Prende avvio oggi la presentazione settimanale dei controlli introdotti dalla nuova versione della norma ISO 27001:2022, 1 controllo ogni settimana.
Iniziamo questa settimana con il controllo: A.5.7 Informazioni sulle minacce.
Descrizione. Questo controllo esige la raccolta e l’analisi di dati relativi a minacce potenziali, in vista dell’adozione di opportuni provvedimenti di mitigazione. Queste informazioni potrebbero trattare specifici attacchi, tecniche e tecnologie impiegate dai malintenzionati, nonché trend attuali in fatto di attacchi. La raccolta di tali dati dovrebbe avvenire sia internamente che da fonti esterne, come rapporti dei fornitori, comunicati di enti governativi, e così via.
Tecnologia. Le imprese di minori dimensioni non avranno probabilmente necessità di nuove tecnologie in relazione a questo controllo, ma piuttosto dovranno imparare a ricavare informazioni sulle minacce dai loro sistemi attuali. Se non ne possiedono già uno, le imprese più ampie dovranno implementare un sistema che le informi di nuove minacce (nonché di vulnerabilità e incidenti). Le imprese di qualsiasi grandezza dovranno impiegare le informazioni sulle minacce per fortificare i propri sistemi.
Organizzazione/processi. Sarà necessario creare processi che riguardano la raccolta e l’uso delle informazioni sulle minacce al fine di implementare misure di prevenzione nei sistemi IT, perfezionare la valutazione dei rischi e introdurre nuovi approcci per i test di sicurezza.
Persone. È importante sensibilizzare il personale riguardo alla rilevanza di segnalare le minacce e fornire loro formazione su come e a chi dovrebbero comunicare tali minacce.
Documentazione. Non è richiesta alcuna documentazione specifica dalla norma ISO 27001; Tuttavia, è possibile inserire linee guida relative all’intelligence sulle minacce nei seguenti documenti:
Politica di sicurezza dei fornitori: stabilire il metodo di comunicazione delle informazioni sulle minacce tra l’organizzazione e i suoi fornitori e partner.
Procedure di gestione degli incidenti: stabilire il metodo di comunicazione delle informazioni sulle minacce all’interno dell’organizzazione.
Procedure operative di sicurezza: stabilire le modalità di raccolta ed elaborazione delle informazioni sulle minacce.
