Centro di conoscenza
Centro di conoscenza sui test di penetrazione e sugli audit IT.
Scopra cosa comprende ciascun tipo di valutazione della sicurezza autorizzata, quali aree vengono esaminate, le linee guida utilizzate e i contenuti del rapporto finale.
Test di penetrazione
Cosa include un test di penetrazione della rete
Ambito, copertura dei test, linee guida di settore, evidenze e rendicontazione per le valutazioni delle reti interne ed esterne.
Leggi l'articoloTest di penetrazione
Cosa include un test di penetrazione delle applicazioni web
Una guida pratica alla definizione dell'ambito delle applicazioni web, ai test autenticati, alla revisione della logica di business e al rapporto finale.
Leggi l'articoloTest di penetrazione
Cosa include un test di penetrazione delle applicazioni mobili
Copertura di applicazioni iOS e Android, archiviazione sui dispositivi, controlli della piattaforma, comunicazioni, API e rendicontazione.
Leggi l'articoloTest di penetrazione
Cosa include un test di penetrazione delle API
Come vengono definiti l'ambito, i test, le evidenze e la rendicontazione per le interfacce REST, GraphQL e di servizio.
Leggi l'articoloTest di penetrazione
Cosa include un test di penetrazione del cloud
Descrizione della copertura di identità cloud, carichi di lavoro, archiviazione, rete, registrazione dei log, percorsi di acquisizione dei privilegi e rendicontazione.
Leggi l'articoloTest di penetrazione
Cosa include un test di penetrazione delle reti wireless
Spiegazione della crittografia wireless, dell'autenticazione, dell'isolamento, degli scenari di accesso non autorizzato e della rendicontazione della valutazione.
Leggi l'articoloTest di penetrazione
Cosa include un test di penetrazione di Active Directory
Architettura delle identità, privilegi, relazioni di trust, credenziali, percorsi di attacco, hardening e reportistica in un'unica guida.
Leggi l'articoloTest di penetrazione
Cosa include un test di penetrazione IoT
Approfondimenti su dispositivi, firmware, interfacce, comunicazioni, servizi connessi e segnalazioni relative alla sicurezza dei prodotti.
Leggi l'articoloAudit IT
Cosa include un audit di sicurezza informatica
Come vengono strutturati i criteri di audit, le evidenze, le carenze nei controlli, i rischi, le raccomandazioni e la rendicontazione alla direzione.
Leggi l'articoloFattori legislativi e normativi
Come i test supportano il rispetto degli obblighi normativi e contrattuali.
In Europa e negli Stati Uniti, la legislazione e i quadri di riferimento di settore impongono sempre più alle organizzazioni di verificare l'efficacia dei propri controlli di sicurezza. I test di penetrazione autorizzati e gli audit IT forniscono le evidenze documentate richieste dalle autorità di regolamentazione, dagli auditor e dai partner commerciali.
Europa
La normativa europea considera i test di sicurezza parte dell'obbligo di un'organizzazione di proteggere i dati personali e i servizi essenziali.
GDPR, articolo 32
Richiede misure tecniche e organizzative adeguate al rischio, compreso un processo per testare, verificare e valutare regolarmente l'efficacia dei controlli di sicurezza.
Direttiva NIS2
Obbliga i soggetti essenziali e importanti a gestire i rischi informatici e a verificare le misure adottate; i test di penetrazione sono un metodo riconosciuto per dimostrare che i controlli funzionano effettivamente.
DORA
Per le entità finanziarie nell'UE, impone test di resilienza operativa digitale, inclusi penetration test basati sulla threat intelligence per gli istituti designati.
Quadri di riferimento nazionali
Le normative settoriali e nazionali, ad esempio in ambito sanitario, energetico e della pubblica amministrazione, fanno spesso riferimento a test di sicurezza indipendenti come prova della dovuta diligenza.
Stati Uniti
Negli Stati Uniti, gli obblighi derivano dalla normativa federale, dagli standard di settore e dalle leggi statali sulla privacy. Molti prevedono esplicitamente test di penetrazione.
PCI DSS
Il requisito 11 impone test di penetrazione periodici dell'ambiente dei dati dei titolari di carta a qualsiasi organizzazione che conservi, elabori o trasmetta dati delle carte di pagamento.
Norma di sicurezza HIPAA
Richiede ai soggetti interessati di valutare le misure di protezione tecniche; il penetration testing può supportare la valutazione, ma non è esplicitamente imposto da HIPAA.
GLBA / SOX
Le organizzazioni finanziarie e le società quotate devono dimostrare che i controlli sui sistemi finanziari e sulle informazioni dei clienti sono stati sottoposti a test.
Leggi sulla privacy dei singoli Stati
Normative come CCPA/CPRA richiedono procedure di sicurezza ragionevoli; i test documentati sono fondamentali per dimostrare il rispetto di tale requisito.
Quadri di riferimento internazionali
La scelta del framework dipende dai sistemi, dagli impegni contrattuali e dal rischio.
ISO/IEC 27001
Uno standard per la gestione della sicurezza delle informazioni. I test tecnici possono supportare il trattamento del rischio e la valutazione dei controlli.
SOC 2
Un quadro di attestazione dei controlli delle organizzazioni di servizi, non un obbligo universale di penetration testing.
NIST CSF
Un quadro di riferimento per la gestione dei rischi di sicurezza informatica che può orientare gli obiettivi di valutazione e la pianificazione dei miglioramenti.
Questa panoramica fornisce informazioni generali e non costituisce una consulenza legale. Gli obblighi specifici applicabili dipendono dal settore, dai dati trattati e dalle giurisdizioni in cui si opera. DIGITPOL conferma i requisiti applicabili durante la definizione dell'ambito dell'incarico.