La ISO 27001 ci richiede la 'gestione delle vulnerabilità': come si imposta il processo e quali tool servono?

Lato open source, i network scanner in versione community distribuiti come container fanno il loro lavoro. Potete scansionare i pacchetti OS dei server e le porte esposte, ricavando report basati su CVE. La vera bega è ripulire i falsi positivi. Se impostate una scansione con cron job settimanale ed esportate i risultati in JSON, rendete l'intero processo automatico.

A Madrid siamo passati attraverso un processo simile per la nostra infrastruttura da 20 server. I grandi tool enterprise ci avevano fatto un preventivo da 6.500 EUR all'anno. Abbiamo invece installato un plugin di sicurezza cloud che paghiamo 8 EUR al mese per server. Spendiamo circa 1.900 EUR all'anno e l'auditor ha approvato il processo al primo controllo senza rilevare alcuna non conformità.

I consulenti di solito ingigantiscono la cosa per provare a vendervi software costosissimi su cui prendono commissioni. L'auditor non guarda la dashboard dello strumento, ma chi ha risolto i rilievi nel foglio Excel e in che data. Prima di spendere una fortuna in tool, definite chiaramente la documentazione del vostro processo.

Il ciclo da implementare è il seguente: 1) Eseguite la scansione automatica a inizio mese. 2) Dalla lista di CVE estratta, isolate quelle critiche e alte. 3) Assegnatele come task al team di sviluppo. 4) Dopo l'applicazione della patch, fate una scansione di verifica. 5) Archiviate il report e la data di chiusura in PDF nella cartella dell'audit.

Su quale cloud provider avete i vostri server? I grandi provider integrano già servizi di sicurezza nativi per la scansione di server virtuali e container. Molto spesso attivare questi servizi interni costa molto meno rispetto a noleggiare un tool esterno.

Non dimenticate le vulnerabilità delle librerie a livello di codice. Scansionare solo i server non basta, aggiungete alla vostra pipeline di build anche tool gratuiti per l'analisi delle dipendenze nel repository. Agli auditor piace molto vedere la gestione delle vulnerabilità open source, e l'implementazione costa praticamente zero.

la trappola peggiore è voler scansionare tutto insieme. il primo mese saltano fuori mille segnalazioni e gli sviluppatori vanno nel panico. comunque prima scansionate solo le porte esposte all'esterno poi andate gradualmente verso l'interno altrimenti si blocca il lavoro vero.

Nella versione ISO 27001:2022, il Punto 8.8 tratta direttamente la gestione delle vulnerabilità tecniche. È fondamentale che l'organizzazione documenti la propria capacità di valutare le vulnerabilità e avviare azioni correttive. In quest'ottica, la redazione di una Procedura di Gestione delle Vulnerabilità formalmente approvata è vincolante ai fini dell'audit.

Mi chiedo anch'io.

Nel nostro caso è andata così. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

È tutto, scusate se mi sono dilungato.

Non lo sapevo.

Ho vissuto la stessa cosa due anni fa. L'errore commesso da strumenti gestione vulnerabilita è generalmente reversibile ma costoso.

Lascio una nota, potrebbe servire.

Come avete risolto questo? La risposta varia molto in base al settore non esiste una regola generale.

Se avete domande scrivete, rispondo per quanto possibile.

Esattamente così. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore. Questa è la mia opinione, non la scrivo come verità assoluta.

Se scendiamo nei dettagli: Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

L'errore commesso da strumenti gestione vulnerabilita è generalmente reversibile ma costoso.

Nel nostro caso è andata così. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

I primi tre mesi vanno bene, i problemi emergono al quarto mese.

Vi spiego come si fa in pratica. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Se cerchi di cambiare tutto insieme, niente si stabilizza. Io seguirei questa strada.

Il punto più trascurato riguardo a strumenti gestione vulnerabilita è questo: Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Buon lavoro.