Pārlūkprogrammu paplašinājumu pārvaldība NIS2, DORA un GDPR prasību kontekstā

Maria, strauji augoša fintech uzņēmuma informācijas drošības vadītāja (CISO), uzskatīja, ka DORA pirmsnovērtējums norit labi. Viņas komanda bija sagatavojusi IKT trešo pušu reģistru, kritiskos SaaS līgumus, piegādātāju sākotnējās izpētes ierakstus, riska pieņemšanas lēmumus un vadības struktūrai paredzēto ziņošanas pakotni.

Tad auditors uzdeva jautājumu, kuram neviens nebija gatavojies.

“Vai varat parādīt savu pārlūkprogrammu paplašinājumu pārvaldības procesu?”

Jautājums radās galiekārtas pārskatīšanas laikā kopā ar finanšu analītiķi. Ekrāna koplietošanas laikā auditors analītiķa pārlūkprogrammā pamanīja trešās puses produktivitātes paplašinājumu. Tas izskatījās nekaitīgs, taču ātra pārbaude parādīja, ka izstrādātājs pirms trim mēnešiem bija cietis piegādes ķēdes kompromitēšanas incidentā. Kompromitētais paplašinājums tika izmantots, lai eksfiltrētu sesiju marķierus no lielām SaaS platformām.

Fintech uzņēmumam bija stingras politikas pret neatļautu programmatūru. Tam bija EDR, MFA, CASB, SaaS žurnāli un ar ISO/IEC 27001 saskaņota ISMS. Taču neviens nebija traktējis pārlūkprogrammu kā pārvaldītu programmatūras platformu. Neviens nebija veicis paplašinājumu inventarizāciju. Neviens nebija apstiprinājis to atļaujas. Neviens nebija pārbaudījis, vai paplašinājumu izstrādātāji ir piegādātāji. Neviens nebija sasaistījis paplašinājumu darbības ar DORA, NIS2 vai GDPR pierādījumiem.

Viens pārlūkprogrammas papildinājums bija pārvērtis šķietami atbilstošu galiekārtu par iespējamu slēptu piekļuves ceļu finanšu sistēmām, klientu datiem un reglamentētām darbplūsmām.

Tāda ir pārlūkprogrammu paplašinājumu pārvaldības problēma 2026. gadā. Pārlūkprogramma vairs nav tikai logs uz internetu. Tā ir vide, kur darbinieki autentificējas, apstiprina maksājumus, piekļūst CRM ierakstiem, apstrādā personas datus, pārvalda mākoņinfrastruktūru un mijiedarbojas ar kritiskām SaaS platformām. Paplašinājumi vairs nav kosmētiski papildinājumi. Tie ir trešo pušu kods, kas darbojas mūsdienu darba vides visjutīgākajā slānī.

CISO, atbilstības vadītājiem, datu aizsardzības speciālistiem un IKT risku īpašniekiem nepārvaldīti paplašinājumi atrodas galiekārtu drošības, ēnu IT, piegādātāju riska, izmaiņu pārvaldības, ievainojamību pārvaldības un privātuma pārskatatbildības krustpunktā. ISO/IEC 27001:2022 sniedz organizācijām struktūru šī riska pārvaldībai. NIS2, DORA un GDPR rada regulatīvu spiedienu šo pārvaldību pierādīt.

Pārlūkprogrammu paplašinājumi ir programmatūra, piegādātāji un datu apstrādes risks

Lielākā daļa organizāciju jau ir iemācījušās pārvaldīt klēpjdatorus, mobilās ierīces, serverus, SaaS lietojumprogrammas, mākoņinfrastruktūru un priviliģētos kontus. Pārlūkprogrammu paplašinājumi bieži paliek ārpus šīm programmām.

