• Articles
• admin

Le aziende spesso considerano l’audit di sicurezza dei dati come un processo stressante e intrusivo. L’auditor va in giro distraendo tutti e intromettendosi nelle normali operazioni aziendali. L’utilità di condurre audit è anche qualcosa per un dibattito: non sono regolari valutazione del rischio sufficiente per formare una strategia di sicurezza e mantenere i dati protetti? E se sei un soggetto di norme di conformità per quanto riguarda la sicurezza dei dati privati, allora sarete di fronte a un audit ufficiale prima o poi comunque. Non sarebbe meglio prepararsi per questo, piuttosto che fare un audit di sicurezza IT del proprio?

Tuttavia, in realtà, gli autocontrolli sono molto utili, in quanto soddisfano una serie di obiettivi specifici. Gli autocontrolli ti consentono di:

• Stabilire una baseline di sicurezza – risultati delle più self-audit, negli anni, servire come un incredibilmente affidabile riferimento per valutare le vostre prestazioni di sicurezza di
• applicare norme di sicurezza e pratiche – verifiche consentono di assicurarsi che tutti i cyber misure di sicurezza messe in atto nella tua azienda sono accuratamente applicata e seguita
• Determinare il reale stato di sicurezza e di formulare la strategia per il futuro – di controllo mostra come stanno realmente le cose in modo molto più dettagliato di valutazione del rischio potrebbe mai fare. Non si limita a evidenziare le cose mancanti, ma tiene anche conto dei processi esistenti e mostra perché e come dovrebbero essere migliorati.

Tutto sommato, l’auto-auditing è uno strumento incredibilmente utile quando devi valutare la tua sicurezza informatica o assicurarti di essere pronto per un vero controllo di conformità su tutta la linea. È una buona pratica fare autovalutazioni abbastanza spesso-idealmente, più volte all’anno.

Ma come condurre un audit di sicurezza informatica?

Esistono vari modi per raccogliere i dati necessari, come la gestione degli accessi, il monitoraggio delle azioni degli utenti e il software di monitoraggio dei dipendenti, che consentono di produrre report centralizzati per una valutazione approfondita della sicurezza. Tuttavia, non sarebbe giusto dire che gli autovaluti sono privi della loro giusta quota di inconvenienti, e li toccheremo più in basso mentre discutiamo l’autovalutazione in modo più dettagliato.

Ma prima, diamo un’occhiata a pro e contro di ciascuno dei due modi in cui è possibile condurre l’autocontrollo:

Controllo esterno vs interno

Quando si decide di fare un self-audit è possibile farlo internamente con le proprie risorse o contrarre un revisore esterno. E la scelta tra i due non è così tagliata e asciutta come si potrebbe pensare.

I revisori esterni sono bravi in quello che fanno. Usano una serie di software di controllo della sicurezza informatica, come scanner di vulnerabilità e portare la propria vasta esperienza al tavolo al fine di esaminare la sicurezza e trovare buchi in esso. Tuttavia, il grande svantaggio per loro è che non sono economici, e trovare la persona con la qualifica e l’esperienza necessarie tra il mare di offerte può essere molto difficile.

Inoltre, il successo di tale audit dipenderà fortemente dalla qualità della comunicazione stabilita tra la vostra azienda e un revisore dei conti. Se un auditor non riesce a ottenere i dati giusti o a farlo in ritardo, l’audit può trascinarsi, produrre risultati inaffidabili o gonfiare i costi.

Tutto ciò rende gli audit esterni un lusso, piuttosto che una soluzione permanente. Sono fantastici da fare una volta all’anno (se hai tempo e denaro per farlo), o come un modo per preparare la tua azienda per un vero controllo di conformità, ma farli ogni trimestre può essere proibitivo.

Gli audit interni, d’altra parte, sono facili da fare e possono essere molto efficaci come valutazione trimestrale, aiutandoti a raccogliere dati per la tua base di sicurezza e verificare se le politiche attuali sono efficaci o meno. Tuttavia, lo svantaggio è che i revisori interni spesso mancano dell’esperienza e degli strumenti necessari per abbinare la qualità di un audit esterno professionale. Tuttavia, questo in sé e per sé non è qualcosa che non può essere risolto semplicemente assumendo le persone giuste e la loro formazione per il lavoro.

Allo stesso tempo, gli audit interni non sono solo economici ma anche efficienti in termini di processo. È molto più facile per un dipendente o un reparto interno raccogliere tutti i dati necessari senza l’arduo processo di stabilire una comunicazione efficace e senza disturbare il flusso di lavoro esistente all’interno dell’azienda.

E mentre gli audit interni possono sembrare complicati in teoria, in realtà, tutto ciò che devi fare è completare una serie di semplici passaggi e ottenere i risultati che desideri. Successivamente, discuteremo questi passaggi in modo più dettagliato.

