Security Governance

Pensiamo ad una moderna programmazione e gestione della security che tenga conto di come il rischio viene originato, di quali azioni generano la reazione, e chi per benefici ottenuti e per competenze deve essere responsabilizzato nella gestione. Per poter seguire questa linea serve una cultura diffusa politica ed aziendale della gestione del rischio, il riconoscimento delle diverse complessità di security di attività o iniziative messe in atto, la formazione ed aggiornamento di professionisti che siano in grado di gestire le diverse complessità di security per le quali vengono coinvolti, un metodo condiviso di approccio da parte di tutti i professionisti interessati.

Tratto da: “Complessità di security e gestione del rischio”

Ormai le tecnologie dell’informazione e della comunicazione hanno assunto un ruolo fondamentale nella definizione e nella gestione di processi ed attività all’interno di un’organizzazione. Infatti, grazie alle risorse messe a disposizione da tali tecnologie, i dati e le informazioni possono essere trasmessi, archiviati, elaborati, recuperati e condivisi tra diversi sistemi.

Eseguire queste operazioni significa anche garantire che durante la sua gestione il dato mantenga un set di caratteristiche, quali la confidenzialità, l’integrità e la disponibilità. Rispettando tale combinazione di parametri, è possibile contrastare l’esposizione del dato a rischi, minacce e vulnerabilità, i quali possono provocare una perdita di informazioni e causare così un danno reputazionale a livello aziendale.

Ecco che la “Security Governance” mette a disposizione un insieme di strumenti, processi e tecnologie con cui l’azienda è in grado di eseguire attività di prevenzione, di rilevazione e di risposta ad attacchi informatici. La “Security Governance” non deve essere affrontata solamente dal punto di vista tecnologico, ma è fondamentale anche il coinvolgimento delle persone e la definizione di opportuni processi al fine di:

avere una diffusa cultura aziendale della politica e della gestione del rischio;
riconoscere le diverse complessità di sicurezza insite nelle attività o iniziative messe in atto;
formare ed aggiornare i professionisti per la gestione di tale complessità;
avere una metodologia di approccio che sia condivisa tra tutti i professionisti interessati.

La nostra azienda, certificata ISO 27001, è in grado di supportarvi in tutte le fasi del processo di gestione della sicurezza, in conformità a standard/normative di settore e parallelamente alle vostre strategie di business aziendali.

I nostri professionisti, oltre alla pluriennale esperienza acquisita nella gestione della sicurezza di realtà aziendali di elevata complessità, possiedono anche una profonda conoscenza delle normative e standard del settore (GDPR, PCI DSS, NIST) e certificazioni delle metodologie specifiche (COBIT®, TOGAF®, ISO / IEC 20000, ISO / IEC 27001, CISSP), e una ottima conoscenza delle soluzioni del portafoglio Microfocus, leader di mercato nell’ambito dei processi di Security Governance.

Di seguito una descrizione delle principali aree di interesse della “Security Governance”.

Security Information & Event Management:

una soluzione di Security Information & Event Management (SIEM) permette di rispondere ad una serie di esigenze che interessano l’identificazione di incidenti di sicurezza, di violazioni di policy e di attività fraudolente, la riduzione dei tempi di risposta per la risoluzione di tali minacce, lo svolgimento di analisi di audit al fine di essere compliant ai regolamenti di sicurezza e il supporto per investigazioni sui problemi e malfunzionamenti nei sistemi.

Il raggiungimento di questi obiettivi è garantito da una soluzione SIEM che offra le seguenti funzionalità:

raccolta dati: un SIEM permette il collezionamento in un’unica piattaforma centralizzata dei log provenienti da sorgenti di diversa natura, gestendo l’invio di tali dati o tramite un software agent (agent-based) oppure consentendo alla piattaforma di accedere direttamente al dispositivo che genera i log (agentless);
parsing, filtraggio, aggregazione e normalizzazione: al fine di facilitare le successive fasi di analisi e di interpretazione del contenuto dei log, gli eventi vengono sottoposti ad una serie di processi come l’estrazione di specifiche informazioni, il filtraggio di dati non utili e ridondanti, l’aggregazione di eventi simili, fino alla conversione dei dati originali in un formato standard;
correlazione: analizzando le informazioni contenute nei log, le regole di correlazione permettono di individuare relazioni tra eventi grazie alle quali identificare il verificarsi di possibili anomalie;
reporting, dashboard, notifiche: la reportistica permette di visualizzare il risultato delle analisi, la visualizzazione tramite dashboard fornisce una rappresentazione dei dati in real time e le notifiche, generate al presentarsi di determinati eventi, permettono di segnalare la presenza di una possibile minaccia.

Soluzione leader di mercato:

https://www.microfocus.com/it-it/products/siem-security-information-event-management/overview

Data Protection:

In presenza di un contesto eterogeneo caratterizzato da una crescente mole di dati prodotti, da un continuo trasferimento di dati tra differenti sistemi e da una conseguente loro interazione per lo svolgimento di attività all’interno e all’esterno dell’organizzazione, una soluzione di Data Protection permette di assicurare che non si verifichi una violazione delle informazioni, in quanto il dato viene protetto durante il suo ciclo di vita, dal punto in cui l’informazione viene generata al punto in cui viene trasferita ed utilizzata.