Drošības komandas tos uztver kā pārlūkprogrammas iestatījumu. Iepirkums tos neredz, jo netiek parakstīts līgums. Juridiskais dienests tos neredz, jo netiek atvērts piegādātāja uzņemšanas pieprasījums. Privātuma komandas tos neredz, jo paplašinājumu instalē lietotājs, nevis tas tiek ieviests kā oficiāla lietotne. Tomēr paplašinājums var pieprasīt atļauju lasīt un mainīt datus visās tīmekļvietnēs, piekļūt starpliktuves saturam, iegūt lapu metadatus, pārvaldīt lejupielādes, ievietot skriptus vai sazināties ar ārēju servera puses komponentu.

Tas nozīmē, ka pārlūkprogrammas paplašinājums vienlaikus var būt viss turpmākais:

[ZB] Zenith Blueprint: An Auditor’s 30-Step Roadmap savās ISO/IEC 27002:2022 vadlīnijās par Control 8.19 precīzi formulē būtību. Tajās brīdināts: “Pat labu nodomu vadīts personāls var instalēt rīkus, lai ‘paveiktu darbu ātrāk’, — pārlūkprogrammas paplašinājumu, koda bibliotēku vai failu pārsūtīšanas lietotni — neapzinoties, ka tikko ir ieviesis slēptu piekļuves ceļu, neielāpītu atkarību vai datu neatļautas iznešanas vektoru.”

Šis teikums jāuztver kā valdes līmeņa riska paziņojums. Darbinieki, kuri instalē riskantus paplašinājumus, parasti nemēģina apiet drošību. Viņi cenšas uzlabot produktivitāti. Pārvaldības kļūme rodas tad, ja organizācija nenodrošina drošu pieprasīšanas, apstiprināšanas, ieviešanas un uzraudzības procesu.

Kāpēc NIS2, DORA un GDPR padara šo aklo zonu steidzamu

Pārlūkprogrammu paplašinājumu risks pastāv jau gadiem, taču regulatīvais konteksts ir mainījies. 2026. gadā no organizācijām tiek sagaidīts, ka tās pierādīs ne tikai kontroles pasākumu esamību, bet arī to, ka tie ir riskos balstīti, integrēti, uzraudzīti un pamatoti ar pierādījumiem.

NIS2 paaugstina prasības kiberdrošības higiēnai un piegādes ķēdes drošībai. DORA pieprasa finanšu iestādēm pārvaldīt IKT risku gan iekšējās, gan trešo pušu atkarībās. GDPR pieprasa pārziņiem un apstrādātājiem pierādīt apstrādes drošību, pārskatatbildību un datu aizsardzību pēc projektēšanas. Nepārvaldīti paplašinājumi var vājināt visus trīs.

Secinājums ir vienkāršs. Pārlūkprogrammas paplašinājums nav pārāk mazs, lai tam nebūtu nozīmes. Ja tas var skart reglamentētus datus, autentificētas sesijas, finanšu darbplūsmas vai kritiskus SaaS pakalpojumus, tas ir jāpārvalda.

Izmantojiet ISO/IEC 27001:2022 kā darbības modeli

ISO/IEC 27001:2022 ir efektīvs pārlūkprogrammu paplašinājumu pārvaldībai, jo tas neprasa atsevišķu atbilstības silosu. Tas ļauj organizācijām paplašināt esošos ISMS procesus uz pārlūkprogrammas slāni.

Praktiskais kontroles modelis balstās uz astoņiem ISO/IEC 27001:2022 Annex A kontroles pasākumiem:

[ZC] Zenith Controls: The Cross-Compliance Guide ir īpaši noderīgs, jo tas skaidro, kā tiek auditēti ISO/IEC 27001 kontroles pasākumi un kā tie atbalsta pierādījumus dažādos ietvaros. Attiecībā uz Control 8.19 Zenith Controls: The Cross-Compliance Guide skaidro, ka auditori “izsekos darbplūsmu: no pieprasījuma līdz testēšanai, apstiprinājumam un ieviešanai”. Tieši tā jāprojektē paplašinājumu pārvaldība.

