Che cos'è il NIST 800-161? Guida e suggerimenti per la conformità

NIST 800-161 - identificato anche come NIST Special Publication (SP) 800-161 - è stato pubblicato nell'aprile 2015 come Supply Chain Risk Management Practices for Federal Information Systems and Organizations. Nel maggio 2022, un anno dopo l'ordine esecutivo del presidente Biden sul miglioramento della sicurezza informatica della nazione, il NIST ha prodotto una versione rivista, NIST 800-161 rev. 1 Pratiche di gestione del rischio della catena di approvvigionamento della sicurezza informatica per sistemi e organizzazioni. La revisione ha aggiunto un focus sulla sicurezza informatica e ha eliminato la specificità delle agenzie federali dal titolo.

Il NIST è il National Institute of Standards and Technology del Dipartimento del Commercio degli Stati Uniti, che mira a migliorare la sicurezza economica e la qualità della vita attraverso l'innovazione. Dal punto di vista della sicurezza informatica, il NIST mira ad aiutare l'industria, le agenzie federali e il pubblico sviluppando standard, best practice e risorse di sicurezza informatica.

Questo quadro di sicurezza informatica del NIST aiuta le agenzie federali preoccupate per le potenziali minacce legate ai prodotti e ai servizi delle tecnologie dell'informazione e della comunicazione (ICT), tra cui una cattiva gestione della configurazione, vulnerabilità che gli hacker potrebbero sfruttare o punti deboli nella sicurezza informatica dei fornitori di terze parti, come il modo in cui gestiscono l'autenticazione e il controllo degli accessi.

Sebbene le agenzie governative e i fornitori federali abbiano utilizzato il framework per migliorare la loro consapevolezza della sicurezza informatica, le strategie di risposta agli incidenti e le pratiche di mitigazione del rischio, il documento rivisto è abbastanza flessibile da essere utilizzato da organizzazioni di qualsiasi settore.

Chi può utilizzare NIST SP 800-161 Rev. 1?

Con le linee guida NIST SP 800-161 rev. 1, un'organizzazione dispone di un quadro di riferimento per esaminare qualsiasi parte di una catena di approvvigionamento e identificare, valutare e mitigare i rischi per la sicurezza informatica. NIST SP 800-161 rev. 1 integra la gestione del rischio della catena di approvvigionamento della sicurezza informatica (C-SCRM) e la gestione del rischio, aiutando le aziende a formulare direttive, strategie, piani di implementazione, politiche e valutazioni del rischio della catena di approvvigionamento per prodotti e servizi.

Non si tratta di una tabella di marcia verso un livello di capacità concordato, ma le organizzazioni di tutte le dimensioni e strutture possono adattare le linee guida per implementare sufficienti attività di gestione del rischio della catena di approvvigionamento e garantire che soddisfino i requisiti minimi di sicurezza per proteggere se stessi, i loro clienti e i loro partner commerciali.

Chiunque abbia le seguenti responsabilità può utilizzare le linee guida:

Sicurezza delle informazioni
Processi di gestione della privacy o del rischio
Sviluppo del sistema
Gestione di progetto
Acquisizione e approvvigionamento di prodotti e servizi
Logistica
Implementazione della sicurezza e della privacy
Valutazione della sicurezza e della privacy
Servizi commerciali che supportano la sicurezza delle informazioni o la privacy

I seguenti ruoli organizzativi sono esempi di stakeholder che potrebbero trarre vantaggio dall'utilizzo della linea guida NIST 800-161 rev. 1:

Imprenditori
Responsabili del programma
Responsabili dell'informazione
Chief Information Security Officer (CISO)
Ingegneri di sistema
Sviluppatori hardware e software
Funzionari addetti all'acquisizione e all'approvvigionamento
Funzionari appaltanti
Project manager certificati
Ingegneri della privacy
Gestori di proprietà
Amministratori di sistema
Responsabili della sicurezza del sistema o della privacy
Verificatori indipendenti
Conti

Il NIST 800-161 è obbligatorio?

