Aree di controllo ISO/IEC 27001
Criteri di audit per gli ambiti concordati di gestione della sicurezza delle informazioni e dei relativi controlli; non costituiscono una certificazione.
Audit IT
Audit di sicurezza IT
Un audit con un ambito definito confronta i controlli documentati e quelli in esercizio con i criteri concordati. Individua lacune e priorità di miglioramento, ma non conferisce di per sé alcuna certificazione.
Perimetro della valutazione
Cosa viene testato
La copertura definitiva dei test viene concordata durante la definizione dell'ambito ed è limitata ai sistemi per i quali è stata fornita un'autorizzazione scritta.
Governance della sicurezza e responsabilità delle risorse
Gestione delle identità e degli accessi
Configurazione sicura e controllo delle modifiche
Gestione delle vulnerabilità e delle patch
Registrazione dei log, monitoraggio, backup e ripristino
Processi di gestione dei fornitori, degli incidenti e della continuità operativa
Flusso operativo dell'incarico
Controllato dall'autorizzazione al nuovo test.
01
Ambito e autorizzazione
Definisca obiettivi, sistemi approvati, vincoli, finestre di test, contatti e regole di ingaggio.
02
Analisi preliminare
Definisca la superficie di attacco autorizzata, l'architettura, i ruoli utente, gli asset e i criteri di valutazione applicabili.
03
Test controllati
Valutare il perimetro approvato utilizzando metodi manuali e tecnici adeguati all'ambiente.
04
Validazione
Confermare i risultati in sicurezza, eliminare i falsi positivi e determinare l'impatto concreto sul piano tecnico e aziendale.
05
Reportistica
Riceva risultati supportati da evidenze, valutazioni del rischio, una sintesi per la direzione e le priorità di correzione.
06
Revisione degli interventi correttivi
Esamini le azioni correttive proposte e chiarisca le priorità di implementazione con il team di valutazione.
07
Nuovo test
Verifichi le correzioni concordate e registri se ciascuna criticità sottoposta a test è stata risolta, mitigata o rimane aperta.
Riferimenti per la valutazione
Standard e linee guida di settore
CIS Controls
Misure di protezione ordinate per priorità e verifica delle evidenze relative ai controlli tecnici e operativi.
NIST Cybersecurity Framework
Contesto dei rischi e delle capacità nelle funzioni Governare, Identificare, Proteggere, Rilevare, Rispondere e Ripristinare.
CIS Benchmarks
Criteri di configurazione per i sistemi selezionati, ove inclusi nell'ambito.
Gli standard orientano l'ambito e la copertura dei test. Una valutazione non costituisce di per sé una certificazione né garantisce la conformità.
Reportistica
Cosa riceverà
Dichiarazione dell'ambito e dei criteri di audit
Rilievi supportati da evidenze
Registro delle lacune nei controlli e dei rischi
Piano di miglioramento ordinato per priorità
Briefing per la direzione e successiva revisione
Definisca un ambito di test appropriato.
Discuta con DIGITPOL i sistemi, gli obiettivi, il livello di accesso e le evidenze richieste.