Questo è il primo di una serie di articoli di approfondimento relativi ad elementi di un sistema di gestione per la sicurezza delle informazioni. Saranno dedicati a temi su cui ci sono i maggiori dubbi e perplessità sulle norme della serie ISO/IEC 27000.
Il primo tema, oggetto di questo articolo, è l’inventario degli asset, dichiarato da auditor e consulenti come importantissimo, ma spesso visto come inutile e faticoso da parte dei tecnici.
Nell’ambito della gestione dei servizi IT, l’inventario degli asset, con qualche requisito in più, prende il nome di configuration management database (CMDB) o configuration management system (CMS). In quell’ambito, l’inventario prevede anche che siano presenti le relazioni tra i servizi e gli asset (o configuration item) necessari alla loro erogazione.
L’inventario degli asset serve a conoscere e controllare gli elementi di un sistema di gestione per la sicurezza delle informazioni. Tra questi elementi ci sono i server, i pc, i dispositivi di uso personale, i dispositivi di rete, le sedi, gli impianti di sicurezza, gli archivi fisici, le informazioni stesse e il personale. Altri, come i redattori della ISO/IEC 27005, introducono anche i processi.
Purtroppo non è facile capire come organizzare un inventario di tutti questi elementi in modo che sia utile e non eccessivamente faticoso da mantenere.
Si ricorda che un meccanismo di sicurezza inefficiente, poi viene mantenuto male e diventa inefficace. Questo poi può essere dannoso, in quanto un uso scorretto di un meccanismo di sicurezza può introdurre delle vulnerabilità.
L’inventario degli asset non deve essere visto come unica entità: non sarebbe una soluzione intelligente elencare sistemi informatici, impianti di sicurezza e persone in un unico documento. Infatti i sistemi informatici sono governati dagli informatici, gli impianti di sicurezza da chi si occupa di sicurezza fisica e le persone da altre funzioni.
Un inventario degli asset deve riportare le informazioni utili per monitorare e mantenere ciascun asset.
Propongo qui di seguito un esempio non esaustivo di inventari e di informazioni necessarie:
Il primo utilizzo di un inventario degli asset è di tipo operativo. Un inventario degli asset è utile nelle seguenti occasioni:
Per quanto riguarda i sistemi informatici, è possibile usare un inventario da interfacciare ad un sistema di monitoraggio della rete in modo da rilevare nuovi dispositivi collegati.
Un’altra finalità di un inventario degli asset è l’attribuzione di un livello di criticità ai sistemi informatici e agli archivi, in modo da stabilire diversi livelli di sicurezza da garantire. Si intuisce sin da subito che un inventario usato per queste finalità deve essere di un livello di dettaglio molto inferiore a quello usato per finalità operative: può essere sufficiente uno schema di rete e un elenco dei servizi informatici presenti in ciascuna sottorete.
Infine un inventario degli asset può essere usato per la valutazione del rischio relativo alla sicurezza delle informazioni. In questo caso si dovrebbe usare un elenco poco dettagliato. È noto infatti che un aumento del dettaglio non migliora i risultati dell’analisi; ne allunga solo i tempi e richiede un maggiore impegno da parte dei partecipanti, con conseguente dispersione di energie in attività non necessarie e perdita di vista dell’obiettivo. La valutazione del rischio si basa su considerazioni soggettive e con prospettiva al medio-lungo termine e quindi non necessita di un elevato livello di dettaglio.
Deve essere stabilito un processo per cui ad ogni variazione degli asset (inserimento, modifica e ritiro) siano modificati gli inventari pertinenti.
Uno strumento troppo sofisticato e inefficiente da mantenere dopo poco non viene più usato in modo efficace e diventa quindi inutile.
È necessario, in fase di progettazione di un inventario degli asset, considerarne la finalità e le risorse necessarie per mantenerlo. Spesso quindi è opportuno evitare di prevedere l’inserimento di dettagli che idealmente sono utili ma difficili da aggiornare, oppure prevedere degli inventari troppo dettagliati per le loro finalità.
Un inventario degli asset non deve rispondere alle necessità di un auditor o di un consulente, ma dell’organizzazione che deve mantenerlo e agli obiettivi che si è fissata.
A cura di: Cesare Gallotti
Arrestato a Parigi il CEO di Telegram: cosa significa in termini di responsabilità delle piattaforme…
Introduzione In un contesto in cui la digitalizzazione sta crescendo costantemente, è importante sapere come…
Casi come Cellebrite Ufed v. Signal pongono in luce come la cybersecurity sia un fattore…
I Big Data stanno cambiando le regole del commercio online. Finalmente le aziende possono comprendere…
Dal punto di vista tecnico-operativo, le indagini di digital forensics vengono svolte utilizzando specifici strumenti…
Nell’ambito dell’email security esistono diversi protocolli volti a garantire l'autenticità, l'integrità e la riservatezza delle…