tai, kad jos yra pagrįstos rizika, integruotos, stebimos ir pagrindžiamos įrodymais.

NIS2 kelia lūkesčius dėl kibernetinės higienos ir tiekimo grandinės saugumo. DORA reikalauja, kad finansų subjektai valdytų IRT riziką visose vidinėse ir trečiųjų šalių priklausomybėse. GDPR reikalauja, kad duomenų valdytojai ir tvarkytojai įrodytų tvarkymo saugumą, atskaitomybę ir privatumą pagal projektavimą. Nevaldomi plėtiniai gali pakirsti visus tris režimus.

Pamoka paprasta. Naršyklės plėtinys nėra per mažas, kad būtų reikšmingas. Jei jis gali pasiekti reglamentuojamus duomenis, autentifikuotas sesijas, finansines darbo eigas arba kritines SaaS paslaugas, jis turi būti valdomas.

Naudokite ISO/IEC 27001:2022 kaip veiklos modelį

ISO/IEC 27001:2022 yra veiksmingas naršyklės plėtinių valdysenai, nes nereikalauja atskiro atitikties siloso. Jis leidžia organizacijoms išplėsti esamus ISVS procesus į naršyklės sluoksnį.

Praktinis kontrolės modelis grindžiamas aštuoniomis ISO/IEC 27001:2022 Annex A kontrolės priemonėmis:

[ZC] Zenith Controls: The Cross-Compliance Guide yra ypač naudingas, nes paaiškina, kaip audituojamos ISO/IEC 27001 kontrolės priemonės ir kaip jos padeda pagrįsti įrodymus keliose atitikties sistemose. Dėl kontrolės priemonės 8.19 Zenith Controls: The Cross-Compliance Guide paaiškina, kad auditoriai „seks darbo eigą: nuo prašymo iki testavimo, patvirtinimo ir įgyvendinimo“. Būtent taip turi būti projektuojama plėtinių valdysena.

Jei auditorius randa plėtinį, kurio nėra patvirtintame sąraše, kuris nėra dokumentuotas pakeitimų įrašuose ir kuriam neatliktas rizikos vertinimas, problema nebėra tik naršyklės nustatymas. Tai tampa silpnos programinės įrangos diegimo kontrolės, silpnos galinių įrenginių valdysenos ir galimos tiekėjų rizikos valdymo nesėkmės įrodymu.

1 žingsnis. Nustatykite plėtinių visumą

Pirmoji Maria fintech įmonės kontrolės nesėkmė buvo matomumo trūkumas. Jos komanda nežinojo, kurie plėtiniai įdiegti, kas juos įdiegė, kokių leidimų jie prašė ir ar jie jungėsi prie išorinių paslaugų.

Aptikimas turi apimti visas valdomas naršykles, profilius, naudotojus, įrenginius ir operacines sistemas. Jis turi nustatyti plėtinio pavadinimą, unikalų identifikatorių, versiją, leidėją, diegimo šaltinį, leidimų rinkinį, įdiegimo datą, atnaujinimo būseną, naudotojų skaičių, verslo savininką ir tai, ar plėtinys yra priverstinai įdiegtas, naudotojo įdiegtas, įdiegtas apeinant oficialų šaltinį ar užblokuotas.

Kontrolės priemonė 8.1, Naudotojų galiniai įrenginiai, yra atraminė kontrolės priemonė. Zenith Blueprint: An Auditor’s 30-Step Roadmap gairėse dėl kontrolės priemonės 8.1 nurodoma, kad galutinio naudotojo įrenginiai „turi būti sustiprinti, stebimi ir kontroliuojami“. Šis reikalavimas natūraliai apima naršyklę, nes naršyklė dabar yra pagrindinė naudotojo galinio įrenginio sąsaja SaaS ir debesijos darbui.

Kontrolės priemonė 5.23 taip pat taikoma, kai plėtiniai jungiasi prie debesijos paslaugų. Zenith Blueprint: An Auditor’s 30-Step Roadmap šią kontrolės priemonę apibrėžia kaip atsaką į šešėlinę IT, kai naudotojai pradeda naudoti nesankcionuotas paslaugas be valdysenos. Naršyklės plėtinys, siunčiantis turinį į nežinomą prieglobos galinę paslaugą, yra debesijos paslaugos naudojimo pradžios įvykis, net jei pirkimų funkcija jo nepatvirtino.