Ja auditors atrod paplašinājumu, kas nav apstiprinātajā sarakstā, nav dokumentēts izmaiņu ierakstos un tam nav veikts riska izvērtējums, problēma vairs nav tikai pārlūkprogrammas iestatījums. Tā kļūst par pierādījumu vājai programmatūras instalēšanas kontrolei, vājai galiekārtu pārvaldībai un iespējamai piegādātāju riska pārvaldības kļūmei.

1. solis: apziniet paplašinājumu kopumu

Pirmā kontroles kļūme Maria fintech uzņēmumā bija redzamības trūkums. Viņas komanda nezināja, kuri paplašinājumi ir instalēti, kas tos instalējis, kādas atļaujas tie pieprasa vai vai tie savienojas ar ārējiem pakalpojumiem.

Apzināšanai jāaptver visas pārvaldītās pārlūkprogrammas, profili, lietotāji, ierīces un operētājsistēmas. Tai jāidentificē paplašinājuma nosaukums, unikālais identifikators, versija, izdevējs, instalēšanas avots, atļauju kopa, instalēšanas datums, atjauninājumu statuss, lietotāju skaits, biznesa īpašnieks un tas, vai paplašinājums ir instalēts piespiedu kārtā, lietotāja instalēts, instalēts ārpus apstiprināta avota vai bloķēts.

Control 8.1, User endpoint devices, ir atskaites punkts. Zenith Blueprint: An Auditor’s 30-Step Roadmap vadlīnijās par Control 8.1 norādīts, ka lietotāju galiekārtas “ir jāpastiprina, jāuzrauga un jākontrolē”. Šī prasība dabiski ietver pārlūkprogrammu, jo pārlūkprogramma tagad ir galvenā lietotāja galiekārtas saskarne SaaS un mākoņpakalpojumu darbam.

Control 5.23 attiecas arī tad, ja paplašinājumi savienojas ar mākoņpakalpojumiem. Zenith Blueprint: An Auditor’s 30-Step Roadmap šo kontroli ietver kā reakciju uz ēnu IT, kur lietotāji ievieš nesankcionētus pakalpojumus bez pārvaldības. Pārlūkprogrammas paplašinājums, kas nosūta saturu uz nezināmu mitinātu servera puses komponentu, ir mākoņpakalpojuma ieviešanas notikums pat tad, ja iepirkums to nav apstiprinājis.

Nobriedušam apzināšanas rezultātam katrs paplašinājums jāklasificē vienā no pieciem stāvokļiem:

Apzināšana nedrīkst būt vienreizējs projekts. Paplašinājumi tiek bieži atjaunināti, izdevēji maina īpašniekus, atļaujas paplašinās, un veikali izņem ļaunprātīgas pakotnes pēc tam, kad lietotāji tās jau ir instalējuši. Inventarizācijai jākļūst nepārtrauktai vai vismaz pietiekami regulārai, lai atbalstītu ievainojamību pārvaldību un audita pierādījumus.

2. solis: skaidri definējiet pieņemamu lietošanu

Kad paplašinājumi ir redzami, lietotāju gaidām jābūt skaidrām. Daudzām organizācijām jau ir politiku formulējumi, kas var atbalstīt paplašinājumu pārvaldību, taču tie skaidri jāattiecina uz pārlūkprogrammu.

[P-EPM] Galiekārtu aizsardzības un ļaunatūras apkarošanas politika - SME nosaka, ka lietotāji “nedrīkst instalēt neatļautu programmatūru vai spraudņus, kas var radīt risku”. Šis viens teikums drošības komandām sniedz stingru politikas pamatu pārlūkprogrammu paplašinājumu traktēšanai kā kontrolētai programmatūrai.

[P03-AUP] P03 Pieņemamas lietošanas politika, kas dēvēta arī par uzņēmuma Pieņemamas lietošanas politiku, aizliedz “neapstiprinātus rīkus: neatļautas programmatūras, aparatūras, mākoņpakalpojumu vai ierīču instalēšanu vai lietošanu”. Tas ir lietotājiem paredzētais pamats. Tas pārvērš pārlūkprogrammu paplašinājumu pārvaldību no tehniskas preferences par izpildāmu uzvedības un atbilstības prasību.

