Che cos'è un audit?
L'audit di cybersecurity valuta esistenza ed efficacia dei controlli predisposti per proteggere gli asset informativi. Non si limita ai controlli tecnici: rientrano nell'ambito anche elementi di governance quali politiche, autorizzazioni, gestione fornitori e risposta agli incidenti.
Perché si esegue?
L'obiettivo è individuare la superficie di attacco e le lacune nei controlli prima che si verifichi un incidente.
Chi lo richiede?
- Aziende tecnologiche i cui clienti richiedono garanzie di sicurezza
- Organizzazioni che implementano o mantengono la ISO/IEC 27001
- Aziende in infrastrutture critiche e settori regolamentati
- Organizzazioni che trattano dati di carte (nell'ambito PCI DSS)
- Aziende nell'ambito di una valutazione della sicurezza dei fornitori
Criteri di audit
Il criterio è il framework applicato: i controlli dell'Allegato A della ISO/IEC 27001, la IEC 62443 (industriale), il PCI DSS, il NIST CSF o i CIS Controls. Applicare direttamente un framework IT in un ambiente industriale dà un risultato errato; occorre scegliere criteri adatti all'OT.
Ambito dell'audit
- Politiche di sicurezza delle informazioni e struttura di governance
- Inventario degli asset e classificazione
- Il processo di valutazione del rischio e la Dichiarazione di Applicabilità
- Gestione delle identità e degli accessi, account privilegiati
- Segmentazione della rete e sicurezza perimetrale
- Protezione degli endpoint e gestione delle patch
- Crittografia e gestione delle chiavi
- Registrazione, monitoraggio e capacità di rilevamento
- Test di backup e ripristino
- Pratiche di sviluppo software sicuro
- Sicurezza dei fornitori e dei provider di servizi cloud
- Il piano di risposta agli incidenti e le relative esercitazioni
- Continuità operativa e disaster recovery
- Formazione di sensibilizzazione e fattore umano
Norme correlate
- ISO/IEC27001
- ISO/IEC 27002
- IEC 62443
- PCIDSS
- NIST CSF
- ISO 19011
Processo di audit
- 1Scelta dei criteri da applicareSi stabilisce la norma, lo schema o la normativa di riferimento; negli audit tematici la scelta del criterio determina direttamente il significato dell'esito.
- 2Valutazione del rischio e ambitoLe aree di rischio sono individuate in base ad attività e ubicazione dell'organizzazione; i giorni di audit sono pianificati di conseguenza.
- 3Esame di documenti e registrazioniSi esaminano politiche, procedure, autorizzazioni, registrazioni di misura ed esiti di audit precedenti.
- 4Audit in sitoSi percorrono le aree interessate; si effettuano misure, osservazioni e controlli documentali specifici del tema.
- 5Colloqui con i lavoratoriSe il tema lo richiede, si tengono colloqui riservati con i lavoratori indipendentemente dalla direzione; le dichiarazioni sono confrontate con le registrazioni.
- 6Valutazione della conformità legislativaLa conformità alla normativa vigente è verificata a parte; una non conformità legale è, in ogni schema, la categoria di rilievo più grave.
- 7Rendicontazione dei rilieviI rilievi sono classificati per gravità e raccolti in un rapporto.
- 8Azioni correttive e follow-upSi acquisisce un piano di azioni correttive; se ne segue la chiusura entro i tempi previsti dallo schema.
Rilievi
Le risultanze sono prioritizzate in base al livello di rischio. Una vulnerabilità direttamente sfruttabile e un documento di policy mancante non hanno lo stesso peso; questa distinzione viene fatta esplicitamente nel rapporto, e l'ordine di rimedio è raccomandato in base al rischio.
Rapporto di audit
- Dati dell'organismo, dell'auditor e dell'auditato
- Norma, schema o normativa applicati
- Data, durata e ambito dell'audit
- Rilievi dall'esame di documenti e registrazioni
- Osservazioni in sito e risultati di misura
- Rilievi dai colloqui con i lavoratori, se effettuati
- Valutazione della conformità legislativa
- Rilievi, relativa gravità ed evidenze
- Piano di azioni correttive e tempistiche
Limiti del risultato
Un audit di cybersecurity valuta l'esistenza e la progettazione dei controlli; non garantisce che ogni controllo funzioni efficacemente in ogni momento. L'audit mostra la situazione a una data specifica, e il panorama delle minacce cambia costantemente. L'audit non è inoltre un penetration test: se le vulnerabilità siano effettivamente sfruttabili è oggetto di un test tecnico separato.
Accreditamento
L'accreditamento varia con il tipo di audit. Gli audit di terza parte a supporto della certificazione di sistemi di gestione si svolgono secondo ISO/IEC 17021-1 e quelli a supporto della certificazione di prodotto secondo ISO/IEC 17065; tali ambiti sono soggetti ad accreditamento. Gli audit di prima e seconda parte e quelli regolati dalle regole proprie del proprietario di uno schema (SMETA, amfori BSCI) non rientrano nella certificazione accreditata; seguono la guida ISO 19011 e producono un rapporto. EUROLAB dispone di accreditamenti riconosciuti a livello internazionale secondo ISO/IEC 17021-1 e ISO/IEC 17065, rilasciati da enti firmatari dell'accordo IAF; quali audit possano essere offerti in ambito accreditato è confermato per iscritto in fase di offerta.
Ambito e abilitazioniAudit correlati
Domande frequenti
Qual è la differenza tra un audit e un penetration test?
Un audit valuta l'esistenza dei controlli e la governance; il suo ambito è ampio. Un penetration test verifica, dal punto di vista di un attaccante, se le vulnerabilità sono effettivamente sfruttabili; il suo ambito è ristretto ma approfondito. I due si completano a vicenda.
Lo stesso audit si applica anche ai nostri sistemi industriali?
No. Nella tecnologia operativa l'ordine di priorità è diverso: la disponibilità e la sicurezza dei processi vengono prima della riservatezza; inoltre i sistemi potrebbero non essere aggiornabili e non c'è tolleranza per le interruzioni. In questo ambiente si deve usare la IEC 62443 come criterio.
Ottengo un certificato in seguito a questo audit?
Dipende dal quadro in cui viene condotto l'audit. Se viene condotto nell'ambito di uno schema di certificazione accreditato, può portare a un certificato; l'output di un audit effettuato su richiesta del cliente o per una valutazione interna è un rapporto.
Viene verificata anche la conformità legale?
Sì, e in ogni audit tematico, la non conformità legale è la categoria di risultanza più grave. Per quanto ben strutturato sia il sistema di gestione, una violazione della normativa vigente, se rilevata, viene segnalata come massima priorità.