Brandus aptikimo rezultatas turėtų suklasifikuoti kiekvieną plėtinį į vieną iš penkių būsenų:

Aptikimas neturi būti vienkartinis projektas. Plėtiniai dažnai atnaujinami, leidėjai keičia savininkystę, leidimai plečiasi, o plėtinių parduotuvės pašalina kenkėjiškus paketus jau po to, kai naudotojai juos būna įdiegę. Inventorius turi tapti nuolatinis arba bent pakankamai periodiškas, kad palaikytų pažeidžiamumų valdymą ir audito įrodymus.

2 žingsnis. Aiškiai apibrėžkite priimtiną naudojimą

Kai plėtiniai tampa matomi, naudotojų lūkesčiai turi būti aiškūs. Daugelis organizacijų jau turi politikos formuluočių, galinčių paremti plėtinių valdyseną, tačiau jos turi būti aiškiai pritaikytos naršyklei.

[P-EPM] Galinių įrenginių apsaugos nuo kenkėjiškos programinės įrangos politika – MVĮ nurodo, kad naudotojai „privalo nediegti neautorizuotos programinės įrangos ar papildinių, kurie gali sukelti riziką“. Šis vienas sakinys suteikia saugumo komandoms tvirtą politikos pagrindą naršyklės plėtinius traktuoti kaip kontroliuojamą programinę įrangą.

[P03-AUP] P03 Priimtino naudojimo politika, taip pat minima kaip organizacijos Priimtino naudojimo politika, draudžia „Nepatvirtinti įrankiai: diegti ar naudoti neautorizuotą programinę įrangą, aparatinę įrangą, debesijos paslaugas ar įrenginius“. Tai yra naudotojams skirta bazė. Ji naršyklės plėtinių valdyseną paverčia iš techninės nuostatos į įgyvendinamą elgesio ir atitikties reikalavimą.

Stipri naršyklės plėtinių politika turi atsakyti į šešis praktinius klausimus:

Tai nėra siekis uždrausti kiekvieną naudingą plėtinį. Tai perėjimas nuo numanomo pasitikėjimo prie aiškaus patvirtinimo. Kai kurie plėtiniai gali būti saugūs, būtini ir didinantys produktyvumą. Kiti gali būti nereikalingi, turėti perteklinius leidimus, būti apleisti arba priešiški. Valdysenos programa turi juos atskirti.

3 žingsnis. Taikykite „pagal numatytuosius nustatymus draudžiama“ modelį su leidžiamuoju sąrašu pagal išimtį

Kontrolės priemonė 8.19, Programinės įrangos diegimas eksploatacinėse sistemose, yra kontrolės priemonė, paverčianti politiką veikla. Naršyklės plėtiniai neturi būti traktuojami kitaip nei kita programinė įranga vien todėl, kad naudotojai juos diegia per naršyklės parduotuvę.

Zenith Blueprint: An Auditor’s 30-Step Roadmap šiuo klausimu yra tiesmukas: „jokia programinė įranga neįdiegiama, jei ji nėra pagrįsta, autorizuota ir apsaugota“. Naršyklės plėtiniams tai reiškia organizacijos naršyklės valdymo, galinių įrenginių valdymo arba įrenginių konfigūracijos priemonių naudojimą diegimo taisyklėms taikyti.

Labiausiai pagrindžiamas modelis yra „pagal numatytuosius nustatymus draudžiama“ su leidžiamuoju sąrašu pagal išimtį:

1. Pagal numatytuosius nustatymus blokuoti visus plėtinius valdomose naršyklėse.
2. Priverstinai diegti tik būtinus, patvirtintus organizacijos plėtinius.
3. Tvarkyti patvirtintų plėtinių leidžiamąjį sąrašą pagal naudotojų grupę, departamentą arba vaidmenį.
4. Blokuoti plėtinius, įdiegtus apeinant oficialius šaltinius, ir nepatikimus diegimo šaltinius.
5. Neleisti naudotojams apeiti politikų perjungiant profilius arba naudojant nevaldomas naršykles.
6. Pašalinti jau įdiegtus nepatvirtintus plėtinius.
7. Prieš patvirtinimą peržiūrėti plėtinio leidimus ir leidėjo riziką.
8. Registruoti leidžiamus, blokuojamus, pašalintus ir pakeistus plėtinius žurnaluose.

