Cos'è la conformità alla sicurezza informatica richiesta nelle gare d'appalto in Arabia Saudita e quanto costa?

I punti su cui si bloccano più spesso i controlli tecnici: crittografia dei dati a riposo nel database, autenticazione a più fattori (MFA) su tutti i pannelli di amministrazione e server di log centralizzato. Inoltre, per il principio di sovranità dei dati, il cloud provider utilizzato deve obbligatoriamente avere data center situati in Arabia Saudita.

Per mettere in sicurezza l'offerta potete allegare: 1) Il modulo di autovalutazione compilato secondo il modello ufficiale, 2) Una sintesi della politica di sicurezza delle informazioni aziendale, 3) Un impegno formale di conformità a 60 giorni per eventuali voci mancanti. Gli enti pubblici di solito accettano questo impegno invece di escludere direttamente l'offerta.

L'anno scorso a Dammam ci è capitata la stessa cosa per un appalto pubblico da 500.000 SAR. La società di audit ci aveva chiesto 60.000 SAR, fuori budget. Con un consulente locale abbiamo fatto la gap analysis e redatto le policy per 18.000 SAR, e abbiamo vinto la gara. Prima della consegna dei lavori sono venuti a fare un'ispezione sul posto.

Se la clausola è presente e vincete l'appalto, l'appaltatore principale si riserva il diritto di effettuare verifiche a sorpresa per tutta la durata del contratto. Firmare 'siamo conformi' solo per partecipare senza implementare nulla a livello tecnico è rischiosissimo: in caso di data breach vi bruciate la cauzione e venite bannati dall'albo dei fornitori ufficiali.

Nel bando di gara è espressamente richiesto un report certificato da una società di audit accreditata terza, oppure basta un'autocertificazione del fornitore? Questo dettaglio può tranquillamente triplicare i costi.

Nel mercato dell'Arabia Saudita, le normative sulla cybersicurezza sono diventate obbligatorie negli ultimi due anni per i fornitori di infrastrutture critiche. Sarebbe opportuno considerare i requisiti del capitolato non come un mero costo una tantum per la gara, bensì come un investimento strategico per incrementare il vostro potenziale di business nella regione.

Non fatevi spaventare, sistemare i processi in un team di 14 persone è decisamente più rapido rispetto alle grandi aziende. Invece di acquistare costosi software di sicurezza enterprise, potete crittografare l'infrastruttura esistente e definire chiare regole di logging e di accesso, chiudendo gran parte dei controlli in poco tempo.

Racconto la mia esperienza. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Quando prendi una decisione, guarda prima quali dati hai a disposizione. Buon lavoro.

Lascio un avvertimento. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Se avete domande, scrivete rispondo per quanto possibile.

sì, per quanto riguarda conformità alla sicurezza informatica la situazione è esattamente così. boh le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

correggetemi se sbaglio.

Vorrei fare una domanda. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Spero che le sia utile.

Racconto cosa mi è successo, magari vi è utile. Chiunque abbia fretta su conformità alla sicurezza informatica si blocca nello stesso punto.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Sono emerse tre opinioni diverse, si completano a vicenda. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Sono passato da qui, vi racconto. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Il vero problema non è il numero, ma su cosa si basa quel numero. Confermato dall'esperienza.

Ho lavorato a lungo su questo. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Naturalmente cambia se la vostra situazione è diversa.

Sì, per quanto riguarda conformità alla sicurezza informatica la situazione è esattamente così. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo. È tutto scusate se mi sono dilungato.

esattamente così e se ricevete tre risposte diverse su un argomento, la domanda è posta male.

naturalmente cambia se la vostra situazione è diversa.

Riassumo quanto detto finora. Se permessi e ambito non sono scritti quel test non deve iniziare.