Il Suo controllo di sicurezza e piano d'azione
Modulo 9: Regole e organizzazione · Tempo di lettura: 12 minuti
Obiettivo della lezione: Dopo questa lezione sarà in grado di eseguire il Suo controllo di sicurezza con una lista fissa e di ricavarne un piano di priorità.
Concetti chiave: misure di base, misurazione iniziale, definizione delle priorità (probabilità x impatto, prima le azioni rapide ed economiche), responsabile e scadenza, ripetizione annuale
Dal sapere al fare
In questo corso ha visto molti argomenti: password, phishing, e-mail e dominio, dispositivi, backup, permessi, incidenti e regole. Il rischio ora è di iniziare un po' ovunque senza completare nulla. Questa lezione trasforma tutto in due elementi concreti che realizzerà Lei stesso:
- una misurazione iniziale: una fotografia onesta della situazione attuale;
- un piano: cosa fare per primo, chi lo fa e quando sarà completato.
L'elenco qui sotto contiene le misure di base: le misure che fermano la maggior parte degli attacchi opportunistici (lezione 1.1) e che un cliente solitamente richiede quando pone requisiti ai propri fornitori (lezione 9.1). Non è uno standard completo come ISO 27001, e non deve esserlo. È la base che, in una piccola impresa, fa la differenza.
Il controllo di sicurezza: venti punti
Risponda a ogni punto con sì, in parte o no. Sia rigoroso: "penso di sì" equivale a "in parte". Dopo ogni punto è indicata la lezione in cui lo ha appreso.
Account e accesso
| N. | Punto | Lezione |
|---|---|---|
| 1 | Esiste un elenco completo di tutti gli account, dispositivi, siti web, domini e fornitori, con un responsabile per ciascuna voce. Ciò che non viene più utilizzato è stato rimosso. | 1.1, 7.2 |
| 2 | Tutti utilizzano un gestore di password e hanno una password unica e lunga per ogni servizio. Le password non vengono condivise via e-mail o chat. | 2.1, 2.2 |
| 3 | L'autenticazione a due fattori (2FA) è attiva su e-mail, banca, contabilità, hosting, registrar e social media; per gli amministratori è preferibile una forma resistente al phishing come una passkey o una chiave di sicurezza. | 2.3, 2.4 |
| 4 | I codici di recupero e le chiavi di riserva sono conservati in modo sicuro e Lei sa cosa fare se un telefono viene smarrito. | 2.3, 2.4 |
| 5 | Ha verificato se gli indirizzi aziendali compaiono in fughe di dati note, e sa come revocare le sessioni e controllare le regole di inoltro. | 1.4, 2.5 |
Persone e processi
| N. | Punto | Lezione |
|---|---|---|
| 6 | Esiste una procedura di pagamento: richiamare un numero noto in caso di modifica del numero di conto e coinvolgere una seconda persona per pagamenti rilevanti o anomali. | 1.2 |
| 7 | Tutti sanno riconoscere il phishing osservando il dominio reale di un link e sanno cosa fare dopo aver cliccato. | da 3.1 a 3.5 |
| 8 | Esiste un unico punto di segnalazione con un sostituto, le segnalazioni avvengono senza colpevolizzazione, e viene fatto un breve richiamo almeno qualche volta all'anno. | 9.2 |
E-mail, sito web e dominio
| N. | Punto | Lezione |
|---|---|---|
| 9 | Il Suo dominio ha SPF, DKIM e DMARC, e DMARC è impostato almeno su p=none con un piano per passare a quarantine o reject. | 4.1 |
| 10 | Il Suo sito web funziona ovunque tramite https con un certificato valido, reindirizza l'http, e il CMS con i plugin viene aggiornato. HSTS e gli header di sicurezza sono attivi o sono stati valutati consapevolmente. | 4.2 |
| 11 | I dati del titolare del Suo dominio sono corretti, il rinnovo automatico è attivo, il registrar ha la 2FA, non ci sono record DNS non utilizzati e il DNSSEC è attivo dove possibile. | 4.3 |
Dispositivi e rete
| N. | Punto | Lezione |
|---|---|---|
| 12 | Gli aggiornamenti sono automatici per i sistemi operativi, le app e i plugin; anche il router, il NAS e la stampante vengono aggiornati; non è più in funzione nulla che non riceva più aggiornamenti. | 5.1 |
| 13 | I laptop e i telefoni hanno il blocco schermo e la cifratura del disco, possono essere cancellati da remoto, e nessuno lavora quotidianamente con un account amministratore. | 5.2 |
| 14 | Il Wi-Fi utilizza WPA2 o WPA3, la password predefinita del router è stata modificata e i visitatori e i dispositivi smart si collegano a una rete ospiti. | 5.3 |
Backup
| N. | Punto | Lezione |
|---|---|---|