Kai kurios organizacijos dėl veiklos sudėtingumo pradeda nuo švelnesnio modelio. Jos gali pirmiausia atlikti inventorizaciją, blokuoti žinomus kenkėjiškus plėtinius, o tada etapais įdiegti leidžiamuosius sąrašus didelės rizikos grupėms, pvz., finansų, inžinerijos, privilegijuotiems administratoriams, teisės, HR ir klientų aptarnavimo funkcijoms. Tai priimtina, jei yra dokumentuotas veiksmų planas. Nepagrindžiama yra nuolatinė nežinomos plėtinių rizikos tolerancija.

4 žingsnis. Vertinkite plėtinių riziką kaip tiekėjų ir programinės įrangos riziką

Naršyklės plėtinio rizikos peržiūra turi būti pakankamai lengva, kad verslas ją priimtų, bet pakankamai stipri, kad atlaikytų auditą. Peržiūra turi sujungti programinės įrangos riziką, tiekėjų riziką, debesijos riziką, duomenų apsaugą ir pažeidžiamumų valdymą.

[P-TP] Trečiųjų šalių ir tiekėjų saugumo politika nustato, kad „visi nauji tiekėjai prieš sutarties pasirašymą turi būti įvertinti atliekant dokumentuotą saugumo vertinimą“. Ne kiekvienam plėtinio kūrėjui reikės viso organizacijos tiekėjo įtraukimo proceso, tačiau tiekėjų rizikos principas vis tiek taikomas. Jei kūrėjas gali siųsti kodo atnaujinimus į darbuotojų naršykles arba tvarkyti organizacijos duomenis per galinę paslaugą, organizacija turi trečiosios šalies priklausomybę.

[P-ASR] Taikomųjų programų saugumo reikalavimų politika – MVĮ tą patį reikalavimą sustiprina iš programinės įrangos perspektyvos: „bet kuri taikomojoje programoje naudojama trečiosios šalies priemonė, papildinys ar išorinė kodo biblioteka turi būti užregistruota ir kasmet peržiūrima dėl poveikio saugumui ir pataisų būsenos.“

Sprendimams standartizuoti naudokite šį rizikos modelį:

Didelės rizikos plėtinys neturi būti patvirtintas, nebent yra kritinis verslo poreikis, dokumentuotos kompensuojančios kontrolės priemonės ir vyresniosios vadovybės rizikos priėmimas. Kompensuojančių kontrolės priemonių pavyzdžiai: naudojimo apribojimas iki sustiprinto naršyklės profilio, apribojimas konkrečiais URL, duomenų įvedimo į jautrias taikomąsias programas blokavimas, kai plėtinys aktyvus, DLP stebėsenos naudojimas arba tiekėjo sutarties ir privatumo priedo reikalavimas.

5 žingsnis. Integruokite privatumo ir GDPR peržiūrą

Naršyklės plėtinių valdysena dažnai žlunga, nes privatumo peržiūra atskiriama nuo galinių įrenginių priemonių. Vis dėlto daugelis plėtinių gali matyti asmens duomenis, rodomus SaaS taikomosiose programose, HR sistemose, pagalbos bilietuose, CRM įrašuose, el. pašte, analitikos platformose ir bendradarbiavimo priemonėse.

Pagal GDPR Article 5(2) organizacija turi įrodyti atskaitomybę. Pagal Article 25 ji turi įgyvendinti duomenų apsaugą pagal projektavimą ir pagal numatytuosius nustatymus. Pagal Article 32 ji turi taikyti tinkamas technines ir organizacines priemones tvarkymo saugumui. Jei plėtinys eksfiltruoja asmens duomenis, įvykis gali tapti asmens duomenų saugumo pažeidimu pagal Article 4(12), dėl kurio reikia vertinimo ir galimai Article 33 pranešimo įpareigojimų.

Į privatumą orientuota plėtinio peržiūra turėtų klausti:

Ne kiekvienam plėtiniui reikia viso DPIA. Tačiau plėtiniai, turintys plačią puslapių prieigą, AI tvarkymą, ekrano fiksavimą, el. pašto prieigą, CRM prieigą, HR duomenų prieigą, klientų aptarnavimo duomenis arba reglamentuojamus finansinius duomenis, turėtų inicijuoti struktūruotą privatumo vertinimą.

