Framework di conformità

La conformità consiste nel soddisfare i requisiti di sicurezza stabiliti da leggi, regolamenti o standard di settore. I framework forniscono alle organizzazioni un insieme strutturato e riconosciuto di controlli da implementare e dimostrare.

La conformità non coincide con la sicurezza, ma un buon framework favorisce miglioramenti concreti.

ISO/IEC 27001 è uno standard internazionale per un ISMS (Information Security Management System). Si basa sul rischio: si identificano i rischi, si selezionano i controlli dall'Annex A e si migliora continuamente.

• La certificazione viene rilasciata da auditor accreditati.
• L'attenzione è rivolta al processo di gestione, non soltanto alla tecnologia.

SOC 2 (System and Organization Controls) è un report di attestazione, comune per i provider SaaS, basato sui Trust Services Criteria dell'AICPA: sicurezza, disponibilità, integrità dell'elaborazione, riservatezza e privacy.

• Tipo I: controlli progettati in un determinato momento.
• Tipo II: controlli che operano efficacemente nell'arco di un periodo.

PCI DSS (Payment Card Industry Data Security Standard) si applica a qualsiasi organizzazione che conservi, elabori o trasmetta dati dei titolari di carte. È prescrittivo e prevede requisiti concreti.

• Crittografi i dati dei titolari di carte e utilizzi la segmentazione della rete.
• Limiti gli accessi in base al principio del need-to-know.
• Esegua regolarmente test e attività di monitoraggio.

Incontrerà anche:

• GDPR: protezione dei dati e privacy nell'UE.
• HIPAA: dati sanitari negli Stati Uniti.
• NIST CSF / 800-53: framework e catalogo di controlli statunitensi.

Molti requisiti si sovrappongono, quindi i controlli possono essere mappati tra framework diversi.

I framework si collocano lungo uno spettro:

• Basato sul rischio (ISO 27001): si scelgono controlli proporzionati ai propri rischi.
• Prescrittivo (PCI DSS): requisiti obbligatori specifici, indipendentemente dal contesto.

Conoscere la tipologia indica quanto margine si ha per adattare i controlli.

Definire l'ambito è il primo passo pratico. L'ambito stabilisce a quali sistemi, dati e processi si applica il framework.

Per PCI DSS, la segmentazione può ridurre l'ambito e i costi isolando i sistemi che gestiscono i dati dei titolari di carte dal resto della rete.

I framework organizzano i requisiti in controlli, spesso raggruppati in famiglie come controllo degli accessi, crittografia, logging e risposta agli incidenti.

Ogni controllo richiede un responsabile, un'implementazione e prove del suo funzionamento.

Gli output differiscono a seconda del framework:

• Certificazione (ISO 27001): un certificato con esito positivo o negativo rilasciato da un organismo accreditato.
• Attestazione (SOC 2): un report con il giudizio di un auditor, condiviso in base a un NDA.
• Validazione (PCI DSS): un AOC e/o un ROC emesso da un QSA.

La conformità non è un evento una tantum. Gli standard richiedono un'operatività continua, una rivalutazione periodica e un miglioramento costante.

• ISO 27001 richiede audit di sorveglianza.
• SOC 2 Tipo II copre un periodo di diversi mesi.
• PCI DSS richiede scansioni trimestrali e una valutazione annuale.

La maggior parte delle organizzazioni deve rispettare contemporaneamente diversi framework. Crei una mappatura dei controlli affinché un unico controllo ben implementato, ad esempio l'MFA, soddisfi contemporaneamente il requisito corrispondente in ISO 27001, SOC 2 e PCI DSS, evitando duplicazioni del lavoro.

Associare ogni framework alla sua natura.

I framework di conformità strutturano e dimostrano la sicurezza:

• ISO 27001 = certificazione di un ISMS basato sul rischio.
• SOC 2 = attestazione dei Trust Services per i provider di servizi.
• PCI DSS = standard prescrittivo per i dati dei titolari di carte.
• Definisca l'ambito, assegni i responsabili dei controlli e mappi i controlli sovrapposti per una maggiore efficienza.