| 15 | Esiste un backup di tutto ciò che è importante, inclusi e-mail e servizi cloud, secondo lo schema 3-2-1. | 6.1 |
| 16 | Almeno una copia è offline o immutabile e dispone di un proprio accesso non utilizzato sui computer di lavoro. | 6.2 |
| 17 | Nell'ultimo anno è stato eseguito un test di ripristino, e Lei sa quanto lavoro può permettersi di perdere e quanto velocemente deve essere ripristinato. | 6.3 |
Accesso, fornitori e incidenti
| N. | Punto | Lezione |
|---|---|---|
| 18 | Tutti hanno un proprio account con solo i permessi necessari, gli account amministratore sono separati, e alla cessazione di un rapporto tutti gli accessi vengono revocati lo stesso giorno. | 7.1 |
| 19 | I fornitori e i servizi cloud importanti sono stati valutati, esistono accordi sul trattamento dei dati dove necessario, e i file vengono condivisi con link con scadenza. | 7.2, 7.3 |
| 20 | È affissa una scheda di gestione degli incidenti su carta, esiste un registro delle fughe di dati, e Lei sa quando notificare al Garante per la protezione dei dati personali, alla Polizia Postale e, se applicabile, all'ACN. | 8.1, 8.2, 8.3, 9.1 |
Conti le Sue risposte. Molti "no" non sono motivo di preoccupazione: è il Suo punto di partenza. Per questo si chiama misurazione iniziale.
Una parte può essere controllata automaticamente
Alcuni punti possono essere misurati dall'esterno, poiché riguardano dati pubblici del Suo dominio: punto 9 (SPF, DKIM, DMARC), punto 10 (https, certificato, HSTS, header) e punto 11 (DNSSEC, nameserver, data di scadenza). Nell'esercizio A9.3 può farlo in un'unica operazione per il Suo dominio, con gli stessi controlli degli esercizi del modulo 4. Test indipendenti come https://internet.nl e i controlli pubblici su https://www.weboke.it/salute-del-dominio e https://www.weboke.it/verifica-email esaminano punti simili.
Attenzione: un risultato verde su questi punti non dice nulla sugli altri diciassette. Il Suo dominio può essere configurato perfettamente mentre la Sua casella di posta ha una password proveniente da una fuga di dati. Il controllo automatico è una parte della misurazione iniziale, non un sostituto.
Dal controllo al piano: definire le priorità
Probabilmente ha ora otto o dieci punti su "no" o "in parte". Non può fare tutto contemporaneamente. Sceglie l'ordine con due domande.
1. Quanto è grande il rischio? Usi probabilità x impatto (lezione 1.1). Un punto preso di mira da un attacco opportunistico, come password riutilizzate senza 2FA o un sito web senza aggiornamenti, ha una probabilità elevata. Un punto che, se qualcosa va storto, blocca l'intera azienda, come un backup che non funziona, ha un impatto elevato.
2. Quanto impegno richiede? Alcune misure richiedono un'ora e nessun costo, come attivare l'autenticazione a due fattori o definire una procedura di pagamento. Altre richiedono settimane, come sostituire tutti i laptop.
Inserisca i punti in uno schema semplice:
| Poco impegno | Molto impegno | |
|---|---|---|
| Rischio elevato | Da fare subito (questa settimana) | Da pianificare (questo trimestre) |
| Rischio basso | Da considerare quando capita l'occasione | Rimandare o accettare consapevolmente |
La regola è: prima le azioni rapide ed economiche, a condizione che il rischio sia elevato. Nella maggior parte delle piccole imprese, nella casella "da fare subito" rientrano: l'autenticazione a due fattori su e-mail e banca (3), la procedura di pagamento (6), l'attivazione degli aggiornamenti automatici (12) e la verifica che esista una copia del backup fuori portata (16).
Accettazione consapevole
Un rischio può anche essere accettato: decide di non risolverlo, perché il rischio è basso o i costi troppo elevati. È una scelta valida, purché venga fatta consapevolmente e messa per iscritto. "Dimenticarsene" non è accettazione.
Un responsabile e una scadenza per ogni punto
Un piano senza nomi resta fermo. Assegni a ogni punto:
- un responsabile: una persona che si assicura che accada. Non deve necessariamente essere chi esegue il lavoro; l'azienda informatica può occuparsi dell'esecuzione, ma qualcuno nella Sua azienda verifica che sia stato completato;
- una scadenza: entro quando deve essere completato;
- una definizione di completato: come fa a sapere che è stato fatto? Non "attivare la 2FA", ma "la 2FA è attiva sui cinque account dell'elenco, i codici di recupero sono nella cassaforte".
