In un audit fornitori ci hanno richiesto una policy di gestione delle vulnerabilità, da dove dovremmo iniziare per redigere il documento?

I revisori aziendali esaminano centinaia di documenti di fornitori, si accorgono fin dal primo paragrafo dei testi generici copiati da internet. Non scrivere nella policy nulla che tu non sia in grado di fare. Ad esempio, se scrivi "Ogni mese viene eseguito un penetration test da terze parti", ti chiederanno fattura e report; con 45.000 EUR di fatturato non puoi certo allocare un budget mensile per i pentest. Scrivi esattamente ciò che fai nella realtà.

Non metterti all'angolo da solo quando definisci le tempistiche. I piccoli team che scrivono "patch applicata entro 24 ore" per le falle critiche rischiano di mandare a monte il contratto alla prima emergenza. Metti 7 giorni per il livello critico 30 per quello alto e 90 per il medio. Tieni ben distinte le patch di emergenza dalle normali finestre di manutenzione.

Nel documento fai riferimento diretto al sistema di punteggio CVSS. Fissa soglie tecniche chiare, tipo: "Le vulnerabilità con punteggio CVSS v3 pari o superiore a 9.0 sono considerate critiche". Inoltre dividi le fonti delle vulnerabilità in due: dipendenze esterne (pacchetti open source) e patch del sistema operativo di infrastruttura/server. Il monitoraggio dei due aspetti segue logiche diverse.

Scaricare un template e inviarlo dà un sollievo momentaneo, ma se il cliente è una grande azienda francese ti chiederà riscontri tecnici subito dopo l'approvazione formale. Se non hai un vero tool di scansione, una cronologia delle versioni e ticket di chiusura, produrre solo carta può trasformarsi più avanti in un rischio di risarcimento danni.

noi per un audit simmile abbiamo usato un template ma ci abbiamo allegato i report esportati dagli scanner gratuiti che usiamo. il revisore ci ha chiesto direttamente l'ultimo report di scansione, glielo abbiamo mostrato e zero problemi ma il documento da solo nn basta tenetevi pronti i file dei report.

I grandi acquirenti in Francia verificano i propri fornitori con contratti vincolanti in conformità alle normative sulla sicurezza della supply chain. Il documento di policy firmato è a tutti gli effetti un allegato al contratto commerciale. Per questo motivo è fondamentale che i tempi di patching dichiarati siano compatibili con la reale capacità tecnica della vostra azienda.

non farti troppi problemi nessuno si aspetta gli standard dell'industria della difesa da una software house di 9 persone.. e boh un documento di processo chiaro di 3-4 pagine con i piedi per trera con un responsabile designato e un'email di contatto basta e avanza per soddisfare la maggior parte dei revisori.

una volta redatto questo documento siamo obbligati a farlo approvare da una società di audit esterna indipendente o da un notaio, oppure tmibro aziendale e firma del fondatore sono considerati sufficienti?

Il punto più trascurato riguardo a gestione delle vulnerabilità è questo: La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Confermato dall'esperienza.

Sono emerse tre opinioni diverse, si completano a vicenda. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

È tutto scusate se mi sono dilungato.

Breve riassunto per i nuovi arrivati: Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Lascio una nota potrebbe servire.

Sì, per quanto riguarda gestione delle vulnerabilità la situazione è esattamente così. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

La discussione si è dispersa, la riassumo. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Breve riassunto per i nuovi arrivati: Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

È tutto, scusate se mi sono dilungato.

Non ho alcuna esperienza in materia di gestione delle vulnerabilità, quindi chiedo. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Breve riassunto per i nuovi arrivati: Se cerchi di cambiare tutto insieme, niente si stabilizza.

Chiunque abbia fretta su gestione delle vulnerabilità si blocca nello stesso punto. Se avete domande, scrivete, rispondo per quanto possibile.

Sono nella stessa situazione, per questo chiedo. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Cercare di farlo da soli è la strada più costosa. Lascio una nota, potrebbe servire.

Scrivo questo per evitare che facciate lo stesso errore. L'errore commesso da gestione delle vulnerabilità è generalmente reversibile ma costoso.

Confermato dall'esperienza.