Stiprai pārlūkprogrammu paplašinājumu politikai jāatbild uz sešiem praktiskiem jautājumiem:

Tas nav par katra noderīga paplašinājuma aizliegšanu. Tas ir par pāreju no netiešas uzticēšanās uz skaidru apstiprināšanu. Daži paplašinājumi var būt droši, nepieciešami un produktivitāti uzlabojoši. Citi var būt nevajadzīgi, ar pārmērīgām privilēģijām, pamesti vai naidīgi. Pārvaldības programmai tie ir jānošķir.

3. solis: piemērojiet noklusējuma liegumu ar atļauto sarakstu kā izņēmumu

Control 8.19, Installation of software on operational systems, ir kontroles pasākums, kas pārvērš politiku darbībā. Pārlūkprogrammu paplašinājumus nedrīkst traktēt atšķirīgi no citas programmatūras tikai tāpēc, ka lietotāji tos instalē no pārlūkprogrammas veikala.

Zenith Blueprint: An Auditor’s 30-Step Roadmap šajā jautājumā ir tiešs: “neviena programmatūra netiek instalēta, ja tā nav pamatota, autorizēta un drošināta”. Pārlūkprogrammu paplašinājumiem tas nozīmē uzņēmuma pārlūkprogrammu pārvaldības, galiekārtu pārvaldības vai ierīču konfigurācijas rīku izmantošanu instalēšanas noteikumu piemērošanai.

Vislabāk aizstāvamais modelis ir noklusējuma liegums ar atļauto sarakstu kā izņēmumu:

1. Bloķēt visus paplašinājumus pēc noklusējuma pārvaldītajās pārlūkprogrammās.
2. Piespiedu kārtā instalēt tikai būtiskus, apstiprinātus uzņēmuma paplašinājumus.
3. Uzturēt apstiprināto paplašinājumu atļauto sarakstu pēc lietotāju grupas, struktūrvienības vai lomas.
4. Bloķēt paplašinājumu instalēšanu ārpus apstiprinātiem avotiem un neuzticamus instalēšanas avotus.
5. Novērst politiku apiešanu, pārslēdzot profilus vai izmantojot nepārvaldītas pārlūkprogrammas.
6. Noņemt jau instalētus paplašinājumus, kas nav apstiprināti.
7. Pirms apstiprināšanas pārskatīt paplašinājuma atļaujas un izdevēja risku.
8. Reģistrēt žurnālos atļautos, bloķētos, noņemtos un mainītos paplašinājumus.

Dažas organizācijas operatīvās sarežģītības dēļ sāk ar maigāku modeli. Tās vispirms var veikt inventarizāciju, bloķēt zināmi kaitīgus paplašinājumus un pēc tam pakāpeniski ieviest atļautos sarakstus augsta riska grupām, piemēram, finanšu funkcijai, inženierijai, priviliģētajiem administratoriem, juridiskajai funkcijai, HR un klientu atbalstam. Tas ir pieņemami, ja ir dokumentēta ceļkarte. Pastāvīga nezināma paplašinājumu riska tolerēšana nav aizstāvama.

4. solis: izvērtējiet paplašinājumu risku kā piegādātājiem un programmatūrai

Pārlūkprogrammu paplašinājumu riska pārskatīšanai jābūt pietiekami vienkāršai, lai to pieņemtu bizness, bet pietiekami stingrai, lai tā izturētu auditu. Pārskatīšanai jāapvieno programmatūras risks, piegādātāju risks, mākoņpakalpojumu risks, datu aizsardzība un ievainojamību pārvaldība.

