Fra rapport til rettet funn

Start med sammendraget og avgrensningene. For hvert funn ser dere på berørt system, dokumentert konsekvens, forutsetninger og anbefalt tiltak. Skill mellom det som er påvist, og det som rapporten beskriver som en begrensning eller noe som trenger videre avklaring.

Kundeportalen viser funn når de er publisert til dere. At et oppdrag er synlig i portalen, betyr derfor ikke at alle funn er ferdige eller publisert. Bruk funnreferansen når dere spør om innholdet, slik at spørsmål og svar havner på riktig punkt.

Alvorlighetsgrad beskriver funnets tekniske betydning. Prioriteringen deres må også ta hensyn til hvilke data og arbeidsprosesser som berøres, og hvor løsningen er tilgjengelig. En eventuell CVSS-verdi er en del av vurderingen, ikke en ferdig tiltaksplan.

Opprett én oppgave per tiltak eller en tydelig gruppe av sammenhengende tiltak. Noter hvem som eier oppgaven, planlagt frist og hvilken versjon eller konfigurasjon som skal endres. Dersom dere trenger et midlertidig tiltak, avklar hvordan det skal vurderes og når den varige rettelsen skal følges opp.

• Knytt oppgaven til rapportens funnreferanse.
• Beskriv ønsket resultat uten å legge sensitive bevis i åpne oppgavesystemer.
• Avklar spørsmål om tiltaket skriftlig før dere endrer en kritisk tjeneste.

Når rettelsen er satt i det avtalte miljøet, send funnreferansen, en kort beskrivelse av endringen og tidspunkt eller versjon for utrullingen. Oppgi hvor rettelsen er tilgjengelig, og om avtalte testbrukere fortsatt fungerer. Det gjør det mulig å kontrollere riktig endring i riktig miljø.

Glippens beskrevne arbeidsflyt inkluderer én retest innen 30 dager etter levering. Meld fra i god tid hvis rettelsen ikke blir klar innen fristen, og avklar videre oppfølging i saken. En retest gjelder de avtalte funnene; nye systemer og vesentlig endret omfang må avklares separat.

En oppgave som er merket ferdig hos dere, er ikke automatisk bekreftet lukket i rapporten. Ta vare på den skriftlige tilbakemeldingen fra retesten og eventuelle begrensninger i det som kunne kontrolleres.

Gi ledelsen sammendraget og tiltaksstatusen. Utviklere og drift trenger de relevante tekniske delene. Rapporten kan inneholde opplysninger som bør ha begrenset tilgang; bruk virksomhetens godkjente deling og kontroller mottakerne.

Når arbeidet er avsluttet, gå gjennom testkontoer og midlertidige tilganger med den som opprettet dem. Fjern tilgang som ikke lenger trengs, og behold rapport og oppfølgingsdokumentasjon i tråd med deres rutiner. En rapport beskriver vurderingen på et tidspunkt og erstatter ikke oppfølging når systemet endres.