Ci impongono un «team di risposta agli incidenti di sicurezza» — un'azienda di 15 persone ne ha davvero bisogno?

Le grandi aziende copiano i propri standard interni e li sbattono davanti ai fornitori. Parlate direttamente con il reparto sicurezza della controparte. Sanno benissimo anche loro che in una struttura di 15 persone non si può mettere in piedi un CSIRT interno. Se mostrate un contratto di supporto esterno e una matrice di escalation interna vi danno l'ok.

Una clausola simile è capitata anche al nostro team di 20 persone a Dubai. Abbiamo stipulato un contratto di pronto intervento a chiamata con una società di sicurezza per 12.000 AED all'anno, con garanzia di intervento entro 4 ore. L'organo di controllo del cliente ha accettato la documentazione e abbiamo firmato il contratto.

edit: ho corretto alcuni errori di battitura.

Non rifiutate subito la clausola, ma non firmatela nemmeno alla cieca. Proponete alla controparte un allegato contrattuale in cui si specifica che la funzione di Incident Response Team viene coperta tramite un provider di sicurezza esterno qualificato con SLA garantito.

Non fate caso a quello che dice l'account manager quando parla di clausole non negoziabili è solo un intermediario. Le clausole sulla sicurezza si negoziano direttamente con il CISO o con il team di risk management del cliente. Se il livello di dati a cui ha accesso la vostra azienda non è critico, potete persino farvi esentare del tutto da questa clausola.

Vi suggerisco di consultarvi con il vostro consulente legale prima di firmare il contratto. Qualora assumeste questo impegno senza aver concordato un servizio con un fornitore esterno e si verificasse una violazione, potrebbero sorgere pesanti obblighi di risarcimento per inadempimento contrattuale.

quando è successo a noi abbiamo messo di reperibilità due sviluppatori interni ma l'auditor non se l'è bevuta. la cosa più pulita è farsi fare un retainer annuale da fuori, almeno non hai mal di testa.

A quali dati del cliente avrete accesso? I vostri sistemi saranno integrati direttamente sui loro server o vi limiterete a elaborare analisi in un ambiente isolato? Il vostro livello di accesso è la carta migliore da giocare per rendere le condizioni più flessibili.

niente panico nei processsi di offerta enterprise queste clausole spaventano sempre ma cioè il loro scopo non è affossarvi, ma solo avere un referente responsabile all'altro capo del telefono in caso di emergenza.

ho vissuto la stessa cosa due anni fa. cioè le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

se scrivete qui il risultato sarà utile anche ad altri.

Ci proverò.

Ho un'obiezione qui. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Quando prendi una decisione, guarda prima quali dati hai a disposizione. Naturalmente cambia se la vostra situazione è diversa.

Non lo sapevo.

grazie mille, proverò oggi ma più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

quando prendi una decisione, guarda prima quali dati hai a disposizione... onestamente sono curioso di sapere se qualcuno lo fa in modo diverso.

tre cose da controllare mentre lo fai poi se la verifica in due passaggi è attiva una password rubata da sola non serve a nulla.

questa è la mia opinione non la scrivo come verità assoluta.

Sono emerse tre opinioni diverse, si completano a vicenda. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Io seguirei questa strada.

Può approfondire un po'? Un report di scansione automatica e un penetration test non sono la stessa cosa.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. È tutto, scusate se mi sono dilungato.

Ho lavorato a lungo su questo. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Io seguirei questa strada.

Assolutamente. Se devo aggiungere qualcosa: Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Correggetemi se sbaglio.