Controlli, audit e certificazione

Scegliere un framework è la parte più semplice. Il lavoro difficile consiste nell'implementare i controlli e poi nel dimostrare che funzionano attraverso gli audit e, ove richiesto, nell'ottenere la certificazione.

Questa lezione illustra il percorso pratico: come si presentano concretamente i controlli, quali tipi di evidenze si aspettano gli auditor, come si svolge il processo di audit e che cosa un certificato significa e non significa.

I controlli rientrano in tre categorie classiche, in base al modo in cui riducono il rischio:

• Preventivi — impediscono che si verifichi un incidente (MFA, firewall, principio del privilegio minimo).
• Detective — rivelano un incidente mentre è in corso o a posteriori (logging, avvisi SIEM, monitoraggio dell'integrità dei file).
• Correttivi — ripristinano i sistemi e limitano i danni dopo un incidente (backup, applicazione delle patch, risposta agli incidenti).

Un programma solido combina tutti e tre i tipi; affidarsi solo alla prevenzione significa restare senza visibilità quando la prevenzione fallisce.

I controlli vengono classificati anche in base alla loro natura:

• Amministrativi — politiche, procedure, formazione, riesami degli accessi.
• Tecnici — implementati nella tecnologia: crittografia, controllo degli accessi, logging.
• Fisici — serrature, lettori di badge, strutture protette.

Gli auditor verificano la copertura di tutti e tre gli ambiti. Un controllo tecnico perfetto, vanificato da una politica che nessuno segue, non è un controllo effettivo.

Gli auditor valutano i controlli sotto due aspetti:

• Efficacia della progettazione — se funziona come previsto, il controllo è in grado di affrontare il rischio?
• Efficacia dell'operatività — funziona davvero e in modo coerente per un certo periodo di tempo?

Un controllo può essere ben progettato sulla carta, ma fallire nell'operatività (ad esempio, una revisione dei log che in realtà nessuno esegue). Le evidenze devono dimostrare entrambi gli aspetti.

Gli audit si basano sulle evidenze. Per ogni controllo è necessario dimostrarne il funzionamento. Ecco alcuni documenti tipici:

• Registrazioni delle revisioni degli accessi che dimostrano la ricertificazione trimestrale.
• Log e ticket che dimostrano che gli avvisi sono stati analizzati.
• Esportazioni della configurazione che dimostrano l'applicazione della crittografia o dell'MFA.
• Registrazioni del completamento della formazione.

Gli auditor eseguono verifiche a campione. Scelgono un controllo, chiedono prove relative a un determinato periodo e ne seguono il percorso completo.

Esistono due livelli di audit:

• Audit interno — l'organizzazione, o un auditor interno incaricato, riesamina il proprio ISMS per individuare le lacune prima dell'audit esterno. È richiesto da ISO 27001.
• Audit esterno / di certificazione — un organismo accreditato e indipendente valuta l'organizzazione ai fini del rilascio del certificato.

Gli audit interni sono una prova generale. Individuare prima le proprie non conformità è molto meno costoso che lasciare che sia l'organismo di certificazione a trovarle.

La certificazione ISO 27001 si svolge in due fasi:

• Fase 1 — riesame della documentazione. L'auditor verifica che i documenti dell'ISMS, l'ambito, la politica, la valutazione dei rischi e la SoA esistano e siano coerenti.
• Fase 2 — audit di implementazione. L'auditor verifica che i controlli siano effettivamente operativi attraverso interviste, esame a campione delle evidenze e osservazione.

Superate entrambe le fasi, si riceve il certificato, generalmente valido per tre anni e soggetto a sorveglianza continua.

Gli audit producono rilievi, classificati in base alla gravità:

• Non conformità maggiore — un controllo è assente o presenta un malfunzionamento fondamentale; impedisce la certificazione finché non viene risolta.
• Non conformità minore — una carenza che non compromette l'intero sistema; richiede un piano di azioni correttive.
• Osservazione / opportunità di miglioramento — ha valore consultivo e non costituisce una mancata conformità.

Si risponde con un piano di azioni correttive: causa principale, correzione e prevenzione del ripetersi del problema.

La certificazione non è permanente. I certificati ISO 27001 seguono un ciclo:

• Audit di sorveglianza — solitamente annuali, verifiche più rapide per accertare che l'ISMS sia ancora operativo.
• Audit di ricertificazione — una rivalutazione completa, generalmente ogni tre anni.

In questo modo si garantisce che l'ISMS continui a funzionare. Se si lasciano decadere i controlli tra un audit e l'altro, si rischia di perdere il certificato alla successiva visita di sorveglianza.

I team più maturi evitano la corsa dell'ultimo minuto prima dell'audit perseguendo la compliance continua: raccolgono automaticamente le evidenze e mantengono i controlli sempre pronti per l'audit.

• Automatizzare la raccolta delle evidenze (revisioni degli accessi, snapshot della configurazione) secondo una pianificazione.
• Monitorare in tempo reale la deriva dei controlli, ad esempio quando un bucket S3 viene reso pubblico.
• Considerare la compliance uno stato continuo, non un progetto annuale.

È anche in questo ambito che gli strumenti SOAR e di automazione della compliance dimostrano il loro valore, trasformando gli audit puntuali in una garanzia continua.

A volte un controllo richiesto non può essere realmente implementato nella forma prevista; ad esempio, un sistema legacy potrebbe non supportare MFA. I framework consentono di usare controlli compensativi: un'alternativa che raggiunge lo stesso obiettivo di rischio.

• Documentare il motivo per cui il controllo originale non è attuabile.
• Descrivere l'alternativa (ad es. un rigoroso isolamento di rete insieme a un monitoraggio potenziato del sistema legacy).
• Dimostrare che riduce il rischio a un livello equivalente.

Gli auditor accettano i controlli compensativi quando la motivazione e la riduzione equivalente del rischio sono chiaramente comprovate, non semplicemente dichiarate.

Analizzi l'efficacia dei controlli dal punto di vista di un auditor.

Controlli, audit e certificazione:

• I controlli sono preventivi, di rilevamento o correttivi in base alla funzione, e amministrativi, tecnici o fisici in base alla natura; è necessario combinarli tutti su più livelli.
• Gli auditor valutano sia l'efficacia della progettazione sia quella operativa; il funzionamento richiede evidenze raccolte in un determinato periodo.
• Gli audit interni individuano le lacune prima dell'audit esterno di certificazione, che si svolge in due fasi: Stage 1 (documentazione) e Stage 2 (implementazione).
• I rilievi vanno dalle non conformità maggiori e minori alle osservazioni; occorre rispondere con piani di azioni correttive.
• I certificati richiedono audit di sorveglianza e di ricertificazione; per mantenersi sempre pronti per l'audit è necessario perseguire la compliance continua.