Audit di sicurezza e verifiche di conformità

Gli audit di sicurezza vanno dalle autovalutazioni interne, che utilizzano i framework come checklist, agli audit esterni condotti da terze parti indipendenti. Gli audit di conformità verificano l’aderenza a standard specifici (PCI-DSS, ISO 27001, HIPAA). I penetration test forniscono garanzia tecnica. Ognuno ha uno scopo diverso.

Definisca con precisione l’ambito dell’audit: quali sistemi, processi e controlli rientrano nell’ambito, il periodo oggetto di valutazione, i framework di controllo applicabili e il pubblico di riferimento (la direzione interna o un organismo di certificazione esterno). Le modifiche all’ambito incidono sui costi, sulle tempistiche e sull’applicabilità dei rilievi.

Gli auditor raccolgono tre tipi di evidenze: documentazione (policy, procedure e guide alla configurazione), osservazione (configurazioni dei sistemi e analisi guidate dei processi) e test (tentativi di attivare i controlli e revisione dei log). Le evidenze devono essere sufficienti, affidabili e pertinenti per ogni controllo valutato.

Le policy di sicurezza definiscono l’intento; le procedure definiscono come implementare le policy. Gli auditor verificano che: le policy esistano e siano approvate, le procedure siano aggiornate e vengano seguite, i registri della formazione dimostrino la consapevolezza del personale e i processi per le eccezioni documentino le deviazioni approvate.

I controlli tecnici vengono verificati mediante un esame diretto: si esaminano i set di regole del firewall, si testano i tentativi di bypass dell’MFA, si verificano i livelli delle patch, si sottopongono ad audit le appartenenze ai gruppi di Active Directory, si controllano le configurazioni di cifratura e si verifica che il ripristino dei backup funzioni. La documentazione dei controlli non è sufficiente: i controlli devono essere testati.

SOC 2 è un audit dei Trust Services Criteria condotto da società di revisione CPA. Il Type I valuta la progettazione dei controlli in un dato momento. Il Type II valuta la progettazione e l’efficacia operativa nell’arco di 6-12 mesi. Le aziende SaaS producono report SOC 2 Type II per la due diligence dei clienti.

PCI-DSS richiede una valutazione annuale per merchant e service provider. I Qualified Security Assessors (QSA) conducono valutazioni in loco di tutti i 12 requisiti. La riduzione dell’ambito tramite la segmentazione di rete riduce al minimo l’ambiente dei dati dei titolari di carta e la complessità della valutazione.

I rilievi sono violazioni dei controlli che richiedono interventi correttivi. Le osservazioni sono opportunità di miglioramento che non indicano un’attuale violazione dei controlli. Ogni rilievo include: condizione (ciò che è), criterio (ciò che dovrebbe essere), causa (perché), effetto (impatto) e raccomandazione (come risolvere).

Crei un Plan of Action and Milestones (POA&M) per ogni rilievo, indicando il responsabile, la data obiettivo, i controlli compensativi temporanei e lo stato. Monitori mensilmente i progressi degli interventi correttivi. Gli auditor esaminano lo stato del POA&M nelle valutazioni di follow-up o durante la successiva revisione annuale.

Gli audit annuali sono insufficienti negli ambienti dinamici. Il monitoraggio continuo della conformità con AWS Config, Azure Policy o strumenti CSPM commerciali fornisce lo stato di conformità in tempo reale. Inoltri i rilievi al SIEM per generare alert sulle variazioni della conformità tra un ciclo di audit e l’altro.

Preparazione pre-audit: esegua una valutazione interna della preparazione, organizzi le evidenze in una piattaforma di gestione degli audit, informi i responsabili dei controlli sul processo di valutazione, colmi le lacune note prima dell’arrivo degli auditor e designi un unico punto di contatto per coordinare in modo efficiente le richieste di evidenze.

Gli audit di sicurezza forniscono una garanzia indipendente del fatto che i controlli siano progettati e operino in modo efficace. La raccolta delle evidenze, il test dei controlli tecnici, il monitoraggio degli interventi correttivi e il monitoraggio continuo della conformità tra gli audit annuali contribuiscono insieme a creare un solido programma di conformità, in grado di soddisfare clienti, autorità di regolamentazione e gestione interna del rischio.