[P-TP] Trešo pušu un piegādātāju drošības politika nosaka, ka “visiem jaunajiem piegādātājiem pirms līguma noslēgšanas jāveic dokumentēta drošības izvērtēšana”. Ne katram paplašinājuma izstrādātājam būs nepieciešams pilns uzņēmuma piegādātāju uzņemšanas process, taču piegādātāju riska princips joprojām ir piemērojams. Ja izstrādātājs var virzīt koda atjauninājumus darbinieku pārlūkprogrammās vai apstrādāt organizācijas datus, izmantojot servera puses pakalpojumu, organizācijai ir trešās puses atkarība.

[P-ASR] Lietojumprogrammu drošības prasību politika - SME pastiprina to pašu prasību no programmatūras skatpunkta: “jebkurš trešās puses rīks, spraudnis vai ārēja koda bibliotēka, kas tiek izmantota lietojumprogrammā, ir jāreģistrē un katru gadu jāpārskata attiecībā uz drošības ietekmi un ielāpu statusu”.

Izmantojiet šo riska modeli lēmumu standartizēšanai:

Augsta riska paplašinājumu nedrīkst apstiprināt, ja vien nepastāv kritiska biznesa vajadzība, dokumentēti kompensējošie kontroles pasākumi un augstākā līmeņa riska pieņemšana. Kompensējošo kontroles pasākumu piemēri ietver lietošanas ierobežošanu līdz droši konfigurētam pārlūkprogrammas profilam, ierobežošanu līdz konkrētiem URL, datu ievades bloķēšanu sensitīvās lietotnēs, kamēr paplašinājums ir aktīvs, datu zuduma novēršanas (DLP) uzraudzības izmantošanu vai piegādātāja līguma un privātuma pielikuma pieprasīšanu.

5. solis: integrējiet privātuma un GDPR pārskatīšanu

Pārlūkprogrammu paplašinājumu pārvaldība bieži izgāžas tāpēc, ka privātuma pārskatīšana ir atrauta no galiekārtu rīkiem. Tomēr daudzi paplašinājumi var redzēt personas datus, kas tiek attēloti SaaS lietojumprogrammās, HR sistēmās, atbalsta pieteikumos, CRM ierakstos, e-pastā, analītikas platformās un sadarbības rīkos.

Saskaņā ar GDPR Article 5(2) organizācijai jāpierāda pārskatatbildība. Saskaņā ar Article 25 tai jāievieš datu aizsardzība pēc projektēšanas un pēc noklusējuma. Saskaņā ar Article 32 tai jāpiemēro atbilstoši tehniskie un organizatoriskie pasākumi apstrādes drošībai. Ja paplašinājums neatļauti izved personas datus, notikums var kļūt par personas datu aizsardzības pārkāpumu saskaņā ar Article 4(12), izraisot izvērtēšanu un, iespējams, Article 33 paziņošanas pienākumus.

Privātumu ņemošai vērā paplašinājumu pārskatīšanai jāuzdod šādi jautājumi:

Ne katram paplašinājumam nepieciešams pilns DPIA. Tomēr paplašinājumiem ar plašu lapu piekļuvi, AI apstrādi, ekrāna tveršanu, e-pasta piekļuvi, CRM piekļuvi, HR datu piekļuvi, klientu atbalsta datiem vai reglamentētiem finanšu datiem jāierosina strukturēts privātuma izvērtējums.

6. solis: veidojiet žurnālus un uzraugiet auditam un incidentu reaģēšanai

Paplašinājumu pārvaldības programma bez žurnāliem nav auditējama. Tā arī vājina reaģēšanu uz incidentiem, jo organizācija nevar noteikt, kad paplašinājums tika instalēts, kas to izmantoja, kura versija bija klātesoša, kad mainījās atļaujas vai vai notika bloķēts instalēšanas mēģinājums.

[P-LM] Žurnālfiksēšanas un uzraudzības politika - SME identificē žurnālus par “programmatūras instalēšanu” kā galveno pārvaldības prasību. Pārlūkprogrammas paplašinājuma instalēšana ir programmatūras instalēšanas notikums, un tas attiecīgi jāfiksē.

