Выбор ответа Senior Secure SDLC, сканеры и пентест обновлено
Исключение из сроков исправления
Вопрос
Команда не может исправить уязвимость уровня high за 30 дней: нужна смена архитектуры на квартал. Как правильно поступить?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Оформить исключение: обоснование, компенсирующие меры, срок и владелец риска. Риск принимает тот, кто за него отвечает (обычно руководитель продукта), осознанно и с компенсирующими мерами (WAF, ограничение доступа, мониторинг) и датой пересмотра.
Варианты ответа
- Понизить severity до medium, раз эксплуатация сложная, и уложиться в срок для medium
- Закрыть находку как «не будет исправлено» и вернуться к ней при смене архитектуры
- Оформить исключение: обоснование, компенсирующие меры, срок и владелец рискаправильный ответ
- Заблокировать все релизы команды до исправления, чтобы уязвимость не висела в проде
Разбор
Риск принимает тот, кто за него отвечает (обычно руководитель продукта), осознанно и с компенсирующими мерами (WAF, ограничение доступа, мониторинг) и датой пересмотра. Подгонка severity искажает картину. Закрыть без решения значит забыть риск. Блокировка всех релизов часто непропорциональна.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.