Un esempio di tre righe dal piano della Panetteria Example:
| Punto | Azione | Responsabile | Scadenza | Completato quando |
|---|---|---|---|---|
| 3 | 2FA su e-mail, banca, contabilità e registrar | Petra | tra 1 settimana | Attiva su tutti e quattro, codici di recupero nel gestore di password e su carta in cassaforte |
| 6 | Procedura di pagamento su A4, discussa con Joost e Sanne | Petra | tra 2 settimane | A4 affisso in ufficio, entrambi lo hanno letto |
| 16 | Copia settimanale su un disco che poi viene conservato separatamente in cassaforte | Joost | tra 1 mese | Prime tre settimane completate, un file ripristinato come test |
Ripetizione
La sicurezza non è mai definitiva. Arrivano nuovi collaboratori, nuovi servizi, nuovi dispositivi e nuovi trucchi. Pertanto, concordi di:
- ripetere ogni anno il controllo completo, in un mese fisso, e aggiornare il piano;
- eseguire il controllo nel frattempo in caso di grandi cambiamenti: un nuovo sviluppatore web, un trasloco del Suo hosting, una nuova contabilità, una rapida crescita;
- ripercorrere dopo un incidente i punti che vi erano collegati (lezione 8.3).
Conservi il risultato di ogni controllo. In questo modo, dopo un anno, vedrà nero su bianco cosa è migliorato, e avrà una risposta pronta se un cliente chiede come sta la Sua sicurezza. L'ACN mette inoltre a disposizione risorse proprie per liberi professionisti e PMI, che può usare insieme a questo elenco; https://www.acn.gov.it/.
Riepilogo
- Una misurazione iniziale con venti punti fissi offre una fotografia onesta; ogni punto rimanda alla lezione in cui lo ha appreso.
- Una parte (e-mail, sito web, dominio) può essere controllata automaticamente, ma questo non dice nulla sugli altri punti.
- Stabilisca le priorità con probabilità x impatto e impegno: prima il rischio elevato con poco impegno.
- Ogni punto del piano riceve un responsabile, una scadenza e una definizione di completato; l'accettazione è possibile, ma deve essere consapevole e messa per iscritto.
- Ripeta il controllo ogni anno e in caso di grandi cambiamenti, e conservi i risultati.
Quiz
Esercizio
Esercizio A9.3: Il controllo automatico del Suo dominio. Inserisca il Suo dominio. Il programma controlla in un'unica operazione e-mail (SPF, DKIM, DMARC), sito web (https, certificato, reindirizzamento, HSTS, header) e dominio (nameserver, DNSSEC, data di scadenza) e mostra quali punti del controllo di sicurezza sono verdi, arancioni o rossi.
Esercizio D9.3: Il Suo controllo di sicurezza e piano d'azione. Esegua il controllo dei venti punti per la Sua azienda. Scelga poi almeno cinque punti, li inserisca nello schema di rischio e impegno, e crei un piano con, per ogni punto, un responsabile, una scadenza e una definizione di completato. Segni in agenda quando ripeterà il controllo.
Esercizio D9.3: La Sua verifica di sicurezza e il piano
Ecco come procedere: (1) Ripercorra i venti punti della lezione e indichi per ciascuno: sì, in parte o no. Per i punti 9, 10 e 11 usi l'esito dell'esercizio A9.3 (il pulsante riporta i punti rossi e arancioni). (2) Collochi ogni punto con "in parte" o "no" nello schema di rischio (grande/piccolo) e sforzo (poco/molto). (3) Scelga almeno cinque punti. Inizi dalle caselle "grande rischio, poco sforzo". (4) Assegni a ogni punto scelto un'azione, un responsabile, una data e una definizione di completamento. (5) Annoti quali punti accetta consapevolmente, con la motivazione. (6) Fissi in agenda un mese fisso per la prossima verifica completa, e annoti in quali casi la rivedrà anticipatamente. (7) Conservi il risultato (il corso conserva la verifica compilata se Lei lo desidera; solo sì/in parte/no per punto e il Suo piano, nessun altro dato).
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per saperne di più
I passaggi descritti negli articoli di WebOké valgono per l'ambiente WebOké; presso altri fornitori il funzionamento è simile.
- Guida WebOké 5.17: Salute del dominio e dell'e-mail: verificare e risolvere
- WebOké, Salute di dominio / e-mail (controllo pubblico): https://www.weboke.it/salute-del-dominio
- WebOké, Controllo e-mail: https://www.weboke.it/verifica-email
- Internet.nl, testi il Suo sito web e la Sua e-mail: https://internet.nl
- ACN, risorse per liberi professionisti e PMI: https://www.acn.gov.it/