Il cliente ci chiede un SOC, ma per un'azienda di 20 persone è davvero obbligatorio?

Non mettete subito la spunta su «No» nel questionario. Fate prima un accordo preliminare con un MSSP esterno e compilate il modulo indicando «Monitoraggio 24/7 gestito tramite infrastruttura SOC di terze parti», altrimenti vi scartano a priori.

edit: ho scritto da telefono, scusate gli errori di battitura.

Noi abbiamo partecipato a una gara pubblica simile con un team di 22 persone. Se avessimo dovuto farlo internamente, ci sarebbero voluti almeno 400.000 SAR all'anno solo di personale. Abbiamo preso un servizio SOC in outsourcing: paghiamo circa 4.800 SAR al mese per 8 server e 25 endpoint e abbiamo passato l'audit del cliente senza problemi.

Assicuratevi che il SOC esterno a cui vi rivolgete conservi i log all'interno dei confini dell'Arabia Saudita. Secondo le normative nazionali sui dati, per i fornitori che operano in settori critici il trasferimento dei log di sicurezza all'estero può comportare sanzioni amministrative.

I grandi enti inviano questi questionari a tutti come template standard. Molto spesso sanno già che una piccola software house non può permettersi certi costi. Se vi sedete al tavolo spiegando che vengono monitorati solo gli endpoint delle API e garantite la conservazione dei log, potrebbero ammorbidire il requisito.

chi dice a un'azienda di 20 persone di farsi un soc interno non sa come gira il mondo... fallisci pure se prendi analisti su 3 turni. prendetevi un pacchetto condiviso tramite mssp mostrate il contratto al cliente e siete a posto.

edit: ho scritto una cosa sbagliata sopra, scusate.

Quando valutate i preventivi dei provider esterni, verificate questi tre parametri: 1) Tempo di prima risposta sugli alert di sicurezza critici (lo SLA deve essere tra i 15 e i 30 minuti), 2) Conservazione dei log per almeno 12 mesi a ritroso, 3) Report mensile degli incidenti di sicurezza in un formato presentabile al cliente durante gli audit.

Nel capitolato inviato dal cliente c'è un riferimento esplicito ai controlli NCA ECC (Essential Cybersecurity Controls) o CCC (Critical Cybersecurity Controls)? Se sì, che livello di conformità viene richiesto?

noi avevamo attviato gli alert di sicurezza e le notifiche email del nostro cloud provider, questo da solo non basta a coprire il requisito del centro operativo?

Ha ragione. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza. Buon lavoro.

Sosterrò l'opposto, non prendetela male. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza. cioè questa è la mia opinione non la scrivo come verità assoluta.

riassumo quato detto finora. nessun processo migliora senza tracciamento, perché non sai cosa correggere.

avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio poi boh correggetemi se sbaglio.

Riassumo quanto detto finora. Inizia con un piccolo test, non impegnarti subito su tutto.

Buon lavoro.

Avete ragione, sono passato anch'io per la stessa strada. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

A me è successo l'esatto contrario, per questo scrivo. Il vero problema non è il numero, ma su cosa si basa quel numero.

Confermato dall'esperienza.

Assolutamente. Se devo aggiungere qualcosa: Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Lascio una nota, potrebbe servire.

Sono della stessa opinione. Un backup non testato non è un backup.

Spero che le sia utile.

Esattamente così. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Confermato dall'esperienza.

separiamo i concetti vengono confussi poi cioè gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.