VULNERABILITY ASSESSMENT
È IL PROCESSO DI VALUTAZIONE DELLO STATO DI VULNERABILITÀ DELL'INTERO SISTEMA IT
Come risultato dell’analisi si vanno a pianificare le azioni di rimedio e di mantenimento del livello di sicurezza richiesto in ottemperanza alle normative previste dal GDPR e riferimenti AgID.
VULNERABILITY ASSESSMENT È UN PERCORSO CHE NASCE DALLA CONOSCENZA, PASSANDO DALLA NORMALIZZAZIONE, QUINDI AL MANTENIMENTO.
QUESTO PROCESSO PERMETTE ALLE ORGANIZZAZIONI DI VALUTARE IN MODO AFFIDABILE LO STATO DELLE VULNERABILITÀ DEL SISTEMA, I RELATIVI RISCHI, PIANIFICARE LE AZIONI DI RIMEDIO E DI MANTENIMENTO DEL LIVELLO DI SICUREZZARICHIESTO IN OTTEMPERANZA ALLE NORMATIVE PREVISTE DAL GDPR, PIUTTOSTO CHE DAI RIFERIMENTI AGIDPER LE PUBBLICHE AMMINISTRAZIONI.
- ABSC 1 (CSC 1): INVENTARIO DEI DISPOSITIVI AUTORIZZATI E NON AUTORIZZATI
- ABSC 2 (CSC 2): INVENTARIO DEI SOFTWARE AUTORIZZATI E NON AUTORIZZATI
- ABSC 3 (CSC 3): PROTEGGERE LE CONFIGURAZIONI DI HARDWARE E SOFTWARE SUI DISPOSITIVI MOBILI, LAPTOP, WORKSTATION E SERVER
- ABSC 4 (CSC 4): VALUTAZIONE E CORREZIONE CONTINUA DELLA VULNERABILITÀ
- ABSC 5 (CSC 5): USO APPROPRIATO DEI PRIVILEGI DI AMMINISTRATORE
- ABSC 8 (CSC 8): DIFESE CONTRO I MALWARE
- ABSC 10 (CSC 10): COPIE DI SICUREZZA
- ABSC 13 (CSC 13): PROTEZIONE DEI DATI
- analizzare/valutare i rischi per i diritti e le libertà fondamentali degli interessati;
- individuare, attivare misure di sicurezza in grado di assicurare la riservatezza, l’integrità, la disponibilità e la resilienza dei trattamenti eseguiti;
- monitorare e controllare che le citate misure restino attive ed efficaci nel tempo;
- mantenere evidenze per documentare l’attività svolta e la qualità delle valutazioni eseguite.
ALMENO 7 MOTIVI…
1
Sussistono responsabilità derivanti da falle di sicurezza, come vulnerabilità, spyware, adware e altri malware non virali che, una volta penetrati, possono determinare responsabilità legali e danneggiare la reputazione aziendale e intaccare la produttività.
2
La perdita di informazioni proprietarie e di proprietà intellettuale (Data Leakage) può dare origine a danni e controversie di varia natura.
3
I diversi tipi di malware e altri programmi che mettono a repentaglio la sicurezza, possono consentire un accesso non autorizzato ad informazioni aziendali confidenziali, come gli elenchi dei clienti, listini o altre informazioni riservate o soggette ai diritti di proprietà intellettuale.
4
A seguito dell’Accordo Basilea 2, tutte le banche classificano la qualità del credito concesso mediante un indicatore.
5
L’efficienza dei dipendenti può essere drasticamente intaccata dalla presenza di codice malevolo sui server e sui computer utilizzati in azienda fino arrivare al blocco delle attività aziendali.
6
Alcuni di questi programmi non virali fanno incetta di indirizzi e-mail, perciò, una volta insediati, contribuiscono ad incrementare il problema delle e-mail indesiderate (spam).
7
La presenza di spyware e adware in azienda aumenta drasticamente il carico di lavoro dell’Help desk ed in generale del personale IT responsabile della manutenzione dei sistemi.
IL METODO PDCA
La metodologia PDCA parte dall’assunto che per il raggiungimento del massimo livello della qualità sia necessaria la costante interazione e ripetizione delle quattro fasi: pianificazione, applicazione, valutazione e perfezionamento.