6 žingsnis. Veskite žurnalus ir vykdykite stebėseną auditui bei reagavimui į incidentus

Plėtinių valdysenos programa be žurnalų nėra audituojama. Ji taip pat silpnina reagavimą į incidentus, nes organizacija negali nustatyti, kada plėtinys buvo įdiegtas, kas jį naudojo, kuri versija buvo įdiegta, kada pasikeitė leidimai ar ar buvo užblokuotas diegimo bandymas.

[P-LM] Žurnalų tvarkymo ir stebėsenos politika – MVĮ „programinės įrangos diegimų“ žurnalus įvardija kaip pagrindinį valdysenos reikalavimą. Naršyklės plėtinio diegimas yra programinės įrangos diegimo įvykis ir turi būti atitinkamai fiksuojamas.

Mažiausiai žurnaluose turi būti:

Šie žurnalai turi būti perduodami į stebėsenos procesus pagal kontrolės priemones 8.15 ir 8.16. Priklausomai nuo rizikos, jie taip pat gali patekti į SIEM, galinių įrenginių platformą arba atitikties įrodymų saugyklą. Įspėjimai turėtų būti konfigūruojami dėl užblokuotų didelės rizikos plėtinių, staigių plėtinių prašymų šuolių, patvirtintų plėtinių leidimų pakeitimų, bandymų diegti apeinant oficialius šaltinius ir privilegijuotų naudotojų diegimo bandymų.

Stebėsena taip pat yra NIS2 ir DORA privalumas. NIS2 Article 23 incidentų pranešimas priklauso nuo ankstyvo aptikimo ir poveikio vertinimo. DORA reikalauja patikimo IRT incidentų valdymo ir atsparumo įrodymų. GDPR pažeidimo vertinimas priklauso nuo žinojimo, kas įvyko, kada ir kokie duomenys galėjo būti paveikti.

Ką auditorius nori matyti

Auditoriui retai pakanka teiginio „mes blokuojame rizikingus plėtinius“. Jam reikia valdysenos įrodymų. Įrodymai turi susieti politiką, rizikos vertinimą, techninį vykdymo užtikrinimą, stebėseną ir vadovybės atskaitomybę.

Čia Zenith Controls: The Cross-Compliance Guide tampa vertingas. Jis padeda organizacijoms parodyti, kaip viena kontrolės veikla palaiko kelis atitikties lūkesčius. Viena naršyklės plėtinio patvirtinimo darbo eiga gali palaikyti ISO/IEC 27001 kontrolės priemonę 8.19, NIS2 kibernetinę higieną, DORA IRT rizikos valdymą ir GDPR atskaitomybę, jei įrodymai išsaugomi ir aiškiai susiejami.

Sąsaja: ISO/IEC 27001:2022 su NIS2, DORA ir GDPR

Praktinė sąsaja padeda CISO paaiškinti, kodėl naršyklės plėtinių valdysena nėra siaura techninė kontrolės priemonė. Tai atitikties kontrolės priemonė, turinti plačią reguliacinę vertę.

DORA susiejimui verta skirti ypatingą dėmesį. Kai kurie auditoriai ir vertintojai, peržiūrėdami IRT pakeitimų valdyseną, naudos COBIT stiliaus terminiją. COBIT BAI06 paprastai suprantamas kaip Managed IT Changes. Jei naršyklės plėtiniai yra programinė įranga, o jų diegimas keičia naudotojo kompiuterinę aplinką, plėtinių diegimas priklauso tai pačiai valdomų pakeitimų logikai. Zenith Controls: The Cross-Compliance Guide palaiko šią audito perspektyvą parodydamas, kaip ISO/IEC 27001 kontrolės priemonių įrodymai gali būti pakartotinai naudojami įvairiems atitikties lūkesčiams.

90 dienų naršyklės plėtinių valdysenos įgyvendinimo planas

Organizacijoms nereikia visko išspręsti per vieną savaitę. Praktinę programą galima kurti etapais, ypač jei reikia atsargiai valdyti verslo trikdžius.

