POLICY DI SICUREZZA INFORMATICA

Di seguito si riporta una sintesi di quelle che sono le misure da adottare per la tutela dei dati, la gestione e la loro conservazione, descriviamo in modo specifico le varie tipologie di security da applicare, che siano attive o passive, modalità di accesso e definizione delle responsabilità.

Alimentazione elettrica controllata

In presenza di uno o più server è fondamentale che vi sia una o più unità UPS in grado di fornire l’adeguata alimentazione elettrica, ed in caso di blackout vi sia il modo di mantenere attivi i server e i servizi da essi erogati, o eventualmente lanciare delle procedure che effettuino uno spegnimento programmato dei server, così da evitare o ridurre eventuali perdite di dati.

Autenticazione e Sistema di autorizzazione

In una rete gli utenti debbono essere identificati in modo univoco da un servizio che autentichi gli accessi, così da permettere o vietare l’accesso al tal dato o alla tal applicazione.

Protezione Antivirus

Tutti i pc e i server, devono avere installato un antivirus le cui definizioni devono essere aggiornate con frequenza non inferiore a 24 ore.

Protezione S.O. o strumenti elettronici

I pc, server, in generale gli strumenti elettronici devono essere costantemente aggiornati, per prevenire vulnerabilità o correggere eventuali difetti.

Protezione RETE – FIREWALL

Nella rete dev’esserci un apparato, che delimiti la rete interna denominata LAN, che prevede normalmente un accesso completo alle risorse, dalla rete esterna, denominata WAN o internet. Il firewall che blocca e filtra svolge questo compito adottando diverse strategie che sono:

  1. [FIREWALL] Blocco di tutto il traffico proveniente da internet, abilitazione da e verso internet dei protocolli che si ritengono utili o indispensabili (come ad esempio HTTPS o SMTP).
  2. [IPS]Viene analizzato il traffico, a livello del singolo pacchetto, e se privo di minacce, viene lasciato passare, in caso contrario viene bloccato.
  3. [Antivirus] Simile al precedente viene analizzato uno o più protocolli (http,FTP,SMTP etc.), verificando l’eventuale presenza di agenti malevoli, come virus o malaware.

Consigliati ma non obbligatori:

  1. [WEB FILTERING] Controllo/blocco di siti o di contenuti non ritenuti appropriati o opportuni per l’attività lavorativa.
  2. [LOGGIN] Vengono registrati eventuali violazioni, IP di origine e destinazione, e altre informazioni che possano poi essere utilizzate sia per un’analisi per porre rimedio ad eventuali falle del sistema, sia in sede legale o di dibattimento, in caso di accessi indesiderati o di violazioni d’accesso o altre azioni ritenute non lecite.

Network Security (VA/PT)

Una corretta gestione della sicurezza si basa innanzitutto su un’adeguata conoscenza dell’attuale livello di protezione dei propri sistemi. Vulnerability Assessment e Penetration offrono una conoscenza dettagliata sullo stato di sicurezza dei propri sistemi informatici.

In particolare, attraverso diverse fasi di analisi, effettuate simulando differenti scenari di intrusione, le metodologie permettono di: 

  1. verificare che le informazioni sulla rete del Cliente visibili da Internet siano ridotte al minimo 
  2. verificare che non sia possibile ottenere accessi non autorizzati a sistemi ed informazioni
  3. valutare se per un utente interno sia possibile accedere ad informazioni o ottenere privilegi per i quali non ha l'autorizzazione necessaria
  4. verificare che una Web Application non contenga vulnerabilità che permettano ad un attaccante di ottenere accessi non autorizzati a dati riservati, in particolare impersonificazione di altri utenti, privilege escalation, accesso interattivo alla rete target, attacco all'utente dell'applicazione, Denial of Service.

PERIMETRI DI APPLICAZIONE

I paradigmi generali descritti in precedenza assumono contorni ben diversi a seconda del loro campo di applicazione. In questo senso, è possibile delineare principalmente tre diversi ambiti: 

  • VA / PT infrastrutturali: riguardano tutte le verifiche a livello di configurazione della rete wired, dei server ed eventualmente dei client. 
  • VA /PT applicativi: riguardano tutte le verifiche effettuate sulle singole applicazioni. 
  • PT infrastruttura wireless: riguardano tutte le verifiche specifiche per le reti senza fili.

BACKUP

Adozione di uno strumento che effettui il Backup dei dati, con logiche adeguate in base al volume dei dati presenti. In base alla struttura ed il grado di protezione, i dati possono essere conservati in luoghi diversi rispetto al posizionamento del server di origine.

Grado di servizio – Downtime stimato

In base all’attività e ai servizi erogati, è possibile che sia necessario valutare l’eventuale disservizio ed il tempo necessario per ripristinare le funzionalità. Il grado di servizio si può aumentare, inserendo nella struttura, servizi ridondati, Cluster RAID ed altro Hardware o Software che possa in caso di down rendersi immediatamente disponibile, dando e mantenendo il servizio o i servizi attivi. Tali strutture possono essere ridondate sia localmente che geograficamente.

In base alla complessità della struttura è possibile determinare il tempo necessario in caso di Disaster Recovery di uno o più servizi. Naturalmente questo dipende dalla tipologia del servizio erogato e dalla qualità che si intende ottenere, diverso da azienda a azienda in base agli obiettivi che si intende raggiungere; una banca ha sicuramente degli obblighi di servizio diversi rispetto ad una piccola o media azienda.

Procedura di ripristino

Adozione di una procedura definita e testata, che consenta di effettuare il ripristino dei dati.

I NOSTRI SERVIZI PER LA SICUREZZA INFORMATICA

  • Assistenza tecnica informatica, help desk telefonico e in remoto
  • Sviluppo software personalizzati desktop/web/mobile/firmware microcontrollori
  • Audit di Sicurezza informatica
  • Installazione Firewall standard e evoluti con filtro contenuti e IPS
  • Antivirus
  • Vpn
  • DATA BREACH e Analisi di Vulnerabilità del Sistema Informatico a norma Privacy GDPR
  • Reti wireless standard e distribuite
  • Wlan / load balance di adsl e connettività
  • Analisi Server & Sistemi operativi
  • Installazione configurazione e manutenzione, Active directory, Backup
  • Server standard e virtualizzarti HyperV e Vmware, Nas
  • Windows, Mac, Linux
  • Hosting siti internet, server di posta
  • Rivenditore CSP Office 365,
  • Partner Microsoft, Dell, Lenovo, HP

Per una verifica della Sicurezza del Sistema informatico e per un Analisi di Data Breach richiedi un preventivo a info@targetimpresa.com

CORSO PRIVACY REGOLAMENTO EUROPEO GDPR 2016/679


Newsletter

Iscriviti alla newsletter per ricevere aggiornamenti normativi e promozioni dei nostri corsi online