Sì, la conformità con le pubblicazioni NIST è richiesta per le agenzie federali. Per le organizzazioni non governative, tuttavia, l'utilizzo del framework di sicurezza informatica NIST è volontario.

Qual è la differenza tra NIST SP 800-53 e NIST SP 800-161?

La serie NIST 800 descrive la politica degli Stati Uniti sulla sicurezza informatica e sull'infrastruttura di rete. NIST SP 800-53 fornisce una panoramica di tutte le garanzie di sicurezza minime necessarie per raggiungere la sicurezza delle informazioni con questo framework.

NIST 800-161 è complementare a NIST 800-53. Incorpora la gestione dei rischi della catena di approvvigionamento ICT, fornendo indicazioni aggiornate sull'identificazione, la valutazione e la risposta ai rischi della catena di approvvigionamento in tutta l'organizzazione.

Quindi il NIST 800-53 riassume le prime mosse per le aziende che desiderano sviluppare o migliorare i programmi di sicurezza informatica con il framework di sicurezza informatica NIST. Una volta che un'organizzazione ha implementato il NIST 800-53, può utilizzare il NIST 800-161 per maturare la sicurezza della propria catena di approvvigionamento.

Qual è la differenza tra NIST SP 800-161 e NIST SP 800-171?

La principale differenza tra NIST SP 800-161 e NIST SP 800-171 è che NIST 800-171 è specificamente adattato alla regolamentazione delle agenzie federali e delle terze parti correlate sulla gestione delle informazioni non classificate controllate (CUI). Sebbene la CUI non sia una "informazione classificata" o un'informazione che viene considerata una minaccia per la sicurezza nazionale se esposta, incorpora comunque tutti i dati sensibili del governo che il governo gestisce.

NIST 800-161 viene utilizzato principalmente per definire e gestire i rischi della catena di approvvigionamento che possono interessare un'organizzazione. Entrambe le pubblicazioni possono essere utilizzate insieme se le entità all'interno della catena di fornitura gestiscono la CUI e, pertanto, devono rispettarne le regole.

Rischi della catena di approvvigionamento

Il NIST generalmente considera la gestione del rischio della catena di approvvigionamento (SCRM) e la gestione del rischio della catena di approvvigionamento informatica (C-SCRM) - che si sovrappongono alla sicurezza delle informazioni tradizionale - lo stesso concetto. L'esplorazione delle linee guida NIST 800-161 rev. 1 può aiutare le aziende interessate ai rischi della catena di approvvigionamento ICT o alla ricerca di informazioni sulla sicurezza della catena di approvvigionamento e su quest'area della gestione del rischio.

Definizione della catena di approvvigionamento

I processi aziendali quotidiani che portano alla creazione, alla distribuzione o alla vendita di prodotti e servizi si basano in genere su forniture di altre aziende, indipendentemente dal fatto che si tratti di prodotti, servizi o materie prime.

La supply chain potrebbe essere semplice per una piccola azienda, ma le operazioni a livello aziendale tendono ad avere un ecosistema di supply chain complesso di parti interconnesse, in genere con un'ampia distribuzione geografica, in particolare con fornitori di servizi IT che non devono essere vincolati dalla posizione geografica.

Una supply chain, quindi, si riferisce all'insieme collegato di processi e risorse necessarie ai vari livelli di un'impresa. Inizia con l'approvvigionamento di prodotti e servizi e continua per tutto il ciclo di vita del prodotto o del servizio.

Grazie alle comunicazioni, alle tecniche di produzione e alla logistica avanzate, le organizzazioni possono ottenere riduzioni significative dei costi e altri vantaggi grazie alla condivisione delle informazioni e alla corretta gestione delle catene di approvvigionamento. Ad esempio, le soluzioni software open source o pronte all'uso possono aiutare le aziende di tutti i settori a essere più convenienti.

Tuttavia, la moltitudine di soluzioni e strade all'interno della catena di approvvigionamento aumenta anche il rischio potenziale. Inoltre, i rischi per la sicurezza digitale nella catena di fornitura del software possono essere difficili da rilevare fino a quando non hanno un impatto sull'acquirente o sull'utente.

