Dobbiamo adeguarci alla procedura MEB di risposta agli incidenti informatici: da dove iniziamo come istituto scolastico?

Durante le verifiche ispettive il controllo principale riguarda l'integrità e la verificabilità dei log. Non basta salvare file di testo sul server: esigono la conformità alla legge 5651 con marca temporale e calcolo dell'hash. Se non siete in grado di associare puntualmente l'IP interno assegnato a un genitore o studente connesso al Wi-Fi ospiti con l'IP pubblico di uscita, vi contestano immediatamente la non conformità.

I computer degli studenti e quelli della segreteria si trovano sulla stessa subnet? Se non avete una netta segmentazione tramite VLAN, potete scrivere tutte le procedure che volete ma non supererete l'audit tecnico. Avete verificato se gli ispettori ministeriali controllano espressamente l'isolamento della rete amministrativa?

L'atto di costituzione dell'Unità di Risposta agli Incidenti Cibernetici (SOME) all'interno dell'istituto deve essere formalizzato tramite delibera protocollata firmata dalla presidenza. Presentare una copia del piano di intervento all'ufficio per le scuole paritarie della direzione distrettuale MEB tramite comunicazione ufficiale vi agevolerà notevolmente durante la successiva fase ispettiva.

Lo scorso semestre abbiamo affrontato un'ispezione simile nel nostro campus di 1100 studenti. Ci è stato chiesto di compilare i moduli standard del Ministero e di presentare i registri DHCP e del firewall degli ultimi 730 giorni con tanto di marca temporale. Senza ricorrere a consulenze esterne, dopo due settimane di lavoro di archiviazione, abbiamo superato il controllo degli ispettori senza alcuna nota di demerito.

edit: ho corretto alcuni errori di battitura.

da noi a scuola hanno messo a capo il vicepreside e a me hanno dato il ruolo tecnico. abbiamo scaricato il modello di piano di risposta agli incidenti bsy dal sito del meb e lo abbiamo adattato alla scuola. sembra una formalità ma il mem distrettuale ha approvato tutto alla consegna dei documenti, non c'è bisogno di farsi prendere dal panico.

I modelli pubblicati dal Ministero sono generalmente pensati per gli organici enormi delle istituzioni pubbliche. Non si può pretendere che un team IT di 2 persone in una scuola privata produca report come un SOME operativo 24/7. Scrivete un regolamento interno realistico, non inserite nella procedura passaggi che non potete garantire per poi ritrovarvi con le mani legate.

Domani stesso scaricate sul computer il "Modulo di Segnalazione Incidenti Informatici" allegato alla Direttiva sulla Sicurezza delle Informazioni del MEB. Poi verificate se la licenza della marca temporale sul dispositivo di log del vostro gateway internet è attiva; questi sono i due punti concreti più critici in assoluto.

Direi di non avere fretta. comunque il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Se scrivete qui il risultato, sarà utile anche ad altri.

Avete ragione, sono passato anch'io per la stessa strada. Inizia con un piccolo test, non impegnarti subito su tutto.

Prendere misure senza fare un inventario lascia aperta una porta che non vedi. Confermato dall'esperienza.

Questo thread è archiviato. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Spero che le sia utile.

Sono d'accordo. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore. Spero che le sia utile.

Come avete risolto questo? Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Naturalmente cambia se la vostra situazione è diversa.

Dopo aver vissuto questa cosa, il mio punto di vista è cambiato... insomma le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione. È tutto scusate se mi sono dilungato.

Sono della stessa opinione. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Se permessi e ambito non sono scritti, quel test non deve iniziare. Questa è la mia opinione, non la scrivo come verità assoluta.

non posso essere d'accordo al 100%. i primi tre mesi vanno bene, i problemi emergono al quarto mese.

se il percorso di notifica è lungo la notifica non arriva; una notifica mancante significa un evento scoperto tardi poi corregegtemi se sbaglio.

Corretto.

Mi farebbe piacere se scrivesse il risultato.

Ha ragione. Un backup non testato non è un backup.

Sono curioso di sapere se qualcuno lo fa in modo diverso.