Standard di sicurezza: ISO 27001, SOC 2

La ISO/IEC 27001 è la norma internazionale per gestire un sistema di gestione della sicurezza delle informazioni: un modo ripetibile con cui un’organizzazione decide quali rischi di sicurezza contano, li tratta e migliora di continuo. Non impone un insieme di strumenti. Chiede invece di comprendere contesto e obblighi, coinvolgere la direzione e assegnare responsabilità, valutare i rischi, scegliere controlli per trattarli, applicarli, misurarne l’efficacia, svolgere audit interni e riesami della direzione e correggere ciò che non va. Il suo allegato elenca controlli di riferimento, dalle politiche e dalla gestione dei fornitori fino a registrazione, monitoraggio e sicurezza delle reti, e Lei motiva quali applica. Un’organizzazione può farsi verificare da un organismo di certificazione accreditato che rilascia un certificato, ed è ciò che i clienti chiedono di solito. La certificazione copre un campo di applicazione definito, quindi verifichi sempre quali sedi, servizi e team il certificato include davvero. Per un’azienda media è un progetto serio, che riguarda soprattutto persone e processi più che la tecnologia.

È l’insieme di politiche, ruoli, processi e registrazioni con cui un’organizzazione gestisce la sicurezza delle informazioni in modo voluto e non per caso. Un sistema di gestione della sicurezza delle informazioni (SGSI) risponde di continuo ad alcune domande: quali informazioni e sistemi contano, quali rischi li minacciano, quali misure adottiamo, chi è responsabile, come sappiamo che le misure funzionano e come miglioriamo quando non funzionano. In concreto è fatto di documenti come una politica di sicurezza, una valutazione dei rischi e un piano di trattamento, una dichiarazione dei controlli applicati, procedure per incidenti e fornitori, oltre a prove che vengono seguiti: registri della formazione, riesami degli accessi, esiti degli audit e verbali del riesame della direzione. Si chiama sistema perché gira in un ciclo di pianificare, fare, verificare e agire. La ISO/IEC 27001 ne stabilisce i requisiti, ma anche le aziende che non puntano alla certificazione traggono vantaggio dalla struttura, e gli obblighi di gestione del rischio di NIS2 vi si inseriscono in modo naturale. Uno strumento di monitoraggio è un controllo all’interno del sistema e una fonte di prove, non il sistema stesso.

È il documento che elenca ogni controllo di riferimento dell’allegato della norma e indica, per ciascuno, se lo applica, perché e come è attuato. La dichiarazione di applicabilità (SoA) collega la valutazione dei rischi ai controlli: un controllo è incluso perché tratta un rischio individuato o soddisfa un obbligo di legge o contrattuale, ed escluso solo con una motivazione, per esempio perché non dispone di locali propri. Gli auditor la usano come mappa del Suo SGSI e verificano i controlli che dichiara; i clienti a volte la chiedono per capire che cosa copre davvero il certificato. La tenga breve e concreta, indichi la prova di ogni controllo attuato e la aggiorni quando cambiano rischi o organizzazione. Una buona voce sul monitoraggio indica lo strumento, i sistemi coperti, chi esamina i risultati e dove sono conservate le registrazioni. Se NetSenX fa parte del Suo monitoraggio, la mappa di rete, lo storico degli alert e il registro di audit possono essere citati come prove; la dichiarazione resta un Suo documento.

SOC 2 è un rapporto di attestazione, definito dall’AICPA, l’organismo professionale dei revisori statunitensi, in cui un revisore indipendente esamina i controlli di un’organizzazione di servizi rispetto ai Trust Services Criteria. La sicurezza è sempre inclusa; si possono aggiungere disponibilità, integrità dell’elaborazione, riservatezza e privacy. Il rapporto descrive il sistema, i controlli dichiarati dall’azienda, i test del revisore e le eccezioni riscontrate, e di norma viene condiviso con i clienti sotto un accordo di riservatezza. I clienti, soprattutto in Nord America, lo chiedono perché permette di affidarsi a una verifica indipendente invece di sottoporre ogni fornitore a un proprio audit. Non è una certificazione e non c’è un voto minimo: si leggono il giudizio del revisore, il perimetro e le eccezioni. Quando un fornitore Gliene invia uno, controlli il periodo coperto, quali servizi e sedi rientrano nel perimetro, quali criteri sono stati inclusi e quali controlli complementari deve applicare dalla Sua parte. NetSenX oggi non ha un rapporto SOC 2; il SOC 2 Type I è in preparazione.

