Come implementare la gestione delle vulnerabilità secondo gli standard ANSSI in Francia con un team di 12 persone?

I grandi clienti industriali copiano pari pari i loro moduli aziendali sui subappaltatori. In 12 persone, se rispondete sì a ogni riga di quel foglio, vi incarterete non appena l'auditor verrà a chiedervi le prove. Vi basta presentare un piano di rilascio patch adatto alla vostra scala.

Siamo un team di sviluppo di 15 persone. Abbiamo fatto un contratto di manutenzione con il nostro fornitore IT a 400 EUR al mese. Una volta al mese ci rilasciano un report di scansione del sistema e firmano per attestare l'applicazione delle patch critiche. Abbiamo superato senza problemi due importanti audit aziendali grazie a questo documento.

Domani stesso aprite un foglio di calcolo. Segnate marca modello e sistema operativo dei 12 computer aziendali, di 1 server condiviso e di 1 modem-router. Aggiungete a fianco le date dell'ultima patch applicata. Ed ecco che il vostro primo inventario delle vulnerabilità è bell'e pronto.

L'ufficio acquisti del cliente spesso e volentieri quei moduli non li legge nemmeno. L'importante è non lasciare campi vuoti e descrivere chiaramente il vostro processo logico facendo riferimento agli standard aziendali.

Le 3 prove concrete che l'auditor vorrà vedere sono queste: 1) Elenco aggiornato di dispositivi e software. 2) Screenshot che dimostrano che gli aggiornamenti automatici sono attivi. 3) Rapporto di intervento del tecnico IT esterno relativo agli aggiornamenti degli ultimi 3 mesi.

sul sito dell'anssi c'è un'ottima guida all'igiene informatica in 12 punti dedicata alle pmi, fate riferimento al punto sulle vulnerabilità e rispondete così, quella guida è lo scudo migliore contro i questionari dei grandi gruppi.

Nel quadro del diritto contrattuale francese, le procedure di sicurezza dichiarate hanno valore vincolante. Vi consiglio pertanto di evitare assolutamente impegni che non potete mantenere, come penetration test settimanali o scansioni continue delle vulnerabilità.

Corretto.

Questo thread è archiviato.

Lascio un avvertimento. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Lascio una nota, potrebbe servire.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Chiunque abbia fretta su gestione delle vulnerabilità si blocca nello stesso punto. Lascio una nota, potrebbe servire.

Ti seguo. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Se ricevete tre risposte diverse su un argomento, la domanda è posta male. Naturalmente cambia se la vostra situazione è diversa.

Se scendiamo nei dettagli: Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Scusate, ma questo non vale in ogni caso. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Chiunque abbia fretta su gestione delle vulnerabilità si blocca nello stesso punto.

Anche da noi è così.

Bisogna fare una distinzione qui. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Avrei una domanda, non vorrei deviare dall'argomento, ma... Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

È tutto, scusate se mi sono dilungato.

La discussione si è dispersa, la riassumo. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Sono curioso di sapere se qualcuno lo fa in modo diverso.