Che cos'è il rischio della catena di approvvigionamento?

Il rischio della supply chain preoccupa le aziende perché è più difficile comprendere e mitigare le vulnerabilità di terze parti rispetto ai problemi diretti di un'organizzazione. I problemi di sicurezza di un'organizzazione esistono anche all'interno delle organizzazioni dei fornitori di terze parti, ma vedere questi problemi e assicurarsi che vengano affrontati è più difficile poiché sono esterni all'organizzazione. Identificare e valutare la resilienza, la sicurezza, la qualità e la protezione di un fornitore di soluzioni di terze parti è una sfida.

È essenziale considerare e chiarire che anche i fornitori hanno catene di approvvigionamento. Ciò significa che la sicurezza di un'azienda non è influenzata solo dalle vulnerabilità dei suoi fornitori, ma anche dalle vulnerabilità dei suoi fornitori. Un attacco informatico può verificarsi in un'organizzazione o in diversi livelli più a valle della sua catena di approvvigionamento. Questo rischio, tuttavia, necessita di analisi, valutazione, mitigazione e pianificazione di emergenza.

Scopri di più sugli attacchi alla supply chain. >

In che modo il NIST 800-161 aiuta le organizzazioni

L'attenzione del NIST 800-161 sui controlli della supply chain aiuta le organizzazioni a maturare le loro pratiche di sicurezza informatica e le avvantaggia in diverse aree chiave:

Gestione efficace del rischio
Valutazione dei fornitori di software
Valutazione del software open source

1. Gestione del rischio

Le linee guida del NIST 800-161 sono rivolte alle organizzazioni pubbliche più grandi, ma gli obiettivi generali per tutte le aziende saranno simili: sviluppare, implementare e perfezionare il monitoraggio e ridurre il rischio della catena di approvvigionamento.

Secondo le linee guida, la gestione del rischio funziona meglio quando coinvolge persone di vari processi aziendali importanti. È improbabile che limitare la gestione del rischio di sicurezza informatica al personale tecnico o di sicurezza fornisca soluzioni solide a livello aziendale.

Spetta all'organizzazione decidere se sviluppare la struttura di gestione del rischio esistente o creare un team separato per concentrarsi sulla supply chain. In ogni caso, le organizzazioni dovrebbero considerare la strategia, le operazioni e le tattiche.

L'Appendice D del NIST 800-161 aiuta gli utenti a iniziare con la strategia e la stesura dei documenti politici. Le sue sei sezioni, come segue, sono particolarmente utili per la C-suite e i gestori di sistema, come sviluppatori e ingegneri.

Autorità e conformità
Obiettivi della strategia
Piano di implementazione e monitoraggio dei progressi
Ruoli e responsabilità
Definizioni
Revisione e manutenzione

Inoltre, il NIST offre quattro pratiche chiave per rimanere al passo con le minacce con una gestione continua del rischio.

Inquadramento del rischio: questo aiuta l'organizzazione a decidere cosa intende per rischio e come stimare la propria posizione di sicurezza considerando l'attuale panorama delle minacce. L'organizzazione deve anche considerare le minacce e le aree aziendali a cui dare la priorità.
Valutazione del rischio: questa considerazione aiuta le organizzazioni a capire la probabilità di essere influenzate dai rischi identificati e la significatività del danno.
Risposta al rischio - Dopo aver identificato e dato priorità ai rischi, è il momento di implementare strategie per mitigare tali problemi.
Monitoraggio del rischio - NIST 800-161 evidenzia questo passaggio cruciale nelle pratiche di gestione del rischio. Monitorando le sue strategie di mitigazione del rischio, l'azienda può ottenere preziose informazioni su come si posiziona rispetto al panorama delle minacce informatiche in evoluzione.

2. Valutazione dei fornitori di software

La valutazione dei fornitori di software è fondamentale per garantire che il software utilizzato dalle organizzazioni federali non presenti vulnerabilità esposte. Al contrario, gli sviluppatori possono rilasciare software sapendo che deve essere patchato per garantire affidabilità e sicurezza.

