Configuration Compliance Exception Management – Übersicht

Wenn Ihre Organisation eine veröffentlichte Schwachstellenmanagement- oder Sicherheitsrichtlinie, einen Standard oder eine Leitlinie nicht einhalten kann, können Sie eine Ausnahme anfordern. Die Ausnahmeverwaltung umfasst das Anfordern, Überprüfen, Genehmigen oder Ablehnen von Ausnahmen für eine Korrekturaufgabe, die gemäß der Richtlinie nicht korrigiert werden kann.

Hinweis:

Ab Version 14.9 von Configuration Compliancewurden die folgenden Begriffe umbenannt:

Tabelle : 1. Änderungen in der Terminologie

Terminologie vor v14.9	Terminologie v14.9 und höher
Testergebnisgruppe	Korrekturaufgabe
Gruppenregeln	Regeln für Korrekturaufgaben
Richtlinie	Testgruppe

Für einige Schwachstellen ist möglicherweise kein Patch, keine Korrektur oder keine Lösung vorhanden. Wenn eine Ausnahme genehmigt wird, bedeutet dies auch, dass Sie ein Risiko akzeptieren, da Sie die Konsequenzen anerkennen und ihnen zustimmen, wenn die konfigurationsbezogene Schwachstelle nicht behoben wird.

Lebenszyklus einer Ausnahme

Eine Ausnahme ist eine Anforderung, die Korrektur einer Korrekturaufgabe für einen bestimmten Zeitraum zurückzustellen.

Der Lebenszyklus einer Ausnahme lautet wie folgt:

• Eine Ausnahme wird angefordert
• Eine Ausnahmeanforderung wird genehmigt
• Nachverfolgung einer Ausnahmeanforderung
• Ablauf einer Ausnahmeanforderung

Eine Ausnahme wird angefordert

Als Korrekturbesitzer können Sie mithilfe des Ausnahmeverwaltungsprozesses eine Befreiung für eine Korrekturaufgabe beantragen. Während des Genehmigungsprozesses bleibt die Korrekturaufgabe im Status Wird überprüft. Nachdem der Ausnahmegenehmiger diese Anforderung genehmigt hat, wird die Korrekturaufgabe in den Status „Zurückgestellt“ verschoben.

Eine Ausnahmeanforderung wird genehmigt

Korrekturaufgaben, die nicht sofort korrigiert werden können, werden überprüft, auf Risiko bewertet und zur Zurückstellung genehmigt, bis sie korrigiert werden können. Die Genehmigung einer Ausnahmeanforderung kann ein zweistufiger Workflow sein. Wenn nur der Genehmiger der ersten Ebene anwesend ist, kann die Ausnahme angefordert und genehmigt werden. Wenn jedoch kein Genehmiger der ersten Ebene vorhanden ist, kann keine Ausnahme angefordert werden. Weitere Informationen finden Sie unter Fügen Sie einen Ausnahmegenehmiger für hinzu Configuration Compliance.

Hinweis:

Wenn Sie ab Configuration Compliance  v13.0 die CC-Anwendung zum ersten Mal bereitstellen, ist der Flow Designer für die Ausnahmeverwaltung standardmäßig aktiviert. Wenn Sie den Workflow bereits verwenden, können Sie auf den Flow Designer aktualisieren. In beiden Fällen können Sie sie nicht wieder in Workflow ändern.

Sobald eine Ausnahmeanforderung für eine Korrekturaufgabe genehmigt wurde, können Sie die folgenden Aktionen ausführen:

• Erneut öffnen
• Schließen
• Löschen

Hinweis:

Kommentare zur Ablehnung werden in den Arbeitsnotizen für eine Korrekturaufgabe angezeigt. Wenn eine Ausnahmeanforderung abgelehnt wird, wird diese Korrekturaufgabe in ihren vorherigen Status zurückgesetzt.

Nachverfolgung einer Ausnahmeanforderung

Nach dem Auslösen der Ausnahme können Sie ihren Status mithilfe der Registerkarte „ Statusänderungsgenehmigungen “ der Korrekturaufgabe nachverfolgen. Wenn eine Aktion für eine Gruppe ausgeführt wird, können Sie den Status der einzelnen Testergebnisse in dieser Gruppe nicht nachverfolgen.

Ablauf einer Ausnahmeanforderung

Wenn eine Ausnahmeanforderung für eine Korrekturaufgabe abläuft, kehrt die Gruppe in den Status „ Offen “ zurück.

Abbildung : 1. Exception Management-Genehmigungsprozess vor CC v13.0