Audit di sicurezza

Un audit di sicurezza è una valutazione sistematica del livello con cui un'organizzazione soddisfa i propri controlli e le proprie policy di sicurezza. Confronta lo stato effettivo con uno standard definito e documenta le lacune.

Gli audit valutano i controlli; da soli non risolvono i problemi.

Questi termini si sovrappongono, ma indicano attività diverse:

• Audit: verifica i controlli rispetto a uno standard, sulla base di evidenze.
• Penetration test: sfrutta attivamente le vulnerabilità per dimostrarne l'impatto.
• Valutazione del rischio: stima la probabilità e l'impatto delle minacce.

Gli audit hanno due possibili origini:

• Interni: eseguiti dal proprio team per garantire continuamente la sicurezza e prepararsi alle verifiche.
• Esterni: eseguiti da auditor indipendenti, necessari per la certificazione e per dare fiducia agli stakeholder.

Un audit tipico segue fasi ben definite:

• Pianificazione: definire ambito e obiettivi.
• Attività sul campo: raccogliere e verificare le evidenze.
• Reportistica: documentare i risultati e i livelli di gravità.
• Risoluzione: correggere le lacune e verificarne la risoluzione.

L'ambito mantiene l'audit focalizzato e delimitato. Specifichi quali sistemi, sedi, processi e periodi di tempo sono inclusi.

Obiettivi chiari, ad esempio la convalida dei controlli dell'Annex A di ISO 27001, indicano agli auditor quali evidenze raccogliere e quali caratteristiche debba avere una situazione conforme.

Gli auditor raccolgono prove dell'esistenza e dell'operatività dei controlli:

• Esportazioni delle configurazioni e screenshot.
• Log e revisioni degli accessi.
• Policy e approvazioni firmate.
• Colloqui con i responsabili dei controlli.

Gli auditor verificano i controlli in due modi:

• Progettazione: il controllo è in grado di raggiungere il proprio obiettivo?
• Efficacia operativa: ha funzionato effettivamente durante il periodo considerato?

Il campionamento è comune: si esamina un sottoinsieme rappresentativo dei record anziché esaminarli tutti.

Ogni lacuna diventa un risultato, valutato in base al rischio. Una scala coerente aiuta a stabilire le priorità.

• Critico / Alto: urgente, sfruttabile o tale da impedire la conformità.
• Medio: da risolvere al più presto.
• Basso / Osservazione: suggerimento secondario o di hardening.

I risultati devono portare ad azioni concrete. Monitori ciascuno di essi in un registro delle attività di risoluzione, indicando un responsabile, un piano e una scadenza.

• Assegni la responsabilità.
• Stabilisca scadenze realistiche in base alla gravità.
• Verifichi la correzione, ripetendo il test, prima di chiudere il risultato.

Per evitare conflitti di interesse, un auditor non dovrebbe valutare attività che ha svolto personalmente. L'indipendenza, soprattutto negli audit esterni, rende il risultato credibile per clienti e autorità di regolamentazione.

I programmi moderni affiancano agli audit periodici il monitoraggio continuo: verifiche automatizzate che segnalano quasi in tempo reale le deviazioni da una baseline sicura, riducendo le sorprese durante l'audit formale.

Distinguere un audit da un penetration test.

Gli audit di sicurezza valutano quanto i controlli soddisfino uno standard:

• Gli audit sono diversi dai penetration test e dalle valutazioni del rischio.
• Segua il ciclo di vita: pianificazione, attività sul campo, reportistica e risoluzione.
• Raccolga le evidenze, verifichi la progettazione e l'operatività e valuti i risultati.
• Monitori le attività di risoluzione e mantenga indipendenti gli auditor.