L'introduzione di un nuovo software può essere un'attività ad alto rischio. NIST 800-161 aiuta le organizzazioni a lavorare con i fornitori di software, a partire dalla fase di approvvigionamento e attraverso il ciclo di vita del prodotto.

Le linee guida contengono una lista di controllo completa a tal fine, che include i seguenti passaggi:

Indagine sui fornitori in termini di proprietà, controllo o influenza straniera (FOCI)
Alla ricerca di una distinta base, un elenco completo delle risorse fisiche necessarie per produrre un prodotto finale: dall'ordine esecutivo di Biden nel 2021, le organizzazioni che lavorano con le agenzie federali devono fornire una distinta base
Verifica della presenza e dell'allineamento dei controlli di sicurezza delle informazioni
Verificare che il software open source sia stato controllato prima dell'uso

3. Mitigazione dei rischi derivanti dal software open source

Secondo la Linux Foundation, il software libero e open source (FOSS) costituisce tra il 70% e il 90% delle moderne soluzioni software.

NIST 800-161 aiuta le organizzazioni ad acquisire e utilizzare software open source secondo standard utili per proteggere la sicurezza delle informazioni. Una delle sue raccomandazioni è che le organizzazioni utilizzino fonti approvate e verificate per il software open source per limitare l'esposizione ai rischi di sicurezza informatica attraverso questa parte della catena di approvvigionamento digitale.

Specifica che le organizzazioni devono istruirsi e seguire le migliori pratiche stabilite dalla comunità del software open source, tra cui la gestione della configurazione, la manutenzione dei progetti e le procedure relative alle librerie riutilizzabili che limitano l'esposizione ai rischi di sicurezza informatica.

Pratiche chiave di gestione del rischio della catena di approvvigionamento informatico (C-SCRM)

Una volta che un'azienda ha raggiunto un livello base di maturità della sicurezza informatica, utilizzando gli standard NIST o uno o più altri framework affidabili, come ISO 27001, può utilizzare il NIST 800-161 per concentrarsi sulla gestione dei rischi della catena di approvvigionamento informatico, concentrandosi sulle pratiche essenziali della pubblicazione, tra cui:

Formalizzazione del C-SCRM
Rendere il C-SCRM a livello aziendale
Identificazione e gestione di prodotti, servizi e fornitori critici
Valutazione e monitoraggio dell'intera catena di fornitura
Collaborazione con fornitori critici

Il NIST 800-161 aiuta le aziende a gestire i rischi della catena di approvvigionamento con una guida attraverso tre tipi di pratiche distinte:

Pratiche di base
Sostenere le pratiche
Migliorare le pratiche

Pratiche di base

Le linee guida NIST 800-161 dimostrano di apprezzare le sfide che le organizzazioni devono affrontare per migliorare la sicurezza informatica della supply chain. Le sue pratiche fondamentali sono molte e varie, ognuna delle quali aiuta le aziende a muoversi in modo incrementale verso una migliore sicurezza informatica della catena di approvvigionamento e pratiche di sicurezza informatica della catena di approvvigionamento più avanzate.

Le pratiche fondamentali suggerite dal NIST 800-161 includono quanto segue:

Aumentare la consapevolezza dell'importanza vitale del C-SCRM
Allocazione di risorse sufficienti per la sicurezza delle informazioni e C-SCRM
Creazione di un team C-SCRM
Integrazione del C-SCRM nelle policy organizzative
Integrazione del C-SCRM nelle politiche di acquisizione/approvvigionamento
Implementazione di un processo di gestione del rischio, compresa la valutazione del rischio a livello aziendale
Identificare e misurare la criticità di prodotti, servizi e fornitori
Dare priorità al rischio dei fornitori
Definizione di ruoli e processi collaborativi per la supply chain e la cybersecurity
Definizione delle procedure di controllo qualità e di verifica interna
Implementazione di un programma di gestione degli incidenti in grado di identificare gli incidenti di sicurezza che hanno origine nella supply chain digitale

Sostenere le pratiche

C'è una certa sovrapposizione tra queste e le pratiche fondamentali. Le aziende dovrebbero concentrarsi maggiormente sul sostegno alle pratiche che hanno raggiunto la competenza con le pratiche di base, pronte a portare il C-SCRM al livello successivo.

