Guida OWASP ai test di sicurezza IoT
Struttura dei test su dispositivo, firmware, comunicazioni, interfacce e componenti dell'ecosistema.
Test di penetrazione
Test di penetrazione per IoT e sistemi connessi
Una valutazione su misura dell'ecosistema di dispositivi autorizzato, che comprende il prodotto, le interfacce locali, le comunicazioni e i componenti cloud o mobili di supporto inclusi nell'ambito concordato.
Perimetro della valutazione
Cosa viene testato
La copertura definitiva dei test viene concordata durante la definizione dell'ambito ed è limitata ai sistemi per i quali è stata fornita un'autorizzazione scritta.
Interfacce dei dispositivi e servizi esposti
Gestione del firmware e segreti incorporati
Autenticazione e autorizzazione
Meccanismi di aggiornamento e ripristino
Protocolli radio, di rete e applicativi
Servizi mobili, web e cloud associati
Flusso operativo dell'incarico
Controllato dall'autorizzazione al nuovo test.
01
Ambito e autorizzazione
Definisca obiettivi, sistemi approvati, vincoli, finestre di test, contatti e regole di ingaggio.
02
Analisi preliminare
Definisca la superficie di attacco autorizzata, l'architettura, i ruoli utente, gli asset e i criteri di valutazione applicabili.
03
Test controllati
Valutare il perimetro approvato utilizzando metodi manuali e tecnici adeguati all'ambiente.
04
Validazione
Confermare i risultati in sicurezza, eliminare i falsi positivi e determinare l'impatto concreto sul piano tecnico e aziendale.
05
Reportistica
Riceva risultati supportati da evidenze, valutazioni del rischio, una sintesi per la direzione e le priorità di correzione.
06
Revisione degli interventi correttivi
Esamini le azioni correttive proposte e chiarisca le priorità di implementazione con il team di valutazione.
07
Nuovo test
Verifichi le correzioni concordate e registri se ciascuna criticità sottoposta a test è stata risolta, mitigata o rimane aperta.
Riferimenti per la valutazione
Standard e linee guida di settore
ETSI EN 303 645
Requisiti di sicurezza di base per i dispositivi IoT di consumo, utilizzati come riferimento per l'audit ove applicabile.
Serie NISTIR 8259
Indicazioni sulle capacità di sicurezza informatica dei dispositivi e sulle attività del produttore.
Gli standard orientano l'ambito e la copertura dei test. Una valutazione non costituisce di per sé una certificazione né garantisce la conformità.
Reportistica
Cosa riceverà
Copertura dei componenti e dei confini di fiducia
Risultanze convalidate relative al dispositivo e all'ecosistema
Evidenze e impatto concreto
Indicazioni tecniche per la correzione
Piano del nuovo test
Definisca un ambito di test appropriato.
Discuta con DIGITPOL i sistemi, gli obiettivi, il livello di accesso e le evidenze richieste.