Un rapporto Type 1 verifica se i controlli sono progettati in modo adeguato e attivi in una certa data; un rapporto Type 2 verifica anche se hanno funzionato efficacemente per un periodo, di solito diversi mesi. Il Type 1 risponde a “ha i controlli giusti in questa data?”, il Type 2 a “hanno davvero funzionato per tutto il tempo?”, ed è per questo che i clienti che dipendono da un fornitore di solito lo preferiscono. Un Type 2 richiede prove raccolte per l’intero periodo: riesami degli accessi fatti nei tempi, modifiche approvate prima del rilascio, incidenti gestiti come prevede la procedura, alert di monitoraggio esaminati. Spesso un’azienda parte dal Type 1 per sistemare la progettazione, poi gestisce i controlli e raccoglie le prove per un Type 2. Leggendo l’uno o l’altro, controlli le date, il perimetro, i criteri coperti e ogni eccezione elencata dal revisore, e chieda come è stata corretta. NetSenX dichiara apertamente la propria situazione: il SOC 2 Type I è in preparazione, non è stato emesso alcun rapporto SOC 2 di nessun tipo, e un Type II seguirebbe quando i controlli avranno funzionato per un periodo.

Dipende soprattutto da chi sono i Suoi clienti e da che cosa chiedono. La ISO/IEC 27001 è una certificazione internazionale del sistema di gestione, molto riconosciuta in Europa e negli appalti pubblici; il SOC 2 è un rapporto di attestazione basato su principi di revisione statunitensi, diffuso nella vendita di software in Nord America. A molte medie imprese europee si chiede prima la ISO 27001, mentre chi vende software negli Stati Uniti incontra questionari SOC 2. Entrambi esaminano in gran parte gli stessi controlli, quindi il lavoro di fondo si sovrappone molto: valutazione dei rischi, controllo degli accessi, gestione delle modifiche, gestione dei fornitori, risposta agli incidenti, registrazione e monitoraggio. Se un giorno Le serviranno entrambi, costruisca un unico insieme di controlli e lo colleghi a ciascun quadro invece di gestire due programmi. Prima di iniziare chieda ai clienti e prospect più importanti che cosa accettano, verifichi se per ora basti un questionario di sicurezza compilato e definisca un perimetro abbastanza ristretto da arrivare in fondo. Nessuno dei due sostituisce gli obblighi NIS2. NetSenX oggi non ha né l’uno né l’altro: SOC 2 Type I e ISO/IEC 42001 sono in preparazione.

La ISO/IEC 42001 è la norma internazionale per un sistema di gestione dell’intelligenza artificiale: politiche, ruoli, valutazioni dei rischi e controlli con cui un’organizzazione sviluppa, fornisce o usa l’IA in modo responsabile. Segue la stessa struttura di sistema di gestione della ISO/IEC 27001, quindi chi ha già un SGSI riconoscerà il ciclo di contesto, leadership, pianificazione, attività operative, valutazione e miglioramento. Ciò che è specifico dell’IA è il contenuto: valutare l’impatto dei sistemi di IA sulle persone e sulla società, gestire i dati di addestramento e di test, documentare i sistemi lungo il ciclo di vita, definire la sorveglianza umana e trattare i componenti di IA di terzi. Può essere certificata da un organismo accreditato. Non è l’AI Act dell’UE, e possederla non dimostra da sola il rispetto dei suoi requisiti, ma gran parte del lavoro di governo che richiede li sostiene. Per un’azienda che si limita a usare strumenti di IA, un sistema completo può essere eccessivo; un inventario, una policy d’uso e la formazione del personale sono un buon inizio. NetSenX si sta preparando alla ISO/IEC 42001; la certificazione non è stata rilasciata.

La IEC 62443 è una serie di norme internazionali sulla sicurezza dei sistemi di automazione e controllo industriale, cioè la tecnologia operativa (OT) che governa macchine, impianti e sistemi degli edifici. Ripartisce le responsabilità tra i proprietari degli impianti che gestiscono i sistemi, gli integratori che li installano in un sito e i fornitori di prodotti che fabbricano i componenti, e fissa requisiti specifici per ciascuno. Le idee centrali sono dividere la rete dell’impianto in zone con collegamenti controllati tra loro, detti condotti; fissare per ogni zona livelli di sicurezza obiettivo in base alla minaccia; e mantenere la sicurezza per l’intero ciclo di vita, dalla progettazione alla dismissione. Le serve se la chiedono clienti, assicuratori o autorità del Suo settore, o se costruisce o fornisce componenti industriali; molti operatori la usano anche come struttura per la propria sicurezza OT senza puntare alla certificazione. Il monitoraggio di rete si sposa con la sua attenzione a sapere che cosa comunica con che cosa tra le zone. Dal piano Pro NetSenX legge in modo passivo Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm e non interroga mai i dispositivi OT; non è un sistema di sicurezza funzionale e non agisce sul processo.