Le pratiche di sostegno del NIST 800-161 includono:

Valutazione dei fornitori critici tramite valutazioni di terze parti, visite in loco e certificazioni formali
Definire la tolleranza dell'organizzazione al rischio in modo che le parti interessate possano prendere decisioni in linea con la posizione di sicurezza dell'organizzazione e il suo atteggiamento nei confronti dei rischi della catena di approvvigionamento
Collaborazione con il Federal Acquisition Security Council (FASC) per condividere le conoscenze sui rischi della catena di approvvigionamento informatico
Considerare il C-SCRM (evidenziato da politiche e processi documentati) in ogni fase del ciclo di vita del servizio e del prodotto
Includere le considerazioni C-SCRM nella formazione organizzativa, inclusa, a titolo esemplificativo ma non esaustivo, la formazione relativa alla sicurezza delle informazioni, alla gestione del rischio, alle risorse umane e all'approvvigionamento
Comunicare i requisiti e il punto di vista dell'azienda sul C-SCRM ai suoi fornitori attuali e futuri
Lavorare con la catena di approvvigionamento dell'organizzazione per migliorare la sicurezza informatica in tutto
Utilizzo delle metriche C-SCRM per valutare e migliorare l'efficacia di tutte le politiche, procedure e attività

Migliorare le pratiche

Questa fase delle pratiche C-SCRM si riferisce allo spostamento di un'organizzazione in una posizione in cui può prevedere i rischi della catena di approvvigionamento e adattarsi rapidamente. Pertanto, è compito delle organizzazioni con pratiche C-SCRM più mature, che hanno seguito pratiche fondamentali e di sostegno per un certo periodo di tempo.

Le pratiche di miglioramento includono:

Automazione dei processi C-SCRM per rifocalizzare le risorse su altre attività critiche C-SCRM
Esecuzione di analisi quantitative dei rischi per rendere le valutazioni dei rischi più accurate e la gestione dei rischi più efficace
Utilizzo delle informazioni dettagliate per adattarsi ai cambiamenti previsti nel rischio della catena di approvvigionamento informatica

Controlli di sicurezza del programma SCRM ICT

Secondo il NIST, i controlli di sicurezza mirano a proteggere la riservatezza, l'integrità e la disponibilità dei sistemi informativi e delle informazioni che elaborano, archiviano e trasmettono. Il NIST 800-53 descrive 19 famiglie di controlli di sicurezza per aiutare le organizzazioni a utilizzare le tecniche di valutazione dei controlli SCRM.

Lo standard normativo NIST 800-53 fornisce i controlli minimi accettabili per la sicurezza delle informazioni richiesti per tutti i sistemi informativi e le organizzazioni federali degli Stati Uniti. I vantaggi dell'utilizzo di questo modello includono la sua flessibilità, le misure standardizzate che aiutano le organizzazioni a confrontare e misurare le loro attività e la sua capacità di migliorare le posizioni di sicurezza dei sistemi informativi.

Utilizzato con NIST SP 800-161, fornisce una linea di base che aiuta le organizzazioni a comprendere le loro attuali posizioni di sicurezza, a dare priorità alle aree che richiedono un'attenzione urgente e a misurare l'efficacia dei loro programmi di gestione del rischio.

1. Controllo degli accessi

La famiglia di controlli di accesso riguarda le linee guida per l'implementazione dei criteri che regolano i privilegi di accesso a reti, sistemi e dispositivi. Un corretto controllo degli accessi può ridurre drasticamente il rischio di una violazione dei dati e altri rischi legati alla supply chain digitale di un'organizzazione.

