CIS Benchmarks
Criteri di revisione della configurazione per la piattaforma cloud e i servizi pertinenti.
Test di penetrazione
Penetration test cloud
Una valutazione dell'ambiente cloud concordato conforme alle politiche del fornitore, che combina la revisione delle configurazioni con verifiche controllate nel rispetto delle politiche di test della piattaforma.
Perimetro della valutazione
Cosa viene testato
La copertura definitiva dei test viene concordata durante la definizione dell'ambito ed è limitata ai sistemi per i quali è stata fornita un'autorizzazione scritta.
Gestione delle identità e degli accessi
Esposizione pubblica e controlli di rete cloud
Autorizzazioni di archiviazione e percorsi dei dati
Carico di lavoro e configurazione del piano di gestione
Segreti e identità di servizio
Registrazione dei log, monitoraggio e percorsi di escalation dei privilegi
Flusso operativo dell'incarico
Controllato dall'autorizzazione al nuovo test.
01
Ambito e autorizzazione
Definisca obiettivi, sistemi approvati, vincoli, finestre di test, contatti e regole di ingaggio.
02
Analisi preliminare
Definisca la superficie di attacco autorizzata, l'architettura, i ruoli utente, gli asset e i criteri di valutazione applicabili.
03
Test controllati
Valutare il perimetro approvato utilizzando metodi manuali e tecnici adeguati all'ambiente.
04
Validazione
Confermare i risultati in sicurezza, eliminare i falsi positivi e determinare l'impatto concreto sul piano tecnico e aziendale.
05
Reportistica
Riceva risultati supportati da evidenze, valutazioni del rischio, una sintesi per la direzione e le priorità di correzione.
06
Revisione degli interventi correttivi
Esamini le azioni correttive proposte e chiarisca le priorità di implementazione con il team di valutazione.
07
Nuovo test
Verifichi le correzioni concordate e registri se ciascuna criticità sottoposta a test è stata risolta, mitigata o rimane aperta.
Riferimenti per la valutazione
Standard e linee guida di settore
CIS Controls
Contesto delle misure di salvaguardia per identità, risorse, configurazione, registrazione degli eventi e protezione dei dati.
Policy dei fornitori relative ai test
Regole e limitazioni pubblicate dal fornitore di servizi cloud interessato.
NIST SP 800-115
Pianificazione e rendicontazione della valutazione tecnica.
Gli standard orientano l'ambito e la copertura dei test. Una valutazione non costituisce di per sé una certificazione né garantisce la conformità.
Reportistica
Cosa riceverà
Registro dell'ambito e dei confini del cloud
Risultati dell'analisi della configurazione e percorsi di attacco convalidati
Analisi delle identità e dell'esposizione
Azioni correttive ordinate per priorità
Report del nuovo test
Definisca un ambito di test appropriato.
Discuta con DIGITPOL i sistemi, gli obiettivi, il livello di accesso e le evidenze richieste.