Richiedono un «reparto di risposta agli incidenti informatici» — serve davvero a un'azienda di 20 persone?

Non rifiutate subito la clausola nel contratto. Rispondete al team di sicurezza della controparte spiegando: gestiamo la nostra capacità di incident response tramite un modello ibrido con un fornitore di servizi di sicurezza esterno. Il coordinamento interno è affidato al nostro amministratore di sistema, mentre il supporto di secondo livello è gestito dal partner esterno. Di solito questa formula viene approvata senza problemi.

L'anno scorso a Dubai ci siamo trovati nella stessa identica situazione durante l'audit per un'integrazione bancaria simile. Abbiamo firmato un contratto di retainer per la risposta agli incidenti su chiamata con un fornitore di sicurezza locale per 18.000 AED all'anno. Abbiamo allegato al modulo di audit il loro contratto e lo schema di escalation preparato da noi, e l'audit è stato approvato senza mezza domanda in più.

Durante l'audit la cosa principale che guarderanno non è la vostra infrastruttura SIEM, ma come fluisce la comunicazione al momento del rilevamento. Definite un tempo di SLA di risposta massimo di 2 ore per gli incidenti critici, la conservazione sicura dei log in un ambiente separato e un protocollo di notifica scritta al titolare del trattamento in caso di leak. Se questa procedura è presente nel modulo, l'audit tecnico si chiude.

edit: ho corretto alcuni errori di battitura.

Nella bozza di contratto è richiesta obbligatoriamente la ISO 27001 o una certificazione internazionale simile, oppure chiedono solo di dichiarare sul modulo la presenza dell'unità? Avrete accesso diretto al database del cliente o il sistema comunicherà solo in modo isolato tramite API?

gli uffici acquisti dei clienti corporate fanno solo copia e incolla di template standard.. e insomma mettete il vostro team di due persone come coordinatori interni e affiancateci un contrattino economico di supporto esterno su chiamata ed è fatta, nessuno si aspetta una sala soc da voi.

Due anni fa quando eravamo in 15 dipendenti un cliente parastatale ci ha imposto la stessa identica condizione. All'inizio siamo entrati nel panico e abbiamo fatto due calcoli per capire se assumere altri due addetti alla sicurezza ma il costo annuale ci sballava completamente il budget. Poi abbiamo parlato con un auditor conoscente, abbiamo presentato un contratto con un service provider esterno ed è stato accettato al primo colpo. Ci siamo tolti il sonno per niente.

Occhio a quando fate i contratti di outsourcing; certe aziende si limitano a mandare un report di scansione automatica una volta al mese e lo spacciano per incident response. Se l'auditor del cliente va a fondo e chiede "chi interviene se vi beccate un ransomware alle tre di notte?", quel contratto farlocco salta subito. Scegliete un fornitore che risponda davvero al telefono.

pretendere un team di sicurezza 24/7 da un'azienda di venti persone è come imporre il furgone portavalori blindato all'alimentari sotto casa. insomma i buyer delle grandi aziende a volte pensano che i piccoli fornitori abbiano lo stesso budget di sicurezza loro. mostrate il contratto di outsourcing e andate avanti.

Sì, per quanto riguarda reparto di risposta agli incidenti informatici la situazione è esattamente così. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Sono emerse tre opinioni diverse, si completano a vicenda. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

È tutto, scusate se mi sono dilungato.

Sono passato da qui, vi racconto. Le soluzioni che funzionano su piccola scala crollano quando si cresce l'ho imparato tardi.

Lascio una nota, potrebbe servire.

separiamo i concetti, vengono confusi. se cerchi di cambiare tutto insieme nienet si stabilizza.

confermato dall'esperienza.

Può approfondire un po'? comunque se rimproverate i falsi allarmi nessuno segnalerà più nulla.

Correggetemi se sbaglio.

La strada che sembra economica di solito finisce per costare cara. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Avrei una domanda non vorrei deviare dall'argomento, ma... Più è difficile tornare indietro su una decisione più lentamente dovreste prenderla.

Buon lavoro.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Cercare di farlo da soli è la strada più costosa.

Buon lavoro.

Ci proverò.

C'è una parte che non ho capito. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Sono curioso di sapere se qualcuno lo fa in modo diverso.