2. Formazione di sensibilizzazione

La formazione sulla consapevolezza guida le organizzazioni nella definizione e nell'implementazione della formazione e dell'istruzione per la consapevolezza informatica e i metodi per rendere la formazione sulla sicurezza informatica una strategia sostenibile per ridurre i rischi informatici.

La formazione è essenziale per rafforzare la prima linea di un'azienda contro gli attacchi informatici. Assicurando che la formazione sulla consapevolezza sia una parte fondamentale della strategia di sicurezza informatica di un'azienda, gli utenti possono identificare le minacce alla privacy dei dati e alla sicurezza del sistema. Inoltre, miglioreranno la posizione di sicurezza di un'azienda essendo in grado di rispondere alle minacce informatiche in modo tempestivo e appropriato.

3. Audit e responsabilità

La registrazione degli eventi è una parte importante di qualsiasi sistema di sicurezza informatica. I registri aiutano i professionisti della sicurezza informatica a identificare le posizioni e le fonti dei problemi durante un incidente informatico, come una violazione o una fuga di dati.

Con registri adeguati, è possibile determinare chi ha avuto accesso ai dati interessati, chi stava utilizzando il sistema al momento dell'incidente e se l'attività insolita si è verificata sulla rete. Gli audit dei registri, quindi, aiutano a mitigare le violazioni e altri problemi di sistema, oltre a essere una risorsa per la responsabilità.

4. Valutazione, autorizzazione e monitoraggio

Questa serie di controlli aiuta le aziende a migliorare continuamente le politiche, le procedure e i sistemi di sicurezza informatica. Aiuta le organizzazioni a valutare la loro attuale maturità in materia di sicurezza informatica e a perfezionare le loro pratiche. I criminali informatici sono alla continua ricerca di vulnerabilità e modi per sfruttarle. Questa famiglia aiuta le organizzazioni a rimanere aggiornate per limitare il potenziale impatto delle minacce emergenti.

5. Gestione della configurazione

Una configurazione errata può portare a vulnerabilità significative nei sistemi di sicurezza informatica. Attraverso un database configurato in modo errato, ad esempio, gli utenti potrebbero essere in grado di trovare dati sensibili con una semplice ricerca sul Web, senza autenticazione.

Questo set di controlli aiuta le organizzazioni a definire i criteri di gestione della configurazione per garantire che non si verifichi un evento del genere.

Tra le problematiche, questo insieme di controlli affronta è la gestione dei dispositivi sconosciuti. Le organizzazioni richiedono politiche scritte relative al modo in cui trattano dispositivi sconosciuti e non controllati per proteggere l'integrità dei sistemi informativi.

6. Pianificazione di emergenza

Nella sicurezza informatica, la pianificazione di emergenza comporta la preparazione a potenziali guasti del sistema e violazioni dei dati. Mentre molte pratiche di sicurezza informatica si concentrano sulla prevenzione degli attacchi informatici, la pianificazione di emergenza aiuta le organizzazioni a funzionare anche dopo che è accaduto il peggio.

Questi controlli aiutano le organizzazioni a creare piani di emergenza formali che le aiutino a ripristinare le normali operazioni nel modo più rapido ed efficiente possibile. I sistemi con cui ciò si ottiene includono il backup dei dati e l'uso di soluzioni di archiviazione basate su cloud.

In questa fase vengono presi in considerazione anche siti alternativi, quindi questi gruppi di controllo aiutano le aziende ad affrontare la possibilità di doversi trasferire a causa di un incidente. Aiutano inoltre le aziende a creare politiche e procedure per testare i piani di emergenza, che è essenziale per la loro attuazione efficace ed efficiente durante una crisi.

7. Identificazione e autenticazione

Questi controlli riguardano l'identificazione sia degli utenti che dei loro dispositivi. L'identificazione degli utenti avviene in genere tramite un nome utente o un indirizzo e-mail e fornisce informazioni su chi è nel sistema.

L'autenticazione è spesso, ma non esclusivamente, gestita da password. Altre forme di autenticazione includono il riconoscimento vocale e la scansione delle impronte digitali.

