Un grande cliente enterprise ci richiede la certificazione ISO 27001: possiamo farcela da soli senza un consulente?

Siamo un team di 18 persone a Gedda, l'abbiamo presa l'anno scorso. Abbiamo pagato 38.000 SAR di consulenza e 18.000 SAR all'ente accreditato per l'audit. Ci sono voluti 5 mesi e mezzo esatti. Se avessimo fatto da soli, il nostro DevOps avrebbe dovuto bloccare tutto lo sviluppo per almeno 3 mesi, e ci sarebbe costato molto di più.

Non scaricate questo peso sul DevOps. La ISO 27001 non è solo firewall o crittografia; le procedure di assunzione HR, la sicurezza fisica degli uffici, i contratti con i fornitori e l'asset management costituiscono più della metà dello standard. Il tecnico copre i controlli informatici ma si blocca inevitabilmente sulla gestione dei processi.

Massima attenzione a chi assumete come consulente. Molti si limitano a copincollare template Word generici e si prendono 40.000 SAR. Poi quando l'auditor chiede "Chi applica questa procedura?" il personale cade dalle nuvole. Cercate qualcuno che si metta lì a progettare i processi con voi, non chi vi rifila documenti preconfezionati.

noi all'inizio pensavamo di farcela da soli coi template trovati online ma dopo 2 mesi eravamo sepolti dalla carta... al primo audit ci hanno subito rimbalzato i buchi e alla fine abbiamo dovuto prendere un consulente x forza. se avete una scadenza fissa di 6 mesi nn rischiate.

Trattandosi di un cliente parastatale in Arabia Saudita, vi ha chiesto unicamente la ISO 27001 o anche la conformità agli NCA ECC (Essential Cybersecurity Controls)? Leggete bene il capitolato: a volte nelle gare pubbliche i requisiti NCA sono molto più rigidi della ISO, è una cosa da chiarire subito con il consulente.

Importante promemoria normativo: è contrario alle regole di accreditamento che la società di consulenza e l'ente di certificazione coincidano o facciano capo alla stessa proprietà. In fase di offerta verificate sempre la validità dell'accreditamento dell'ente terzo indipendente (ad es. IAS, UKAS o conforme a SASO).

La primissima cosa da fare è restringere il perimetro. Non certificate tutta l'operatività aziendale, ma limitate lo scope all'infrastruttura del software che fornite al cliente e al team di sviluppo dedicato. Riducendo lo scope calano gli asset da sottoporre ad audit, si velocizza il percorso e si riducono i costi di consulenza.

Ha ragione. Se ricevete tre risposte diverse su un argomento la domanda è posta male.

Se scrivete qui il risultato sarà utile anche ad altri.

Ho lavorato a lungo su questo. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Se avete domande, scrivete, rispondo per quanto possibile.

lo sentiamo dire da tempo, ma da noi non è mai andata così... onestamente non abbiate paura di chiedere, chi non chiede paga sempre di più.

questa è la mia opinione, non la scrivo come verità assoluta.

Nel nostro caso è andata così. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Racconto cosa mi è successo, magari vi è utile. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Naturalmente cambia se la vostra situazione è diversa.

Bisogna fare una distinzione qui. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Bisogna fare una distinzione qui. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Confermato dall'esperienza.

Avete ragione, sono passato anch'io per la stessa strada. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Io seguirei questa strada.

C'è un errore comune che si commette facendo questo. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Correggetemi se sbaglio.

Vorrei fare una domanda. cioè la maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

Le soluzioni che funzionano su piccola scala crollano quando si cresce l'ho imparato tardi. cioè correggetemi se sbaglio.

Può approfondire un po'? Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Lascio una nota potrebbe servire.