Cercano di venderci un servizio SIEM — per le nostre dimensioni serve davvero, a cosa serve?

Quello che dice il commerciale ("il SIEM è obbligatorio per la KVKK") non corrisponde al vero. La legge richiede di adottare misure tecniche ragionevoli per la sicurezza dei dati personali e di poter verificare a ritroso i log delle operazioni, non cita espressamente i software SIEM. Se riuscite a conservare i log di accesso di base con marca temporale dal punto di vista legale soddisfate già i requisiti minimi. Cercano solo di chiudere il contratto facendo leva sulla paura.

Noi siamo uno studio di architettura di 55 dipendenti. Due anni fa, presi da un'ansia simile, abbiamo attivato un servizio del genere pagando 18.000 TL al mese. Per sei mesi ci hanno inviato ogni settimana dei report PDF standard. Andando a controllare, abbiamo visto che generava trecento falsi allarmi a settimana e nessuno era una minaccia reale. Alla scadenza del contratto abbiamo disdetto e siamo passati a licenze endpoint avanzate, riducendo i costi a un terzo.

Il motore del SIEM per funzionare bene deve fare correlazione. Bisogna dare in pasto gli eventi di Active Directory, switch, log del firewall, tutto quanto. Ma in un posto con 40 computer quanti eventi di sicurezza significativi possono capitare al giorno? La maggior parte degli allarmi sarà del tipo "Ahmet ha sbagliato la password tre volte". Pagare migliaia di lire al mese di canone esterno solo per monitorare questo non ha senso.

hanno raccontato la stessa cosa anche al nostro capo e poi il server dell'ufficio si è preso un ransomware. il motivo? la collega della contabilità aveva aperto una finta fattura ricevuta via mail e non c'era neanche l'accesso a due fattori. ci hanno detto che col siem avremmo solo visto il virus diffondersi in diretta. secondo me prima chiudete le falle basilari.

Tra i vostri clienti ci sono grandi industrie automobilistiche o partner esteri che impongono audit? A volte le grandi aziende impongono da contratto determinati standard di sicurezza o sistemi di monitoraggio in tempo reale ai propri fornitori. Se non c'è questa pressione normativa esterna, l'offerta sembra decisamente sovradimensionata per voi.

Prima di impegnare quei soldi in un servizio SIEM verificate se avete smarcato questi tre punti: 1) I server di contabilità ed ERP hanno porte aperte direttamente verso internet? 2) I backup sono conservati in un ambiente fisicamente isolato dalla rete? 3) Su tutti i dispositivi gira una protezione endpoint con licenza e gestione centralizzata? Se mancano questi, il SIEM serve solo a guardare la casa che brucia.

Ringraziate gentilmente per l'offerta e aumentate lo spazio di archiviazione dei log sul firewall che avete già. Mettete un'unità di storage esterna, indirizzate lì i log e fate un controllo giornaliero dei backup, basta e avanza. Invece di sborsare 22.000 TL al mese, destinate quei soldi al personale IT o all'aggiornamento dell'hardware.

Nella società di logistica dove lavoravo prima lo hanno implementato con lo stesso entusiasmo. Il primo mese, a causa delle centinaia di allarmi continui, il team IT ha silenziato le notifiche. Al quarto mese, proprio in mezzo a quelle notifiche silenziate, non ci siamo nemmeno accorti che un server veniva criptato. La differenza non la fa il software ma la qualità del tecnico che ci sta dietro; con il budget di una PMI, purtroppo, quella competenza non te la compri.

Nota: ho scritto questo basandomi sulla mia esperienza, potrebbe non valere per tutti.

C'è una cosa a cui prestare attenzione. Quando prendi una decisione guarda prima quali dati hai a disposizione.

Correggetemi se sbaglio.

Il punto più trascurato riguardo a cos'è un servizio SIEM è questo: Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Buon lavoro.

Ci proverò. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

È tutto, scusate se mi sono dilungato.

Racconto cosa mi è successo, magari vi è utile. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore. Io seguirei questa strada.

Sono d'accordo.

Sono d'accordo. onestamente se è la prima volta inizia in piccolo, il ridimensionamento viene dopo.

La penso diversamente. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla. È tutto, scusate se mi sono dilungato.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Spero che le sia utile.

Sono d'accordo. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Sosterrò l'opposto, non prendetela male. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse. È tutto, scusate se mi sono dilungato.