Selezione dei controlli di sicurezza e gap analysis

I controlli preventivi bloccano le minacce prima che si concretizzino (firewall, controllo degli accessi, crittografia). I controlli detective identificano le minacce che si sono già verificate (IDS, logging, audit). I controlli correttivi riducono l'impatto dopo un incidente (backup, piani di risposta agli incidenti, patch). La difesa a più livelli richiede tutti e tre i tipi.

I controlli coprono più dimensioni: fisica (serrature, telecamere), tecnica (firewall, MFA) e amministrativa (policy, formazione). Per un determinato rischio, selezioni controlli complementari appartenenti a più categorie: un controllo tecnico supportato da una policy amministrativa e dalla sicurezza fisica crea una reale difesa in profondità.

Selezioni controlli proporzionati al rischio. Calcoli il rischio residuo: rischio intrinseco meno efficacia del controllo. I rischi ad alta probabilità e alto impatto giustificano controlli costosi. I rischi a bassa probabilità e basso impatto possono essere accettati senza controlli. Documenti la motivazione del trattamento del rischio.

NIST 800-53 Rev 5 contiene più di 1.000 controlli organizzati in 20 famiglie (AC, AU, CA, CM, ecc.). Le agenzie federali e gli appaltatori devono implementare le baseline previste (Low/Moderate/High). Il catalogo è il riferimento più completo disponibile per i controlli tecnici.

La gap analysis confronta lo stato attuale della sicurezza con la baseline di un framework di riferimento. Fasi: (1) documentare i controlli attualmente implementati, (2) mapparli ai controlli del framework, (3) identificare i controlli non implementati o implementati parzialmente, (4) stabilire la priorità delle lacune in base al rischio, (5) creare una roadmap di remediation.

Quando un controllo ideale non è attuabile (per motivi di costo, vincoli operativi o sistemi legacy), implementi controlli compensativi che ottengano una riduzione equivalente del rischio tramite modalità alternative. Documenti la motivazione del controllo compensativo per gli auditor e per l'accettazione del rischio.

I controlli devono essere testati: non si deve presumere che funzionino. Testi i controlli preventivi provando a eseguire l'azione bloccata. Testi i controlli detective simulando l'evento e verificando il rilevamento. Testi i controlli correttivi svolgendo esercitazioni tabletop e simulazioni di ripristino.

I CIS Critical Security Controls (18 controlli) sono salvaguardie pratiche e prioritarie. Gli Implementation Groups (IG1/IG2/IG3) vanno dall'igiene di base per le piccole organizzazioni ai controlli più sofisticati per le aziende. IG1 offre le protezioni di base con il maggiore impatto per una sicurezza minima praticabile.

Gli output della gap analysis diventano una roadmap di maturità: stabilisca le priorità in base alla riduzione del rischio per dollaro investito, raggruppi i controlli in sprint trimestrali, monitori i progressi rispetto alle tappe della maturità e riferisca i progressi agli stakeholder dirigenziali usando il linguaggio del rischio aziendale anziché il gergo tecnico.

La gestione dei rischi di terze parti richiede la valutazione dei controlli presenti nella supply chain. Questionari di sicurezza, report SOC 2, certificati ISO 27001 e riepiloghi dei penetration test forniscono prove dell'efficacia dei controlli dei fornitori. Per i fornitori ad alto rischio possono essere necessarie valutazioni in loco.

I controlli si degradano nel tempo: i livelli delle patch diminuiscono, le configurazioni cambiano e i diritti di accesso si accumulano. Il monitoraggio continuo dei controlli tramite strumenti automatizzati di conformità (AWS Config, Azure Policy, SCC) mantiene uno stato dei controlli in tempo reale, anziché uno snapshot puntuale ottenuto dagli audit annuali.

Qual è la differenza tra i controlli di sicurezza preventivi e quelli di rilevamento?

La selezione dei controlli associa i rischi identificati ai controlli preventivi, di rilevamento e correttivi appropriati, nelle categorie fisica, tecnica e amministrativa. L’analisi dei gap identifica i controlli mancanti rispetto alle baseline dei framework, mentre una roadmap basata sulla priorità dei rischi guida il miglioramento sistematico verso una maturità della sicurezza misurabile.