Vismaz žurnālos jāiekļauj:

Šiem žurnāliem jāplūst uz uzraudzības procesiem saskaņā ar Controls 8.15 un 8.16. Atkarībā no riska tie var tikt nosūtīti arī uz SIEM, galiekārtu platformu vai atbilstības pierādījumu repozitoriju. Brīdinājumi jākonfigurē bloķētiem augsta riska paplašinājumiem, pēkšņam paplašinājumu pieprasījumu pieaugumam, apstiprinātu paplašinājumu atļauju izmaiņām, mēģinājumiem instalēt no neoficiāliem avotiem un priviliģētu lietotāju instalēšanas mēģinājumiem.

Uzraudzība ir arī NIS2 un DORA priekšrocība. NIS2 Article 23 incidentu ziņošana ir atkarīga no agrīnas atklāšanas un ietekmes izvērtēšanas. DORA pieprasa robustu IKT incidentu apstrādi un noturības pierādījumus. GDPR pārkāpuma izvērtēšana ir atkarīga no zināšanām par to, kas notika, kad tas notika un kādi dati varēja tikt ietekmēti.

Ko auditors vēlas redzēt

Auditoru reti apmierina apgalvojums, piemēram, “mēs bloķējam riskantus paplašinājumus”. Auditors vēlas pārvaldības pierādījumus. Pierādījumiem jāsasaista politika, riska izvērtēšana, tehniskā piemērošana, uzraudzība un vadības pārskatatbildība.

Šeit Zenith Controls: The Cross-Compliance Guide kļūst vērtīgs. Tas palīdz organizācijām parādīt, kā viena kontroles darbība atbalsta vairākas atbilstības gaidas. Viena pārlūkprogrammas paplašinājuma apstiprināšanas darbplūsma var atbalstīt ISO/IEC 27001 Control 8.19, NIS2 kiberdrošības higiēnu, DORA IKT risku pārvaldību un GDPR pārskatatbildību, ja pierādījumi tiek saglabāti un skaidri kartēti.

Sasaistes tabula: ISO/IEC 27001:2022 ar NIS2, DORA un GDPR

Praktiska sasaistes tabula palīdz CISO izskaidrot, kāpēc pārlūkprogrammu paplašinājumu pārvaldība nav nišas tehnisks kontroles pasākums. Tas ir atbilstības kontroles pasākums ar plašu regulatīvo vērtību.

DORA kartējumam jāpievērš īpaša uzmanība. Daži auditori un izvērtētāji, pārskatot IKT izmaiņu pārvaldību, izmantos COBIT stila terminoloģiju. COBIT BAI06 parasti tiek saprasts kā Managed IT Changes. Ja pārlūkprogrammu paplašinājumi ir programmatūra un to instalēšana maina lietotāja skaitļošanas vidi, tad paplašinājumu instalēšana ietilpst tajā pašā pārvaldīto izmaiņu loģikā. Zenith Controls: The Cross-Compliance Guide atbalsta šo audita skatījumu, parādot, kā ISO/IEC 27001 kontroles pierādījumus var atkārtoti izmantot dažādām atbilstības gaidām.

90 dienu ieviešanas plāns pārlūkprogrammu paplašinājumu pārvaldībai

Organizācijām nav jāatrisina viss vienā nedēļā. Praktisku programmu var veidot pa posmiem, īpaši tad, ja rūpīgi jāpārvalda biznesa traucējumi.

Augsta riska organizācijām, īpaši finanšu iestādēm saskaņā ar DORA vai būtiskām un svarīgām vienībām saskaņā ar NIS2, pirmajā piemērošanas posmā prioritāte jāpiešķir lietotājiem ar piekļuvi kritiskām sistēmām, reglamentētiem datiem, priviliģētām administratīvajām konsolēm, finanšu platformām, klientu atbalsta rīkiem un izstrādes vidēm.

Vēstījums valdei

Pārlūkprogrammu paplašinājumu pārvaldību nevajadzētu prezentēt vadībai kā pārlūkprogrammas drošās konfigurēšanas projektu. Tā jāprezentē kā kontroles pasākums pār nepārbaudītu trešo pušu kodu reglamentētās darbplūsmās.

