Introduzione
Come la maggior parte delle aziende oggi, la nostra attività è completamente digitalizzata e quindi dipendente dalle informazioni; dai database, repository e sistemi in cui queste informazioni vengono archiviate e gestite; dalle reti dati che ci permettono di accedere e distribuire tali informazioni; e, infine, dalle apparecchiature e dai dispositivi che si connettono a queste reti e che ci permettono di lavorare con esse.
Qualsiasi incidente su uno di questi asset (informazioni, sistemi, applicazioni, reti e apparecchiature) metterà a rischio la continuità operativa, paralizzando praticamente tutti (a seconda della portata dell'incidente) i processi che ci permettono di funzionare.
Questi incidenti possono essere di due tipi: tecnici (guasto delle apparecchiature) o di sicurezza (attacco premeditato). Questo documento riguarda questi ultimi.
Questo documento stabilirà le politiche, gli obiettivi e le procedure di sicurezza per, in primo luogo, prevenire il più possibile il verificarsi di incidenti di sicurezza e, in secondo luogo, essere preparati nel caso in cui si verifichino.
Infine, ma forse l'aspetto più importante per l'azienda, è che, essendo un'azienda ICT che offre anche un servizio di cybersicurezza nel proprio catalogo, la reputazione è una questione di rimanere sul mercato o di esserne definitivamente espulsi.
Obiettivi di sicurezza
Come azienda stabiliamo i seguenti obiettivi di sicurezza, il cui raggiungimento sarà misurato con indicatori che mostreremo nella dashboard del Comitato di Direzione e del Comitato di Sicurezza:
-
Proteggere gli asset informativi
Ogni asset avrà un proprietario stabilito, così come le persone, opportunamente identificate, che hanno accesso a tale asset. Ogni asset è accessibile solo dal proprio proprietario. Se necessario, l'accesso sarà autorizzato ad altre persone, ma per impostazione predefinita sarà in modalità di sola lettura, senza altri privilegi. Solo se necessario e con l'autorizzazione del proprietario, o della direzione (a seconda del tipo di asset), verranno concessi tutti i privilegi d'uso alla persona autorizzata.
Metriche: Asset protetti / Asset totali · Account utente attivi / Dipendenti attivi · Asset pubblici / Asset privati. -
Integrità delle informazioni
In ogni momento, durante le operazioni effettuate sulle informazioni, deve essere mantenuta la loro integrità. La lettura, la modifica, la cifratura e la cancellazione saranno impedite fintanto che non siano autorizzate. I sistemi in cui queste informazioni sono archiviate e le apparecchiature e le reti attraverso cui vengono trasmesse devono contribuire attivamente a garantire che ciò venga raggiunto, cifrando end-to-end se la rete non è affidabile (Internet).
Metriche: Asset cifrati / Asset totali. -
Controllo degli accessi con meccanismo AAA
- Autenticazione: Tutti i dipendenti e gli utenti del sistema disporranno di credenziali di accesso (nome utente e password, dati biometrici) che garantiscono che la persona sia chi dichiara di essere. Per aumentare la sicurezza e rendere più difficile il furto d'identità, verrà utilizzato il doppio fattore con un'applicazione mobile su tutti gli asset in cui è possibile implementarlo.
- Autorizzazione: Gli asset, di qualsiasi tipo, devono richiedere l'autorizzazione d'uso prima di consentire l'accesso, indipendentemente dal fatto che la persona si sia autenticata correttamente.
- Accounting: Ogni accesso e modifica a qualsiasi asset sarà opportunamente registrato.
-
Piano di continuità
Sviluppare un piano di continuità che consenta di riprendersi da un disastro nel minor tempo possibile.
Metriche: il piano stesso · report delle esercitazioni di disaster recovery · avanzamento dei progetti. -
Formazione e sensibilizzazione
Informare, formare e sensibilizzare tutti i dipendenti in materia di sicurezza delle informazioni, in particolare sulle loro funzioni, obblighi e responsabilità nell'adempierli.
Metriche: risultato dell'ethical hacking interno. -
Registrazione e gestione degli incidenti di sicurezza
A tale scopo utilizzeremo il SOC (Security Operations Center), operativo 24×7 tutti i giorni dell'anno. Gli incidenti saranno registrati ed etichettati come "sicurezza" e, a seconda del loro impatto, verrà loro assegnato un livello di criticità, come stabilito nella Gestione degli Incidenti.
Metriche: andamento nel tempo del numero di incidenti di sicurezza · tempi di risoluzione. -
Audit
Sulla base della dashboard di sicurezza e dei sistemi di sorveglianza in tempo reale, gli eventi relativi alla sicurezza (ad esempio, i tentativi di accesso negati), le metriche degli incidenti e la revisione degli elenchi di autorizzazione (persone che sono state dimesse, che hanno cambiato reparto, ecc.) saranno costantemente riviste per prevenire azioni indesiderate.