I controlli di sicurezza per l'identificazione e l'autenticazione possono aiutare a migliorare le politiche di gestione degli utenti per proteggere i dati sensibili in modo più efficace.

8. Risposta agli incidenti

Questo insieme di controlli aiuta le organizzazioni con la formazione e altri preparativi per un incidente di sicurezza informatica. Include standard per la creazione di un piano di risposta agli incidenti documentato. Ciò dovrebbe comprendere incidenti specifici che potrebbero verificarsi e avere un impatto sull'organizzazione, come identificato e valutato durante il processo di gestione del rischio.

Gli incidenti specifici possono includere un attacco ransomware, una violazione dei dati da parte di un insider o un attacco DDoS (Distributed Denial-of-Service). Le aziende avranno rischi primari diversi a seconda delle dimensioni, del settore, della posizione e di altre variabili.

9. Manutenzione

I controlli di manutenzione della sicurezza informatica si riferiscono alla manutenzione di software e hardware. Gli aggiornamenti garantiscono che il software sia aggiornato e che l'hardware sia completamente funzionante, prevenendo i tempi di inattività e offrendo la possibilità di correggere le vulnerabilità.

Una corretta manutenzione richiede una politica di audit software e hardware per garantire che la manutenzione non sia lasciata al caso. La politica di manutenzione dovrebbe identificare chi è responsabile della manutenzione e le sue responsabilità principali.

10. Protezione dei media

I controlli di protezione dei file multimediali si riferiscono ai criteri relativi al modo in cui un'organizzazione utilizza i file multimediali e alla modalità di archiviazione dei file. Deve coprire come e quando vengono distrutti. Questa serie di controlli aiuta le organizzazioni a stabilire procedure scritte per garantire la protezione dei dati, impedendo che le cose scivolino tra le fessure, il che potrebbe portare a fughe di dati o violazioni dei dati.

11. Protezione fisica e ambientale

La mitigazione delle minacce attraverso politiche e procedure di sicurezza fisica è fondamentale, ma a volte viene eclissata dalle soluzioni software quando le organizzazioni migliorano la loro sicurezza informatica.

Le protezioni fisiche e ambientali includono:

Chiusura delle porte
Utilizzo di telecamere a circuito chiuso
Implementazione di un sistema di badge per il personale e i visitatori

Questa famiglia di controlli aiuta le organizzazioni a monitorare i propri visitatori per controllare l'accesso fisico e assiste le organizzazioni nel dettagliare la risposta prevista alle minacce fisiche. Queste risposte potrebbero includere il trasferimento in strutture alternative o il passaggio a fonti di alimentazione di emergenza.

La sicurezza fisica e la protezione dell'ambiente sono considerazioni essenziali per la sicurezza informatica perché possono mitigare le vulnerabilità e aiutare a limitare l'accesso alle informazioni più sensibili.

12. Pianificazione

In questo caso, la pianificazione si concentra sulle organizzazioni sui piani per la sicurezza delle informazioni e la privacy dei dati. È un passaggio essenziale prima dell'implementazione di qualsiasi nuovo sistema in quanto aiuta le organizzazioni a determinare le esigenze e le aspettative, massimizzando l'efficacia e riducendo al minimo i costi e le interruzioni. I controlli di pianificazione si estendono all'architettura, alla gestione e alla configurazione della rete.

13. Gestione del programma

La gestione dei programmi esamina la sicurezza delle informazioni, la gestione dei rischi e la pianificazione delle infrastrutture critiche. Il punto cruciale è che non è sufficiente creare documenti che coprano queste aree, anche se alcune aziende si fermano qui, sentendo di aver soddisfatto i loro requisiti di sicurezza informatica.

14. Sicurezza del personale

Questa serie di controlli esamina il personale di un'organizzazione e il modo in cui influisce sulla sicurezza informatica. La minaccia interna proviene da chiunque abbia (o abbia avuto) l'accesso autorizzato alle risorse di un'organizzazione o la conoscenza di tali risorse, come i sistemi informativi, le credenziali di accesso e il personale.