Non automaticamente, anche se copre gran parte del terreno. La ISO/IEC 27001 offre un sistema di gestione basato sul rischio e controlli che si sovrappongono molto alle misure di gestione dei rischi di cibersicurezza richieste da NIS2, come gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, controllo degli accessi e crittografia. Ma NIS2 è legge e il certificato riguarda una norma volontaria, e in alcuni punti differiscono. NIS2 prevede una propria notifica degli incidenti per fasi a un’autorità nazionale ai sensi dell’articolo 23, obblighi specifici per gli organi di gestione, tra cui formazione e responsabilità, una registrazione presso l’autorità e norme nazionali che possono andare oltre. Inoltre un certificato copre solo il perimetro dichiarato, che può escludere proprio i servizi a cui si applica NIS2. Usi il Suo SGSI come spina dorsale: colleghi ogni misura NIS2 ai Suoi controlli, colmi le lacune come la procedura di notifica e la formazione dei vertici e si assicuri che il perimetro includa ogni servizio interessato. Verifichi la legge nazionale di recepimento e se rinvia a norme tecniche. NetSenX segue le scadenze di notifica NIS2 per incidente; non valuta il Suo certificato né la Sua posizione rispetto a NIS2.

Soprattutto nei controlli su registrazione e attività di monitoraggio, e in quelli su sicurezza delle reti e gestione degli incidenti che li circondano. Nell’edizione 2022 dell’allegato, la registrazione (8.15) chiede di produrre, proteggere e analizzare registri delle attività, e le attività di monitoraggio (8.16) chiedono di monitorare reti, sistemi e applicazioni per individuare comportamenti anomali e intervenire. Il rilevamento di rete fornisce prove dirette per entrambi. Sostiene anche la sicurezza delle reti (8.20), mostrando quali dispositivi comunicano tra segmenti, e i controlli di gestione degli incidenti, offrendo un punto di partenza datato per valutare gli eventi, rispondere e raccogliere prove. Ne beneficia anche l’inventario degli asset, perché una mappa di rete mostra dispositivi che non sono nel Suo elenco. Il monitoraggio non copre diritti di accesso, backup, sviluppo sicuro né contratti con i fornitori, quindi non forzi la corrispondenza. Nella dichiarazione di applicabilità indichi lo strumento, i segmenti coperti, chi esamina gli alert e dove sono conservate le registrazioni. La mappa di rete, lo storico degli alert e il registro di audit di NetSenX, in ogni piano, e i report di conformità in PDF, dal piano Starter, possono servire come prove.

Oggi no, e lo diciamo apertamente. NetSenX non ha un certificato ISO/IEC 27001 né un rapporto SOC 2. SOC 2 Type I e ISO/IEC 42001 sono in preparazione: il lavoro è in corso e nulla è stato rilasciato; aggiorneremo questa pagina quando un organismo indipendente emetterà qualcosa di verificabile. Ciò che può verificare già ora: l’accordo sul trattamento dei dati pubblicato sul sito, con l’elenco dei sub-responsabili e delle loro sedi; dove sono conservati i dati dei clienti, con il database in Irlanda e l’API a Francoforte e Parigi; la pagina sulla sicurezza; e la nostra politica di divulgazione responsabile delle vulnerabilità. Rispondiamo ai questionari di sicurezza, e se il Suo processo di acquisto richiede un certificato che non possiamo ancora fornire, ce lo dica presto, così potrà decidere con tutte le informazioni invece di scoprirlo tardi. Alcuni nostri sub-responsabili hanno certificazioni proprie, indicate nell’accordo sul trattamento dei dati; riguardano i loro servizi, non NetSenX. Se un fornitore dichiara un certificato, chieda il certificato stesso, il suo perimetro e l’organismo che lo ha emesso, e lo verifichi presso quell’organismo.

