観察事項管理手順

観察事項プログラムは、tier 2 のセキュリティオペレーショナルリスクを管理する StORM プログラム への重要なインプットです。以下の基準が満たされた場合、より大きなリスクが存在することを示し、tier 2 のオペレーショナルリスクにアップグレードされ、したがって StORM プログラムに含められます。この基準は次のとおりです。

• エンティティレベルコントロールの観察事項
• 複数の観察事項が共通の根本原因を共有し、観察事項エピックでグループ化されている場合。観察事項エピックは、共通の根本原因と是正パスを持つ複数のシステムにまたがる観察事項のグループです。

Security Compliance ワークフロー

graph TD
    A[Observation Opened]
    A --> B{Observation meets<br>criteria for upgrading}
    B --> C{Yes}
    B --> |No| G(Follow Observation<br>Management Process)
    C --> |Observation Epic| E[Tag Risk, apply upgraded label]
    C --> |ELC| F[Tag Risk, apply upgraded label]
    F --> H[Risk is managed in <br> StORM program at tier 2 level]
    E --> I[Work with risk on collaborative remediation<br>for both Tier 2 and Tier 3 issues]

Security Risk ワークフロー

flowchart TD
    A[Risk Team is tagged in a risk<br>meeting criteria for upgrading]
    A --> B{Type of<br>observation}
    B --> C[ELC]
    B --> D(Observation Epic)
    C --> E{Does a Risk<br>already exist?}
    E --> |Yes| F[Map related Risk,<br>update into risk info if appropriate]
    E --> |No| H[Follow Risk<br>Runbook for new risks]
    H --> G(Risk is treated and<br>managed in StORM Program)
    F --> G
    D --> J{Does a Risk<br>already exist?}
    J --> |Yes| K[Map related Risk,<br>update into risk info if appropriate]
    J --> |No| L[Follow Risk<br>Runbook for new risks]
    L --> M(Work with SecComp<br>on Remediation)
    K --> M

詳細な記述:

1. Observation Intake runbook（社内のみ）に従って観察事項をオープンします。
2. 観察事項がアップグレードの基準を満たしている場合、StORM DRI をタグ付けし、ELC の場合はラベル ~upgraded::storm-managed を、観察事項エピックに追加されている場合は ~upgraded:storm-shared を適用します。
   1. ラベルの定義:
      1. Upgraded::StORM-Managed: StORM のリスクマネージャーが是正活動の追跡について単独で責任を負います
      2. Upgraded::StORM-Shared: 観察事項とリスクの是正は、StORM のリスクマネージャーと観察事項マネージャーで共有されます。StORM のリスクマネージャーは、共通のイニシアチブを通じて複数のシステムにまたがる是正活動を追跡できますが、観察事項マネージャーは、特定のシステムの是正に責任を負います。詳細については、コラボレーティブな是正 セクションを参照してください。
3. Security Risk チームがタグ付けされたら、そのチームの誰かが、基準を満たす観察事項に対して表現されているリスクがあるかどうかを判断します。
   1. 既存のリスクがある場合、彼らは観察事項をリスクにマッピングし、透明性のために GitLab Issue にコメントを残します。
   2. 既存のリスクがない場合、彼らは STORM Risk Intake runbook（社内のみ）に従って新しいリスクをオープンします。
4. エンティティレベルコントロールの場合、観察事項は完全に StORM プログラムによって tier 2 リスクレベルで管理され、Upgraded::StORM-Managed ラベルで表現されます。
5. 観察事項がエンティティレベルコントロールでない場合、Security Compliance は Security Risk と協力して、remediation owner と共にコラボレーティブな是正を行います。

コラボレーティブな是正

Security Compliance と Security Risk は、集約された/共通のコントロールを通じて是正する機会を探すべきです。観察事項が共通のコントロールまたは実装を通じて是正できる場合、活動は Security Risk チームによって追跡できます。たとえば、パスワード要件を満たしていないシステムがあり、複数のシステムにわたる是正に Okta との統合が含まれる場合、このロールアウトは Security Risk によって追跡できます。是正がシステム固有の場合、是正活動は Security Compliance によって追跡できます。是正テストは、Security Compliance remediation runbook を使用して、是正活動を追跡しているチームによって完了されます。

ステータスラベル

以下に定義されているのは、観察事項の是正管理プロセスを支援するステータスラベルです。