4 Semplici passi per auto-audit

1. Definire l’ambito di un audit

La prima cosa che devi fare è stabilire l’ambito del tuo audit. Sia che si controlli lo stato generale della sicurezza nella propria organizzazione o si esegua un audit di sicurezza di rete specifico, un audit di sicurezza di terze parti o qualsiasi altro, è necessario sapere cosa si dovrebbe guardare e cosa si dovrebbe saltare.

Per fare ciò, è necessario disegnare un perimetro di sicurezza – un confine attorno a tutte le risorse preziose. Questo limite dovrebbe essere il più piccolo possibile e includere ogni bene prezioso che hai e che richiede protezione. Dovrai controllare tutto all’interno di questo confine e non toccare nulla al di fuori di esso.

Il modo migliore per definire il perimetro di sicurezza è quello di creare un elenco di tutte le risorse di valore che la vostra azienda ha. Questo può essere abbastanza complicato, perché le aziende spesso omettono cose come la documentazione puramente interna, dettagliando, ad esempio, varie politiche e procedure aziendali, perché sembra non avere alcun valore per il potenziale autore. Tuttavia, tali informazioni sono preziose per l’azienda stessa, perché nel caso in cui tali documenti vengano persi o distrutti (ad esempio, a causa di guasti hardware o errori dei dipendenti), ci vorrà del tempo e denaro per ricrearli. Pertanto, dovrebbero anche essere inclusi nell’elenco principale di tutte le risorse che richiedono la protezione.

Definire le minacce che i dati devono affrontare

Una volta definito il perimetro di sicurezza, è necessario creare un elenco di minacce che i dati devono affrontare. La parte più difficile è trovare un giusto equilibrio tra quanto è remota una minaccia e quanto impatto avrebbe sulla tua linea di fondo se mai accadesse. Ad esempio, se un disastro naturale, come un uragano, è relativamente raro, ma può essere devastante in termini di finanze; può ancora essere incluso nella lista.

Tutti e tutti, le minacce più comuni, che probabilmente dovresti considerare di includere, sono le seguenti:

• Disastri naturali e violazioni fisiche – come accennato in precedenza, mentre questo è qualcosa che accade raramente, le conseguenze di una tale minaccia possono essere devastanti, quindi, probabilmente è necessario disporre di controlli in atto per ogni evenienza.
• Malware e attacchi di hacking-gli attacchi di hacking esterni sono una delle più grandi minacce alla sicurezza dei dati là fuori e dovrebbero sempre essere considerati.
• Ransomware-questo tipo di malware ha raccolto popolarità negli ultimi anni. Se stai lavorando in sanità, istruzione o finanze, probabilmente si dovrebbe guardare fuori per esso.
• Attacchi Denial of service – l’ascesa dei dispositivi IoT ha visto un drammatico aumento delle botnet. Gli attacchi Denial of service sono ora più diffusi e più pericolosi che mai. Se il vostro business dipende dal servizio di rete ininterrotto, si dovrebbe assolutamente guardare in compresi quelli.
• Addetti ai lavori malevoli – questa è una minaccia che non tutte le aziende prendono in considerazione, ma ogni azienda deve affrontare. Sia i tuoi dipendenti che i fornitori di terze parti con accesso ai tuoi dati possono facilmente perderli o abusarne e non saresti in grado di rilevarli. Pertanto, è meglio essere pronti e includerlo nella propria lista di minacce. Ma prima, vi suggeriamo di guardare attraverso il confronto delle soluzioni di monitoraggio delle minacce.
• Inavvertent insiders – non tutti gli attacchi insider sono fatti per intento malevolo. Il dipendente che commette un errore onesto e perde accidentalmente i tuoi dati è qualcosa che è diventato fin troppo comune nel nostro mondo connesso. Sicuramente una minaccia da considerare.
• Phishing e social engineering – il più delle volte un hacker cercherà di ottenere l’accesso alla rete prendendo di mira i dipendenti con tecniche di ingegneria sociale, praticamente facendo loro rinunciare le loro credenziali volontariamente. Questo è sicuramente qualcosa che si dovrebbe essere pronti per.