È un quadro gratuito del National Institute of Standards and Technology (NIST) statunitense che descrive i risultati di cibersicurezza a cui un’organizzazione dovrebbe mirare, organizzati nelle funzioni Govern, Identify, Protect, Detect, Respond e Recover. La versione 2.0 ha aggiunto Govern, che comprende strategia, ruoli, politiche, gestione del rischio e rischio della catena di approvvigionamento, e ha esteso il quadro dalle infrastrutture critiche a organizzazioni di ogni dimensione e settore. Non è una certificazione e non impone strumenti; Lei descrive il profilo attuale, stabilisce un profilo obiettivo e pianifica come colmare il divario, mentre i livelli di attuazione descrivono la maturità dell’approccio. Le aziende europee lo usano come struttura chiara anche se non è diritto dell’UE, spesso insieme alla ISO/IEC 27001 e a NIS2, con cui si collega bene. Il rilevamento di rete rientra soprattutto in Detect, tramite monitoraggio continuo e analisi degli eventi avversi, e sostiene Respond con informazioni su ciò che è accaduto. NetSenX copre una parte di Detect nei segmenti osservati: beaconing, scansioni, movimento laterale e volumi in uscita insoliti, in ogni piano. Govern, Protect e Recover richiedono altre misure.

L’IT-Grundschutz è la metodologia di sicurezza dell’Ufficio federale tedesco per la sicurezza informatica (BSI), molto usata da enti pubblici e aziende in Germania. Si compone di standard BSI che descrivono come costruire un sistema di gestione della sicurezza delle informazioni, determinare le esigenze di protezione e trattare i rischi, e di un compendio di moduli con requisiti concreti per componenti tipici come server, reti, applicazioni, edifici e processi. Invece di ripartire da zero con ogni analisi dei rischi, si modella l’ambiente con i moduli pertinenti e se ne applicano i requisiti, analizzando i rischi a parte solo dove le esigenze di protezione sono elevate o nessun modulo è adatto. Tramite il BSI si può ottenere una certificazione ISO 27001 basata sull’IT-Grundschutz, che unisce i due approcci. È dettagliata e può risultare onerosa per una piccola azienda, ma i suoi moduli sono una checklist gratuita e pratica anche senza puntare alla certificazione, e aiutano con gli obblighi NIS2 tedeschi derivanti dal BSIG. I moduli sulla rete contengono requisiti di registrazione e rilevamento per cui il monitoraggio di rete fornisce prove. NetSenX non valuta la conformità al Grundschutz.

Una certificazione è la decisione di un organismo accreditato che Lei rispetta una norma, documentata in un certificato; un rapporto di attestazione è il giudizio di un revisore sui Suoi controlli, con il dettaglio di ciò che è stato verificato. La ISO/IEC 27001 funziona per certificazione: un organismo di certificazione accreditato verifica il sistema di gestione, rilascia un certificato per un perimetro definito e continua a controllarlo con audit di sorveglianza fino alla ricertificazione. Il SOC 2 funziona per attestazione: un revisore indipendente verifica i controlli rispetto a criteri e redige un rapporto con il proprio giudizio e le eventuali eccezioni, che Lei condivide sotto accordo di riservatezza. In pratica un certificato è facile da verificare e confrontare ma dice poco dei dettagli; un rapporto dice molto di più ma va letto, compresi perimetro, periodo, eccezioni e controlli che spettano a Lei. Entrambi valgono solo se il loro perimetro riguarda il servizio che acquista. Diffidi dei fornitori che presentano un’autovalutazione, una policy o una verifica di preparazione di un consulente come l’uno o l’altro. NetSenX oggi non ha né l’uno né l’altro; SOC 2 Type I e ISO/IEC 42001 sono in preparazione.

Parta dal perimetro e dalle prove, non dai documenti fini a se stessi. Fissi prima il perimetro: quale organizzazione, sedi, servizi e sistemi coprirà il certificato, scelti in modo che contino per i clienti e si possa arrivare in fondo. Poi svolga il lavoro centrale richiesto dalla norma: valutazione e piano di trattamento dei rischi, dichiarazione di applicabilità, politiche e procedure obbligatorie, ruoli assegnati, sensibilizzazione del personale e controlli che funzionano davvero. Li lasci funzionare abbastanza a lungo da produrre registrazioni, come riesami degli accessi, approvazioni delle modifiche, ticket degli incidenti, verifiche dei fornitori e riesami del monitoraggio, perché gli auditor verificano prove di funzionamento, non intenzioni. Svolga un audit interno e un riesame della direzione prima dell’audit esterno e corregga ciò che emerge. Gli audit di certificazione si svolgono di solito in due fasi: prima un esame della documentazione e della preparazione, poi una valutazione del funzionamento reale del sistema. Scelga un organismo di certificazione accreditato e tenga separato il consulente che La aiuta dall’auditor. Per i controlli di monitoraggio, la mappa di rete, lo storico degli alert, il registro di audit e i report di conformità in PDF di NetSenX possono far parte delle Sue prove; NetSenX non verifica né certifica nulla.