Che cos'è il certificato?

Una valutazione della sicurezza informatica è l'esame indipendente della posizione di sicurezza di un'organizzazione o di un sistema. Non è necessario che sia legato a uno schema di certificazione specifico: test di penetrazione, valutazione della vulnerabilità, revisione dell'architettura, valutazione della maturità (ad esempio NIST CSF, CIS Controls) o un esercizio del team rosso rientrano tutti in questa voce. Il risultato è un rapporto sui risultati e sulle raccomandazioni, non un certificato.

A chi serve?

Organizzazioni che desiderano misurare il proprio livello di sicurezza
Aziende che desiderano un'analisi delle lacune prima della certificazione
Aziende con obbligo contrattuale di penetration test periodici
Team che desiderano verificare un nuovo sistema o prodotto prima della messa in funzione
Organizzazioni che rivalutano la propria postura dopo un incidente

È obbligatorio?

Di per sé non obbligatorio. Tuttavia, molti quadri e normative impongono un obbligo di test periodici: PCI DSS richiede test di penetrazione e scansione, ISO/IEC 27001 prevede una revisione della conformità tecnica e normative come NIS2 richiedono la valutazione dell’efficacia delle misure di gestione del rischio.

Campo di applicazione della norma

Definire l’ambito e le regole di ingaggio
Compilazione dell'inventario degli asset e della superficie di attacco
Scansione e convalida delle vulnerabilità
Test di penetrazione: rete esterna, rete interna, applicazione web, applicazione mobile, wireless
Revisione della configurazione e del rafforzamento
Revisione della gestione delle identità e degli accessi
Valutazione dell'architettura e della segmentazione
Test di ingegneria sociale e sensibilizzazione (se rientranti nell'ambito)
Valutazione della maturità (rispetto a quadri come NIST CSF, CIS Controls)
Assegnazione delle priorità e reporting dei risultati in base al livello di rischio
Test di verifica post-rimediazione

Processo di certificazione

1Determinazione dell'ambito e del programmaVengono determinati i siti e i processi da sottoporre ad audit e la durata dell'audit richiesta dallo schema.
2Pre-valutazioneFacoltativamente viene effettuata un'analisi delle lacune; le lacune diventano visibili prima dell’audit principale.
3Audit in sitoL'esame dei registri, l'osservazione del sito e le interviste ai lavoratori vengono effettuati rispetto alla lista di controllo del programma.
4Rendicontazione dei rilieviI risultati sono riportati in base alla classificazione dello schema. Il risultato di questi schemi è un rapporto di audit, non un certificato.
5Azioni correttive e follow-upViene presentato un piano di azioni correttive per i risultati; si conclude con un audit di follow-up nell'ambito del programma.

Periodo di validità

Il periodo di validità delle relazioni di audit è stabilito dal sistema ed è generalmente compreso tra uno e due anni. Il report viene utilizzato per il periodo accettato dal marchio acquirente.

Documenti richiesti

Organizzazione e dettagli del sito
Organico e schema dei turni
Autorizzazioni e licenze legali
Politiche e procedure pertinenti
Registri delle buste paga, degli orari e del personale

Costo della certificazione

Non esiste un prezzo di listino fisso; il costo viene calcolato in base alle seguenti variabili e fornito per iscritto nel preventivo.

Il numero di siti da sottoporre ad audit e l'organico
La durata dell'audit prescritta dallo schema
Se è richiesta una pre-valutazione (gap analysis).
Se è necessario un audit di follow-up

Accreditamento

La maggior parte di questi schemi producono rapporti di audit, non documenti, e sono soggetti al sistema di approvazione del proprietario dello schema (ad esempio Sedex, amfori, RBA); L'accreditamento nel senso classico non si trova in ogni schema. La competenza del revisore e la validità del rapporto sono determinate dalle regole del proprietario dello schema.

L'ambito in cui questo schema può essere offerto varia in base al suo prodotto e alla sua attività; viene confermato per iscritto in fase di preventivo.

Ambito e autorizzazioni

Certificazioni correlate

Domande frequenti

Un penetration test e una scansione di vulnerabilità sono la stessa cosa?

No. Una scansione delle vulnerabilità elenca i punti deboli noti utilizzando strumenti automatizzati. Un test di penetrazione verifica con competenza umana se questi risultati sono effettivamente sfruttabili e scopre percorsi di attacco concatenati. I due differiscono per profondità e costi.

Ottengo un certificato a seguito della valutazione?

Non viene rilasciato alcun certificato; viene prodotto un rapporto sui risultati e sulle raccomandazioni. Alcuni clienti richiedono una lettera di attestazione che confermi l'esecuzione del test, ma questa non è un certificato di conformità.

Quanto spesso dovrei farlo?

La frequenza dipende dal quadro normativo a cui sei soggetto e dal tasso di cambiamento. La pratica comune è un test annuale; tuttavia, è previsto un test intermedio ogni volta che si verifica un cambiamento significativo nell'architettura o nell'applicazione.

Valutazione della cybersicurezza (Cybersecurity Assessment)