Ci hanno richiesto controlli di sicurezza informatica di base prima del contratto: cosa sono esattamente e quali dobbiamo applicare davvero?

abbiamo ricevuto lo stesso modulo x un progetto di logistica a riad e c'erano 40 punti metà dei quali assurdi x un team di 10 persone. abbiamo allegato screenshot di mfa e backup x il resto abbiamo indicato le scadenze con una lettera d'impegno e hanno approvato subito, niente panico.

Sul piano tecnico il loro controllo principale riguarda le porte SSH e RDP esposte su Internet pubblico. Chiudete l'accesso diretto ai server tramite IP pubblico e metteteli dietro una semplice VPN o una whitelist di indirizzi IP. Documentando questo passaggio e l'MFA attiva supererete l'audit tecnico senza difficoltà.

Le aziende corporate sanno che non avete un security operations center interno. Quello che vogliono evitare a tutti i costi è che i vostri sistemi facciano da ponte per attaccare la loro infrastruttura. Se dimostrate la separazione logica tra la vostra rete interna e l'ambiente di integrazione destinato al cliente, il livello di rischio percepito calerà immediatamente.

L'anno scorso abbiamo speso circa 18.000 SAR per completare una lista fornitori simile. 6.000 SAR se ne sono andati in licenze per la gestione centralizzata di password e identità, il resto nell'architettura di backup isolato e automatico sul cloud. Su 28 voci del modulo ne abbiamo chiuse subito 19, mentre le altre 9 le abbiamo sistemate all'audit dopo 3 mesi.

La maggior parte di questi questionari per fornitori purtroppo è solo un copia-incolla. Il responsabile acquisti dall'altra parte non conosce la complessità tecnica delle singole voci, gli basta vedere le caselle spuntate e la firma in calce. Ma se capita un data breach quegli impegni diventano armi legali a doppio taglio, quindi non dichiarate come "fatto" nulla che non abbiate realmente implementato.

Prima di iniziare a compilare il modulo, chiedete una call di 15 minuti con il loro responsabile della sicurezza informatica. Ditegli chiaramente: "Siamo una PMI, i controlli tecnici fondamentali sono pronti, vorremmo diluire le policy aziendali più formali lungo la timeline di progetto". Nel 90% dei casi sono comprensivi e approvano la roadmap.

per quanto riguarda la formazione del personale sulla cybersecurity, serve per forza una certificazione a pagamento rilasciata da un ente accreditato o basta una presentazione base preparata internamente con foglio presenze firmato come prova?

450.000 SAR è un ottimo contratto non vi scoraggiate affatto. Le grandi aziende rinnovano queste scartoffie ogni anno solo per prassi. All'inizio sembra insormontabile ma una volta blindate le basi il resto è solo pura burocrazia.

Guardando al processo, il quadro cambia. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Avrei una domanda, non vorrei deviare dall'argomento, ma... L'errore commesso da controlli di sicurezza informatica di base è generalmente reversibile ma costoso.

Le decisioni affrettate diventano decisioni da correggere sei mesi dopo. Naturalmente cambia se la vostra situazione è diversa.

Raro trovare articoli che spiegano le cose così chiaramente.

grazie mille mi è stato molto utile.

Non lo sapevo.

otttimo lavoro.

Bisogna procedere con ordine. Inizia con un piccolo test, non impegnarti subito su tutto.

Lascio una nota, potrebbe servire.

Sono d'accordo in parte, in parte no. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata. È tutto, scusate se mi sono dilungato.

Sono una piccola impresa, vi parlo dal mio punto di vista. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Raro trovare articoli che spiegano le cose così chiaramente. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.