3. Calcolare i rischi

Una volta stabilito l’elenco delle potenziali minacce che i dati possono affrontare, è necessario valutare il rischio di ciascuna di queste minacce sparare. Tale valutazione del rischio vi aiuterà a mettere un cartellino del prezzo su ogni minaccia e la priorità correttamente quando si tratta di implementare nuovi controlli di sicurezza. Per fare questo, è necessario guardare le seguenti cose:

• La tua esperienza passata-se hai incontrato una minaccia specifica o meno può influire sulla probabilità di incontrarla in futuro. Se la vostra azienda è stata un obiettivo di hacking o attacco denial of service, c’è una buona probabilità che accadrà di nuovo.
• Panorama generale della sicurezza informatica-guarda le tendenze attuali nella sicurezza informatica. Quali minacce stanno diventando sempre più popolari e frequenti? Quali sono le minacce nuove ed emergenti? Quali soluzioni di sicurezza stanno diventando sempre più popolari?
• Stato del settore-guarda l’esperienza della tua concorrenza diretta e le minacce che il tuo settore deve affrontare. Ad esempio, se lavori nel settore sanitario o dell’istruzione, dovrai affrontare più frequentemente attacchi di insider, attacchi di phishing e ransomware, mentre il retail potrebbe affrontare attacchi denial of service e altri malware più frequentemente.

Dispositivo i controlli necessari

Una volta stabiliti i rischi associati a ciascuna minaccia, si passa alla fase finale, ovvero la creazione di una lista di controllo di controllo della sicurezza IT dei controlli da implementare. Esaminare i controlli che sono in atto e ideare un modo per migliorarli, o implementare processi che mancano.

Le misure di sicurezza più comuni che puoi prendere in considerazione includono:

• Sicurezza del server fisico-se si possiede il proprio server, si dovrebbe assolutamente garantire un accesso fisico ad essi. Naturalmente, questo non è un problema se semplicemente affittare spazio server da un data center. Allo stesso tempo, tutti i dispositivi IoT in uso nella tua azienda dovrebbero avere tutte le loro password predefinite modificate e l’accesso fisico ad esse completamente protetto al fine di prevenire eventuali tentativi di hacking.
• Backup dei dati regolari – il backup dei dati è molto efficace in caso di disastro naturale o attacco malware che corrompe o blocca i dati (ransomware). Assicurarsi che tutti i backup siano eseguiti il più frequentemente possibile e stabilire una procedura corretta per il ripristino dei dati.
• Firewall e antivirus-questo è cyber security 101, ma è necessario proteggere la rete con firewall configurati correttamente e i computer con antivirus. Puoi saperne di più e ricercare il software antivirus disponibile su Antivirus.migliore.
• Filtro anti-spam-correttamente configurato filtro anti-spam può essere un grande vantaggio nella lotta contro gli attacchi di phishing e malware inviati via mail. Mentre i dipendenti possono sapere di non fare clic su alcun link in una e-mail, è sempre meglio essere sicuri, piuttosto che dispiaciuto.
• Controllo di accesso-ci sono diversi modi per controllare l’accesso e si sarebbe meglio mettere tutti loro in atto. Prima di tutto, è necessario assicurarsi di controllare il livello di privilegi degli utenti e di utilizzare il principio del privilegio minimo quando si creano nuovi account. Oltre a ciò, l’autenticazione a due fattori è un must, in quanto aumenta notevolmente la sicurezza della procedura di accesso e consente di sapere chi ha esattamente avuto accesso ai dati e quando.
• User action monitoring-software effettua una registrazione video di tutto ciò che l’utente fa durante la sessione, che consente di rivedere ogni incidente nel suo contesto corretto. Non solo è molto efficace quando si tratta di rilevare le minacce interne, ma è anche un ottimo strumento per indagare su eventuali violazioni e perdite, nonché una grande risposta a una domanda su come eseguire l’audit di conformità della sicurezza IT, in quanto consente di produrre i dati necessari per tale audit.
• Employee security awareness – al fine di proteggere i dipendenti da attacchi di phishing e social engineering, oltre a ridurre la frequenza di errori involontari e assicurarsi che tutte le procedure di sicurezza siano seguite, è meglio educarli sulla migliore sicurezza informatica. Insegna ai tuoi dipendenti le minacce che affrontano sia loro che la tua azienda, nonché le misure che metti in atto per combattere tali minacce. Aumentare la consapevolezza dei dipendenti è un ottimo modo per trasformarli da una responsabilità a una risorsa utile quando si tratta di sicurezza informatica.

Conclusione

I 4 semplici passaggi sopra menzionati, – definire l’ambito di un audit, definire le minacce, valutare i rischi associati a ogni singola minaccia, nonché valutare i controlli di sicurezza esistenti e ideare i nuovi controlli e le misure da attuare, – è tutto ciò che devi fare per condurre un audit di sicurezza.

I tuoi risultati finali dovrebbero costituire una valutazione approfondita dello stato attuale della tua sicurezza, nonché raccomandazioni specifiche su come migliorare le cose. I dati di tale auto-audit vengono utilizzati per contribuire a stabilire una linea di base di sicurezza, nonché a formulare la strategia di sicurezza della vostra azienda.

La sicurezza informatica è un processo continuo e gli autovaluti dovrebbero essere i tuoi grandi traguardi regolari su questa strada per proteggere i tuoi dati.