PIANIFICAZIONE
Analisi e pianificazione delle attività relative al ciclo di gestione delle vulnerabilità.
APPLICAZIONE
Realizzazione delle attività pianificate e applicazione delle correzioni.
VERIFICA
Misurazione delle performance raggiunte rispetto agli obiettivi prefissati.
ATTUAZIONE
Consolidamento dei risultati raggiunti e definizione dei piani di miglioramento.
NORMALIZZAZIONE
In questa fase, in coordinamento con il cliente, si pone rimedio alle vulnerabilità riscontrate per giungere ad una situazione conforme ai livelli di sicurezza definiti dalle policy aziendali.
Al termine delle attività sarà effettuato un assessment di verifica per accertarsi che tutte le problematiche di sicurezza siano state effettivamente risolte. Le fasi di assessment e di normalizzazione sono strettamente correlate.
MANTENIMENTO
Il mantenimento dei livelli di sicurezza inizia soltanto quando la fase di normalizzazione del sistema è stata completata. NETCOM adotta un processo di gestione che si basa su un tipico ciclo di Deming, studiato per il miglioramento continuo dei processi e l’utilizzo ottimale delle risorse che tende al consolidamento del livello di sicurezza del sistema informativo. La fase di mantenimento prevede varie attività ricorrenti effettuate con intervalli di tempo regolari.
VULNERABILITY ASSESSMENT CONTINOUS CYCLE
Acquisizione dei requisiti
In collaborazione con il responsabile della sicurezza e l’IT Manager vengono documentati i requisiti e le policy del Cliente, effettuando l’analisi delle modalità operative di gestione del sistema informativo.
Inventario degli asset e determinazione del rischio
Per la corretta gestione delle vulnerabilità, occorre disporre di un inventario puntuale dei sistemi presenti in rete, la loro configurazione ed il ruolo di ciascun nodo. E’ necessario inoltre determinare l’impatto che una temporanea interruzione della disponibilità comporta sull’operatività aziendale e di conseguenza definire il rischio di perdita di business e il livello di sicurezza accettabile, i tempi ed i metodi di applicazione dei rimedi.
Valutazione delle vulnerabilità
Si effettua la scansione del sistema per individuare quali e quante sono le vulnerabilità presenti, si verifica lo stato di aggiornamento del sistema operativo e di tutte le applicazioni installate e inoltre si accerta la conformità alle policy aziendali e l’utilizzo delle best practice specifiche.
Executive Summary
E’ il documento di alto livello destinato al Management aziendale che riassume i risultati dell’assessment e fornisce tutti gli elementi chiave per consentire le decisioni più adeguate, come: la descrizione dello stato del sistema e la valutazione del rischio, le strategie, i tempi ed i modi per l’applicazione dei rimedi e la valutazione dell’impatto economico.
Vulnerability Detail
E’ il documento tecnico dedicato al responsabile della sicurezza e all’IT Manager che descrive tutte le vulnerabilità riscontrate con la relativa classificazione, lo stato della conformità alle policy aziendali, alle best practice in materia di sicurezza ed alle principali normative di legge.
Remediation Plan
E’ il documento di alto livello che fornisce le indicazioni per risolvere i problemi riscontrati. Descrive le fasi di lavoro con l’indicazione delle persone coinvolte, dei metodi e degli strumenti con cui verranno applicati i rimedi.
TI POTREBBE INTERESSARE ANCHE
LIFE CYCLE MANAGEMENT
MIGRAZIONE A WINDOWS 10
E’ prerequisito fondamentale per disporre degli aggiornamenti di sicurezza rilasciati da Microsoft, pertanto in adempimento a normative previste da GDPR e AgID
PATCH MANAGEMENT
Censire e aggiornare sistematicamente le infrastrutture, supportano la compliance aziendale in termini di sicurezza gestita
CONTATTACI
IL NOSTRO CUSTOMER CARE
SARÀ LIETO DI POTERTI FORNIRE
INFORMAZIONI SULLE NOSTRE
SOLUZIONI E SERVIZI
* campi obbligatori