Risicogebaseerd kwetsbaarheidsbeheer (VM) is de identificatie, prioritering en herstel van cybergebaseerde kwetsbaarheden op basis van het relatieve risico dat ze vormen voor een specifieke organisatie.

Kwetsbaarheidsbeheer is een bewegend doelwit geweest in de complexe wereld van cyberbeveiliging. Het begon met organisaties die hun systemen scanden aan de hand van een database met bekende kwetsbaarheden, verkeerde configuraties en codefouten die het risico op kwetsbaarheid voor aanvallen vormden.

Wat u wel en niet moet doen bij het bijscholen en opschalen van burgerontwikkelaars in uw hele organisatie – Low-Code/No-Code Summit
Onder de beperkingen van deze aanvankelijke benadering waren echter verschillende factoren:

Eenmalige of periodieke scans waren onvolledig en traag om snel evoluerende bedreigingen op te sporen.
In de praktijk zouden bijvoorbeeld niet alle softwarepatches kunnen worden toegepast zonder onaanvaardbare verstoringen en kosten voor een onderneming te veroorzaken.
Niet alle kwetsbaarheden worden in de echte wereld in gelijke mate uitgebuit.
Een eenduidige identificatie van kwetsbaarheden past niet bij het unieke bedrijfsprofiel, de activamix, de samenhang van merkwaarde, risicotolerantie, wettelijke en nalevingsvereisten en systeemconfiguraties van een bepaalde organisatie.
Adequate herstelbenaderingen variëren sterk, afhankelijk van zowel de verschillende IT- en cybersystemen van een organisatie als het activa- en risicoprofiel van een organisatie.
Als reactie hierop hebben aanbieders van cyberbeveiliging een reeks benaderingen ontwikkeld die meer continue, op maat gemaakte, specifiek op risico gebaseerde producten voor kwetsbaarheidsbeheer bieden.

Deze op risico’s gebaseerde tools worden meestal geleverd als modules binnen het grotere platform van een grote beveiligingsleverancier of als een meer specifiek gefocuste reeks mogelijkheden van een meer gespecialiseerde provider. Gartner heeft voorspeld dat de snelgroeiende markt voor op risico gebaseerde tools voor kwetsbaarheidsbeheer tegen 2023 $ 639 miljoen zal bereiken.

Om de belangrijkste stappen die uw organisatie moet nemen om kwetsbaarheden te beheren volledig te begrijpen, moet u het verschil begrijpen tussen een kwetsbaarheid, een bedreiging en een risico.

Een kwetsbaarheid wordt door de International Organization for Standardization (ISO 27002) gedefinieerd als “een zwakte van een asset of een groep assets die kan worden misbruikt door een of meer bedreigingen.”

Zoals leverancier Splunk opmerkt: “Ten eerste stelt een kwetsbaarheid uw organisatie bloot aan bedreigingen. Een bedreiging is een kwaadwillige of negatieve gebeurtenis die misbruik maakt van een kwetsbaarheid. Ten slotte is het risico het potentieel voor verlies en schade wanneer de dreiging zich voordoet.