Sicurezza
Affidare la sicurezza a un fornitore: cosa resta comunque vostro
Un fornitore specializzato protegge l'infrastruttura meglio di quanto possiate fare internamente: monitoraggio continuo, aggiornamenti, competenze aggiornate. Ma accessi, formazione e processi restano vostri, ed è lì che nasce la maggior parte degli incidenti. Un contratto serio distingue le due metà e prevede prove periodiche, non promesse.
Quasi nessuna piccola o media impresa può permettersi di fare sicurezza informatica in casa. Serve qualcuno che guardi i sistemi anche di notte, che sappia cosa è uscito questa settimana e che abbia già visto un attacco vero. Affidarsi a chi lo fa di mestiere non è una resa: è la scelta razionale.
Il problema comincia quando "ce ne occupiamo noi" viene interpretato come "non è più un vostro problema". Perché la maggior parte delle violazioni non entra dalla porta che il fornitore sorveglia.
Le due metà, e dove succedono davvero i guai
Si chiama modello di responsabilità condivisa e vale per qualsiasi servizio gestito. Semplificando: il fornitore risponde della macchina, voi rispondete di chi ci entra e cosa ci fa.
Il fornitore, se è serio, si occupa di: aggiornamenti di sistema, separazione fra i clienti, cifratura, sorveglianza degli eventi, copie di sicurezza, risposta tecnica quando qualcosa va storto.
Resta vostro, e non è delegabile: chi ha le credenziali e con quali poteri, cosa succede quando una persona esce dall'azienda, quali dati raccogliete e perché, chi apre gli allegati, quali fornitori terzi hanno accesso, e la decisione su cosa fare quando succede qualcosa.
È una divisione scomoda, perché la metà non delegabile è anche quella dove nasce la maggioranza degli incidenti reali: una password riusata, un accesso mai revocato, un messaggio credibile che chiede un bonifico urgente. Nessun fornitore può metterci una toppa tecnica.
Potete comprare la sorveglianza. Non potete comprare la disciplina di chi ha le chiavi.Il confine che va scritto nel contratto
Cosa dovete pretendere da un fornitore
Non serve competenza tecnica per valutare: servono richieste precise e la disponibilità a metterle per iscritto.
- Separazione fra clienti. Chiedete come è realizzata. "Sono su server diversi" e "sono nella stessa applicazione con un filtro" sono due mondi.
- Tempi dichiarati, non promesse. Entro quanto vi avvisano di un incidente, entro quanto intervengono, entro quanto ripristinano. Con penali, altrimenti sono buone intenzioni.
- Prove periodiche di ripristino. Non "facciamo backup": quando è stato ripristinato l'ultimo, e cosa è stato verificato. Un backup mai riletto è un file di cui vi fidate.
- Registro degli accessi consultabile. Dovete poter sapere chi, da parte loro, ha toccato i vostri dati e quando.
- Diritto di verifica. Poter chiedere evidenze — rapporti, esiti di controlli, certificazioni valide — senza doverlo negoziare ogni volta.
- Piano di uscita. Come tornate in possesso dei dati, in che formato e in quanto tempo, se un giorno cambiate idea.
Le certificazioni: cosa dicono e cosa non dicono
Una certificazione come la ISO/IEC 27001 dice che il fornitore ha un sistema di gestione della sicurezza documentato e verificato da un ente esterno. È un segnale serio, e vale la pena chiederla.
Non dice però che siete al sicuro. Dice che esiste un metodo, che qualcuno lo ha controllato e che c'è un perimetro dichiarato — e quel perimetro va letto: una certificazione che copre la sede amministrativa e non il servizio che vi vendono non vi serve a molto.
Due controlli concreti: chiedete il numero di certificato e l'ente (verificabili nei registri pubblici degli organismi di accreditamento) e leggete il campo di applicazione. Chi è certificato ve li dà in un minuto; chi tergiversa vi ha appena risposto.
Se ospitate dati di altri, la catena si allunga
Se sulla vostra piattaforma ci sono dati dei vostri clienti, il vostro fornitore diventa un anello della loro catena. Significa due cose: che dovete poterlo nominare formalmente come chi tratta i dati per vostro conto, e che i suoi impegni devono essere almeno pari a quelli che voi avete preso con i vostri clienti.
È anche il motivo per cui vale la pena scegliere un'infrastruttura dove i controlli tecnici sono già in piedi: se il livello sotto è coperto, restano da governare i controlli organizzativi, che sono i vostri.
Le tre cose da fare comunque, questa settimana
- Secondo fattore su tutto quello che conta. Posta, gestionale, banca, pannelli di amministrazione. È la misura singola che ferma più attacchi, e costa zero.
- Lista degli accessi, aggiornata. Chi ha le chiavi di cosa, incluse le persone uscite e i fornitori. Quasi sempre la lista è più lunga di quanto chiunque si aspetti.
- Una prova di ripristino. Prendete il backup di ieri e provate a rimetterlo in piedi. Quello che imparate in quel pomeriggio vale più di qualsiasi relazione.
La domanda giusta da fare a un fornitore di sicurezza non è "siamo protetti?", a cui risponderà di sì. È: "cosa resta comunque nostro, e come me lo dimostrate?". Chi ha una risposta pronta a quella domanda, di solito, ha anche il resto in ordine.