Audit di cybersecurity
Prove, non supposizioni.
Un audit non è un'opinione sulla vostra sicurezza. È un confronto strutturato fra ciò che un riferimento riconosciuto richiede e ciò che i vostri sistemi fanno davvero — messo per iscritto in modo che l'anno prossimo chiunque possa rifare la stessa verifica e ottenere una risposta confrontabile.
Il problema
La maggior parte dei rapporti di sicurezza non è verificabile.
Descrivono impressioni, le valutano con dei colori e lasciano chi legge incapace di dire se sei mesi dopo qualcosa sia migliorato. Il riscontro dice « controllo degli accessi insufficiente » e chi legge non ha modo di riprodurlo, contestarlo o chiuderlo.
Ogni riscontro che scriviamo porta con sé tre cose: che cosa è stato esaminato, che cosa richiede il riferimento e come verificare la correzione. Se non possiamo fornirle tutte e tre, è un'osservazione — e la chiamiamo così.
Audit non è test di intrusione. Un audit confronta i vostri sistemi con uno standard, soprattutto tramite accessi e documentazione. Un test di sicurezza prova a entrare. Rispondono a domande diverse e spesso vengono commissionati insieme.
Perimetro
Che cosa viene esaminato.
Scelto con voi all'inizio, in base a ciò che l'audit deve sostenere — un requisito di un cliente, una certificazione, una domanda del consiglio o un'acquisizione.
- ArchitetturaConfini di fiducia, flussi di dati, percorsi di autenticazione e i punti in cui un singolo guasto ne trascina altri.
- CodiceRevisione dei percorsi rilevanti per la sicurezza: autenticazione, autorizzazione, trattamento degli input, segreti, dipendenze.
- ConfigurazioneAccount cloud, provider di identità, regole di rete, storage esposto, copertura della registrazione.
- ProcessiCiclo di vita degli accessi, gestione delle modifiche, cadenza delle patch, ripristino dei backup, gestione degli incidenti.
- Terze partiQuali fornitori detengono i vostri dati o i vostri accessi, e che cosa è stato davvero concordato con loro.
- Qualità delle evidenzeSe i controlli su cui contate producono registrazioni che reggerebbero a una contestazione.
Riferimenti
Misurato su uno standard pubblicato.
Verifichiamo rispetto al riferimento adatto al vostro obbligo, non a una lista interna. Quale si applichi fa parte del primo colloquio.
ISO/IEC 27001
Quando esiste un sistema di gestione della sicurezza delle informazioni o lo si prepara alla certificazione.
CIS Benchmarks
Baseline di configurazione concrete e verificabili per sistemi operativi, piattaforme cloud e servizi.
NIST CSF / SP 800-53
Frequente dove entrano in gioco requisiti federali statunitensi o di catena di fornitura.
OWASP ASVS
Requisiti di verifica a livello applicativo, quando l'oggetto è software e non infrastruttura.
Verifichiamo, non certifichiamo. Il certificato lo rilascia un organismo accreditato. Il nostro lavoro è la preparazione, l'analisi degli scostamenti e le evidenze — e, se lo volete, un secondo passaggio dopo le correzioni.
Sequenza
Come si svolge un audit.
Definire
Sistemi nel perimetro, riferimento, accessi necessari, persone da intervistare e a che cosa deve servire il rapporto.
Esaminare
Documentazione, esportazioni di configurazione, accesso al codice e colloqui. I riscontri si raccolgono con le loro evidenze.
Convalidare
Le bozze vanno alla vostra squadra prima della versione definitiva. Ciò che abbiamo letto male viene corretto invece che pubblicato.
Riferire e riverificare
Rapporto prioritizzato con i percorsi di correzione, più un secondo passaggio facoltativo che conferma quali riscontri sono davvero chiusi.
Risultati
Che cosa resta sul tavolo alla fine.
Registro dei riscontri
Ogni voce con perimetro, evidenza, riferimento allo standard, valutazione del rischio e un passo di verifica.
Piano di correzione
Ordinato per rischio rispetto allo sforzo, così la prima settimana di lavoro è quella che conta di più.
Sintesi per la direzione
Due pagine utilizzabili da un consiglio non tecnico, senza ammorbidire ciò che dice il registro.
Serve una risposta da mostrare a qualcuno?
Diteci chi la sta chiedendo — un cliente, un assicuratore, un'autorità o il vostro consiglio. Il destinatario determina il riferimento, e il riferimento determina il lavoro.