La soluzione di Data Protection deve garantire la protezione dei dati in accordo con i requisiti definiti dai regolamenti e standard come ad esempio il “General Data Protection Regulation” (GDPR) per i dati personali o il “Payment Card Industry Data Security Standard” (PCI DSS) per i dati relativi alle carte di credito.

Le principali tecniche per la protezione del dato si distinguono tra la “pseudonymization” ed “encryption”, dove nel primo caso il valore da proteggere viene sostituito con una stringa di testo generata in modo casuale, mentre nel secondo caso il valore da proteggere viene trasformato in una stringa cifrata. Entrambe le tecniche conservano il formato (evitando così problemi a livello di struttura DB) e sono reversibili, permettendo così sia di neutralizzare possibili violazioni dell’informazione, sia di recuperare tale informazione per attività di analisi.

È importante che una soluzione di Data Protection sia in grado di integrarsi con una soluzione di Identity & Access Management, esercitando così un controllo sull’accesso ai dati sensibili anche in funzione del ruolo che l’utente ha nell’organizzazione.

Soluzione leader di mercato:

https://www.microfocus.com/it-it/products/voltage-data-encryption-security/overview

Identity & Access Management:

in presenza di un contesto aziendale eterogeneo in cui differenti sistemi ed applicazioni non interagiscono tra di loro, l’assenza di uno strumento con cui gestire e monitorare in modo centralizzato il controllo degli accessi sulle singole risorse rischia di portare ad una esposizione di informazioni sensibili verso utenti non autorizzati.

Una soluzione di Identity & Access Management (IAM) permette la definizione di un perimetro entro cui la protezione delle risorse e dei dati viene garantita grazie all’applicazione di un processo che stabilisce quali utenti hanno accesso a determinate risorse e assegna le autorizzazioni in accordo con la separazione dei ruoli, in modo che gli utenti possano visualizzare solamente le informazioni necessarie allo svolgimento delle proprie attività.

Il raggiungimento di questi obiettivi è garantito dal fatto che una soluzione IAM offre le seguenti funzionalità:

memorizzazione delle informazioni degli utenti: le identità digitali degli utenti sono memorizzate e gestite in un repository centralizzato;
provisioning degli utenti e workflow: con il processo di provisioning si intende l’insieme delle operazioni che portano alla gestione dell’identità e dei diritti di accesso in accordo con il ruolo che l’utente ha nell’organizzazione;
workflow di approvazione: a supporto del processo di provisioning, si pone la componente di Workflow con cui questo processo viene automatizzato, in modo da coinvolgere soltanto gli approvatori delle risorse interessate;
autenticazione degli utenti: è il processo con cui viene verificata l’identità dell’utente e di conseguenza viene garantito l’accesso alle risorse interessate soltanto agli utenti autorizzati. Le tecniche di autenticazione spaziano dalla semplice login con username e password a meccanismi più complessi basati sull’utilizzo congiunto di due o più metodi di autenticazione, in cui l’utente è in possesso di “una cosa che conosce” o “una cosa che ha” o “una cosa che è”;
autenticazione avanzata basata sul rischio: la possibilità di configurare l’autenticazione in base al rischio permette di fare in modo che il controllo dell’accesso diventi sensibile al contesto in cui l’utente sta effettuando la richiesta di utilizzo della risorsa, variando in modo dinamico il numero di step di autenticazione richiesti;
single sign-on: l’implementazione della funzionalità single sign-on garantisce di effettuare l’accesso a più sistemi software o risorse alle quali l’utente è abilitato tramite un’unica autenticazione.

Soluzione leader di mercato:

https://www.microfocus.com/en-us/products/netiq-identity-manager/overview

https://www.microfocus.com/en-us/products/netiq-access-manager/overview

Privileged Access Management:

al fine di avere una visione completa degli accessi all’interno di un’organizzazione, è importante che la soluzione IAM sia integrata con la soluzione di Privileged Access Management (PAM), con la quale è possibile rispondere all’esigenza di controllare e monitorare gli accessi privilegiati alle risorse critiche da parte di utenti amministratori.

La soluzione PAM permette di superare la criticità dovuta alla condivisione di un account privilegiato con più utenti, i quali potendo accedere alle risorse con una maggiore autorità, aumentano il rischio di effettuare delle operazioni estese sull’infrastruttura, come ad esempio l’accesso ad informazioni confidenziali e la loro conseguente esposizione non autorizzata.

Il raggiungimento di questo obiettivo è garantito dal fatto che una soluzione PAM offre le seguenti funzionalità:

autenticazione degli utenti: grazie all’integrazione tra la soluzione IAM e PAM, la richiesta di accesso a risorse critiche e la validazione dell’appartenenza dell’utente ad un gruppo privilegiato viene gestita mediante il modulo di autenticazione di IAM;
gestione delle credenziali: le credenziali di accesso degli account privilegiati vengono gestite e memorizzate attraverso un archivio crittografato centralizzato, assicurando così che tali credenziali non vengano né esposte, né condivise tra gli utenti;
gestione delle sessioni: le attività svolte dagli utenti privilegiati vengono registrate e tracciate per consentire un monitoraggio e un’analisi durante le sessioni di lavoro e sono di supporto alla prevenzione di violazioni di informazioni per finalità di auditing e compliance.

Soluzione leader di mercato:

https://www.microfocus.com/en-us/products/netiq-privileged-account-manager/overview

[/vc_column_text][/vc_column][/vc_row]