Valdei un vadības struktūrai jāizprot četri punkti:

1. Pārlūkprogramma tagad ir pamatbiznesa platforma.
2. Paplašinājumi var piekļūt sensitīviem SaaS datiem un autentificētām sesijām.
3. Nepārvaldīti paplašinājumi rada piegādātāju, privātuma, incidentu un noturības risku.
4. ISO/IEC 27001:2022 nodrošina aizstāvamu kontroles modeli, kas atbalsta NIS2, DORA un GDPR pierādījumus.

Šāds ietvars novirza diskusiju no tehniskas preferences uz darbības noturību. Tas arī atbalsta finansējumu uzņēmuma pārlūkprogrammu pārvaldībai, galiekārtu integrācijai, uzraudzībai, privātuma pārskatīšanai, piegādātāju sākotnējai šķirošanai un audita pierādījumu automatizācijai.

No aklās zonas līdz stratēģiskam kontroles pasākumam

Maria audita problēmu neizraisīja tas, ka viens analītiķis instalēja vienu produktivitātes rīku. To izraisīja nepārvaldīta riska klase. Organizācija bija izveidojusi spēcīgu atbilstības programmu ap redzamiem aktīviem, redzamiem piegādātājiem, redzamām SaaS platformām un redzamām galiekārtām, taču pārlūkprogrammu paplašinājumu slānis palika neredzams.

Šī plaisa tagad ir pārāk svarīga, lai to ignorētu.

Risinājums nav sarežģīts, bet tam jābūt mērķtiecīgam. Traktējiet pārlūkprogrammu kā galiekārtas daļu. Traktējiet paplašinājumus kā programmatūru. Traktējiet paplašinājumu izstrādātājus un servera puses komponentus kā piegādātājus, ja tas ir attiecināms. Traktējiet atļaujas kā piekļuvi datiem. Traktējiet instalēšanu kā izmaiņu. Traktējiet žurnālus kā atbilstības pierādījumus.

Aizstāvama programma sākas ar četrām darbībām:

1. Apzināt katru paplašinājumu pārvaldītajās pārlūkprogrammās un galiekārtās.
2. Definēt pieņemamu lietošanu un noklusējuma lieguma noteikumus, izmantojot Galiekārtu aizsardzības un ļaunatūras apkarošanas politika - SME, P03 Pieņemamas lietošanas politika un uzņēmuma Pieņemamas lietošanas politika.
3. Izvērtēt paplašinājumu pieprasījumus, izmantojot piegādātāju, mākoņpakalpojumu, ievainojamību un privātuma kritērijus no Trešo pušu un piegādātāju drošības politika un Lietojumprogrammu drošības prasību politika - SME.
4. Piemērot un uzraudzīt instalēšanas darbības, izmantojot pārlūkprogrammu pārvaldību, žurnālfiksēšanu un pierādījumu prakses, kas saskaņotas ar Žurnālfiksēšanas un uzraudzības politika - SME.

CISO, kas gatavojas NIS2, DORA, GDPR vai ISO/IEC 27001:2022 auditiem, pārlūkprogrammu paplašinājumu pārvaldība ir augstas vērtības kontroles uzlabojums, jo tā aizver reālu uzbrukuma ceļu un vienlaikus rada atkārtoti izmantojamus pierādījumus vairākos ietvaros.

Lai paātrinātu darbu, lejupielādējiet Zenith Blueprint: An Auditor’s 30-Step Roadmap un kartējiet savus pierādījumus ar Zenith Controls: The Cross-Compliance Guide. Ja vēlaties pārvērst pārlūkprogrammu paplašinājumu haosu par auditam gatavu pārvaldības programmu, ieplānojiet Clarysec izvērtēšanu vai demonstrāciju un sāciet ar praktisku inventarizāciju, riska karti un 90 dienu kontroles plānu.