Tamaskovics Zsolt, az Alverad egyik üzletágvezetője nemrég egy érdekes útmutatót publikált a LinkedIn-en, amiben az OT rendszerek sérülékenység-értékeléséhez használható pontozásos rendszert mutat be.

A publikációban szóba kerül, hogy miért fontos értékelni az ICS/OT rendszerek sérülékenységét és miért nem elég a CVSS pontszámok/kategóriák alapján döntéseket hozni a sérülékenységek kezelése során.

A harmadik fejezetben az OT-specifikus sérülékenységek kockázatértékelésének három pillére kerül terítékre, a negyedikben a pontrendszer található, az ötödik fejezet pedig egy példán keresztül mutatja be a pontrendszer működését.

A hatodik fejezet pontozásos rendszer döntéstámogatási szerepét mutatja be röviden, a hetedik fejezet pedig egy Excel-táblázat alapú megvalósítást vázol.

Nem mondom, hogy Zsolt minden leírt gondolatával messzemenően egyetértek a témában, de ennek ellenére nagyon fontosnak tartom, hogy ne csak szülessenek ilyen keretrendszerek, dokumentumok, hanem ezek publikusan elérhetőek is legyenek, lehessen ezekről beszélni, lehessen velük kapcsolatban akár kritikát is megfogalmazni, vitatkozni, hogy legyen egy aktív (hogy azt ne mondjam, pezsgő) magyar ICS/OT kiberbiztonsági közösség, ahol van élet, vannak fejlemények.

Erre (és talán többre is) kiválóan jó lehet a nemrég publikált Alverados anyag.