Didelės rizikos organizacijoms, ypač finansų subjektams pagal DORA arba esminiams ir svarbiems subjektams pagal NIS2, pirmasis įgyvendinimo etapas turėtų teikti prioritetą naudotojams, turintiems prieigą prie kritinių sistemų, reglamentuojamų duomenų, privilegijuotų administravimo konsolių, finansų platformų, klientų aptarnavimo priemonių ir kūrėjų aplinkų.

Valdybos lygmens žinutė

Naršyklės plėtinių valdysena vadovams neturėtų būti pristatoma kaip naršyklės grūdinimo projektas. Ji turėtų būti pristatoma kaip nepatikrinto trečiųjų šalių kodo kontrolė reglamentuojamose darbo eigose.

Valdyba ir valdymo organas turi suprasti keturis dalykus:

1. Naršyklė dabar yra pagrindinė verslo platforma.
2. Plėtiniai gali pasiekti jautrius SaaS duomenis ir autentifikuotas sesijas.
3. Nevaldomi plėtiniai sukuria tiekėjų, privatumo, incidentų ir atsparumo riziką.
4. ISO/IEC 27001:2022 suteikia pagrindžiamą kontrolės modelį, kuris palaiko NIS2, DORA ir GDPR įrodymus.

Toks įrėminimas nukreipia diskusiją nuo techninės nuostatos prie veiklos atsparumo. Jis taip pat padeda pagrįsti finansavimą organizacijos naršyklės valdymui, galinių įrenginių integracijai, stebėsenai, privatumo peržiūrai, tiekėjų triažui ir audito įrodymų automatizavimui.

Nuo aklosios zonos iki strateginės kontrolės

Maria audito problema kilo ne dėl to, kad vienas analitikas įdiegė vieną produktyvumo priemonę. Ji kilo dėl nevaldomos rizikos klasės. Organizacija buvo sukūrusi stiprią atitikties programą aplink matomą turtą, matomus tiekėjus, matomas SaaS platformas ir matomus galinius įrenginius, tačiau naršyklės plėtinių sluoksnis liko nematomas.

Ši spraga dabar pernelyg svarbi, kad būtų ignoruojama.

Sprendimas nėra sudėtingas, bet jis turi būti kryptingas. Naršyklę traktuokite kaip galinio įrenginio dalį. Plėtinius traktuokite kaip programinę įrangą. Plėtinių kūrėjus ir galines paslaugas, kai aktualu, traktuokite kaip tiekėjus. Leidimus traktuokite kaip duomenų prieigą. Diegimą traktuokite kaip pakeitimą. Žurnalus traktuokite kaip atitikties įrodymus.

Pagrindžiama programa prasideda keturiais veiksmais:

1. Aptikti kiekvieną plėtinį visose valdomose naršyklėse ir galiniuose įrenginiuose.
2. Apibrėžti priimtino naudojimo ir „pagal numatytuosius nustatymus draudžiama“ taisykles naudojant Galinių įrenginių apsaugos nuo kenkėjiškos programinės įrangos politika – MVĮ, P03 Priimtino naudojimo politika ir organizacijos Priimtino naudojimo politika.
3. Vertinti plėtinių prašymus pagal tiekėjų, debesijos, pažeidžiamumų ir privatumo kriterijus iš Trečiųjų šalių ir tiekėjų saugumo politika ir Taikomųjų programų saugumo reikalavimų politika – MVĮ.
4. Taikyti ir stebėti diegimo veiklą naudojant naršyklės valdymą, žurnalų tvarkymą ir įrodymų praktikas, suderintas su Žurnalų tvarkymo ir stebėsenos politika – MVĮ.

CISO, besirengiantiems NIS2, DORA, GDPR arba ISO/IEC 27001:2022 auditams, naršyklės plėtinių valdysena yra didelės vertės kontrolės tobulinimas, nes ji uždaro realų atakos kelią ir kartu sukuria pakartotinai naudojamus įrodymus keliose atitikties sistemose.

Norėdami paspartinti darbą, atsisiųskite Zenith Blueprint: An Auditor’s 30-Step Roadmap ir susiekite savo įrodymus naudodami Zenith Controls: The Cross-Compliance Guide. Jei norite naršyklės plėtinių chaosą paversti auditui tinkama valdysenos programa, suplanuokite Clarysec vertinimą arba demonstraciją ir pradėkite nuo praktinio inventoriaus, rizikos žemėlapio ir 90 dienų kontrolės plano.