Güvenlik borcundan çıkmaya çalışan ekiplerin aslında yalnızca iki soruyu yanıtlaması yeterli: Sistemlerimizdeki hangi açıklar dışarıya karşı savunmasız durumda? Ve bu açıklar orada ne kadar kalabilir?
Veracode'un kurucusu ve Baş Güvenlik Evangelisti Chris Wysopal, birikmiş yamalar ve savunmasız sistemlerin giderek büyüyen yükü altında ezilen ekiplerin önceliklendirme konusunda ciddi zorluklarla karşılaştığını belirtiyor. Hangi açığın gerçekten acil olduğunu, hangisinin bekleyebileceğini ayırt etmek giderek güçleşiyor.
Wysopal'a göre sorunun özü, her güvenlik açığının eşit tehdit oluşturmamasında yatıyor. Bir açık sistemde var olabilir; ancak asıl tehlike, o açığın saldırganların erişebileceği yüzeye — yani internete ya da yetkisiz kullanıcılara — karşı maruz kalmasında gizli. Maruz kalma durumu belirlenmeden yapılan önceliklendirme, kaynakları gereksiz yere tüketiyor.
Bu yaklaşım, güvenlik ekiplerine net bir eylem planı sunuyor: Önce hangi açıkların savunmasız yüzeyde yer aldığını tespit et, ardından bu açıkların kabul edilebilir azami bekleme süresini belirle. Bu iki parametreyi netleştiren ekipler, güvenlik borcunu çok daha hızlı ve ölçülebilir biçimde kapatabilir.
