Ci hanno detto «vi serve la sicurezza delle informazioni» — da dove iniziare in un'azienda di 10 persone?

La cifratura dei dischi deve essere il primissimo passo. Attivate la crittografia nativa del sistema operativo su tutti i portatili dell'ufficio. Se un dipendente dimentica il portatile al bar, contratti e dati all'interno restano protetti. Inoltre bloccate le chiavette USB tramite policy di gruppo: è un'operazione a costo zero che taglia a monte metà delle possibili fughe di dati.

Esaminate bene il modulo inviato dal cliente. Di solito le grandi aziende usano questionari standard di sicurezza copia-e-incolla per tutti. Molte voci possono essere negoziate per i piccoli fornitori. Prima di spendere subito quei 100.000 ruble chiedete al referente acquisti quali punti sono obbligatori e quali solo consigliati.

L'anno scorso anche noi ci siamo trovati davanti a una richiesta simile con il nostro team di 12 persone. Abbiamo pagato 70.000 ruble a un consulente di sicurezza esterno per farci preparare una matrice di accessi di base, configurare il 2FA e stilare una linea guida di una pagina per i dipendenti. Quando il grande cliente ha visto il documento e gli screenshot dell'avvenuta implementazione ci ha dato l'ok.

Lunedì come prima cosa iniziate a usare un password manager. Impedite ai dipendenti di accedere ai pannelli condivisi con password semplici o salvate nel browser. Introducete l'obbligo di password complesse e aggiornate ogni tre mesi.

Il vostro cliente è un ente pubblico o un'azienda privata? Se vi collegherete direttamente tramite API a un database contenente dati personali, è possibile che a livello normativo richiedano software di sicurezza con licenza locale o certificazioni specifiche?

Non spaventatevi affatto. Anche a noi, quando ce l'hanno detto la prima volta, sembrava che servissero server e hardware da centinaia di migliaia di rubli. In realtà la questione riguarda più la disciplina in ufficio che i dispositivi tecnici. insomma già solo la regola che ognuno usi il proprio account e che non si lasci lo schermo sbloccato alla scrivania vi protegge da tantissimi rischi.

nn lasciate manco un account email senza autenticazione a due fattori. insomma la vera paura del cliente e che se bucano la mail di un vostro dipendente poi parte un attacco di phishing verso la loro rete interna. bloccate questa cosa e il resto si risolve facile.

Le richieste di sicurezza informatica da parte delle grandi aziende derivano solitamente dalle procedure di gestione del rischio di terze parti. Nella policy di sicurezza delle informazioni che preparerete, dovranno essere specificate chiaramente le modalità di trattamento dei dati, il luogo di archiviazione, i soggetti autorizzati all'accesso e le procedure di eliminazione dei dati.

Parlo dal lato opposto, io sono dalla parte dei fornitori. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Nessun processo migliora senza tracciamento, perché non sai cosa correggere. Buon lavoro.

La risposta sopra ha colto l'essenza della questione. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Confermato dall'esperienza.

Esatto e non è nemmeno così noto. Il vero problema non è il numero ma su cosa si basa quel numero.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Ho vissuto la stessa cosa. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Se avete domande scrivete rispondo per quanto possibile.

Racconto la mia esperienza. L'errore commesso da sicurezza delle informazioni aziendali è generalmente reversibile ma costoso.

Io seguirei questa strada.

lo sentiamo dire da tempo ma da noi non è mai andata così. comunque chiunque abbia fretta su siucrezza delle informazioni aziendali si blocca nello stesso punto.

se scrivete qui il risultato, sarà utile anche ad altri.

Grazie per aver scritto. La risposta varia molto in base al settore, non esiste una regola generale.

Naturalmente cambia se la vostra situazione è diversa.

sono nella stessa situazione per questo chiedo. la risposta varria molto in base al settore non esiste una regola generale.

confermato dall'esperienza.

Separiamo i concetti vengono confusi. onestamente se il percorso di notifica è lungo la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Correggetemi se sbaglio.

Bisogna fare una distinzione qui. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Buon lavoro.