Sebbene gran parte della sicurezza informatica possa essere rivolta all'esterno, è essenziale mitigare i potenziali rischi derivanti da malintenzionati all'interno dell'organizzazione. Questi controlli riconoscono che dipendenti diversi hanno esposizioni diverse al rischio e diverse esigenze di accesso alle informazioni. La famiglia aiuta le organizzazioni a sviluppare politiche e procedure sufficienti per quanto riguarda il personale per proteggere la sicurezza delle informazioni.

15. Trattamento e trasparenza delle informazioni di identificazione personale (PII)

L'utilizzo delle PII è diventato una necessità per la maggior parte delle aziende moderne, ma la perdita di PII in una violazione dei dati può essere dannosa in termini di perdite finanziarie e perdita di reputazione. Questa famiglia essenziale aiuta le organizzazioni ad affrontare il rischio di raccogliere, archiviare e trasmettere PII, concentrandosi sui modi per ridurre il rischio associato a queste informazioni sensibili. Questi controlli aiutano le organizzazioni a proteggere i dati gestendo le informazioni personali attraverso il consenso e le politiche sulla privacy.

16. Valutazione del rischio

Valutare le vulnerabilità dei sistemi e stimarne la probabilità e il potenziale impatto è fondamentale per sviluppare o migliorare la sicurezza informatica. Non tutti i rischi sono uguali, a seconda di molteplici fattori, come le dimensioni dell'azienda, il settore e la posizione geografica. La posizione geografica è importante perché alcune aree sono più soggette ad attacchi informatici specifici rispetto ad altre.

Con una comprensione dei rischi esistenti, della loro probabilità e del loro potenziale impatto, le organizzazioni possono stabilire le priorità e determinare procedure realistiche di risposta al rischio.

17. Acquisizione di sistemi e servizi

Questo insieme di famiglie di controllo si riferisce all'allocazione delle risorse e alla creazione di processi di acquisizione sicuri.

L'integrazione di nuovi sistemi e dispositivi richiede attenzione. Le organizzazioni devono proteggere l'infrastruttura esistente evitando l'introduzione di nuove minacce, come malware preesistenti e problemi di configurazione. Per raggiungere questo obiettivo è necessaria un'implementazione attenta e controllata per garantire una sicurezza continua.

Questo set di controlli è particolarmente utile perché consente di garantire l'integrità dei dati a livello di sistema. Indica anche la formazione per garantire che questo aspetto critico della sicurezza informatica avvenga in sicurezza, i test per le vulnerabilità e il monitoraggio continuo del sistema.

18. Protezione del sistema e delle comunicazioni

L'implementazione e la gestione dei dispositivi collaborativi è il compito di questa famiglia di controlli di sicurezza informatica. Aiuta le organizzazioni a sviluppare regole per stabilire la protezione dei confini, il controllo degli accessi, le partizioni e le restrizioni sull'utilizzo. La famiglia di controlli per la protezione dei sistemi e delle comunicazioni aiuta inoltre le organizzazioni a gestire l'implementazione della crittografia.

19. Integrità del sistema e delle informazioni

Questi controlli aiutano a mantenere l'integrità dei sistemi informativi proteggendoli da malware e altri attacchi che possono compromettere i sistemi informativi. Il monitoraggio a livello di sistema è necessario per garantire l'integrità in ogni momento.

20. Gestione del rischio della catena di approvvigionamento

Il rischio della supply chain è il rischio di un'organizzazione non solo nei confronti dei fornitori (rischio di terze parti), ma anche dei fornitori dei loro fornitori (rischio di quarta). Capire l'entità dei rischi di terze e quarte parti può essere una sfida significativa.

Questa serie di controlli aiuta le aziende a valutare i propri fornitori e a gestire e mitigare i rischi associati. Aiuterà le aziende a sviluppare o implementare modi per ispezionare i sistemi e i componenti della catena di approvvigionamento ed eseguire la gestione del rischio di terze parti essenziali.