Dati relativi all'infrastruttura IT
Topologia di rete: Dettagli sulla struttura della rete, inclusi segmenti di rete, server, router, firewall, e dispositivi di rete.
Tipologia di sistemi operativi e applicazioni: Elenco dei sistemi operativi in uso e delle applicazioni critiche, con versioni specifiche.
Elenco degli asset digitali: Mappatura completa degli asset informatici, inclusi server, database, dispositivi endpoint, dispositivi IoT, sistemi SCADA (se applicabili), e sistemi cloud.
Ambiente di virtualizzazione e cloud: Informazioni sull’utilizzo di piattaforme cloud pubbliche, private o ibride e delle tecnologie di virtualizzazione (es. VMware, Hyper-V).
Politiche e procedure di sicurezza
Policy di sicurezza esistenti: Politiche interne relative alla gestione delle vulnerabilità, accesso ai dati, controllo degli accessi e gestione delle credenziali.
Procedure di risposta agli incidenti: Documentazione esistente sulle procedure di risposta agli incidenti di sicurezza informatica.
Piani di continuità operativa e disaster recovery: Informazioni sui piani di continuità aziendale in caso di incidenti e sugli obiettivi di ripristino.
Livello di criticità dei dati e delle operazioni
Tipologia dei dati trattati: Dettagli sui dati sensibili gestiti, come dati personali (GDPR), proprietà intellettuale, informazioni finanziarie, e segreti industriali.
Valutazione del rischio: Dati sulla valutazione del rischio esistente o sulla classificazione degli asset in base alla criticità operativa.
Obblighi di conformità: Normative e regolamenti a cui l'azienda deve aderire (es. GDPR, PCI-DSS, HIPAA, NIS 2).
Architettura di sicurezza esistente
Strumenti di sicurezza in uso: Elenco degli strumenti e tecnologie di sicurezza in uso, come firewall, sistemi di prevenzione delle intrusioni (IPS), antivirus, EDR (Endpoint Detection and Response), SIEM (Security Information and Event Management).
Soluzioni di monitoraggio esistenti: Eventuali piattaforme di monitoraggio e logging già attive, e come i log vengono raccolti e analizzati.
Livelli di protezione degli endpoint: Dettagli sui software di protezione endpoint e sulle configurazioni di sicurezza di base (antivirus, crittografia, protezione mobile).
Accessi e gestione degli utenti
Gestione degli utenti e degli accessi: Sistemi di gestione delle identità e degli accessi (IAM), con specifiche sugli accessi privilegiati.
Autenticazione multi-fattore (MFA): Se e come viene implementata l'autenticazione a più fattori per gli utenti, specialmente per gli accessi privilegiati.
Registro degli incidenti passati
Storico degli incidenti di sicurezza: Dati relativi a incidenti di sicurezza precedenti, comprese le vulnerabilità sfruttate e le modalità di attacco.
Tempo medio di rilevamento e risposta: Metriche relative alla capacità dell’azienda di rilevare e rispondere a un attacco informatico.
Ruoli e responsabilità interne
Ruoli del personale IT e sicurezza: Dettagli sui team esistenti dedicati alla sicurezza informatica, responsabili IT e chi gestisce la sicurezza delle informazioni.
Responsabilità di gestione degli incidenti: Informazioni sulle persone responsabili di gestire la risposta agli incidenti.
Livello di consapevolezza della sicurezza
Formazione del personale: Stato della formazione e consapevolezza del personale in termini di pratiche di sicurezza informatica e phishing.
Campagne di sensibilizzazione: Se sono in atto campagne di sensibilizzazione e aggiornamento per ridurre i rischi legati al comportamento umano.
Requisiti di reporting e notifica
Frequenza dei report: Necessità di report periodici per la gestione della sicurezza.
Obblighi di notifica degli incidenti: Tempistiche e modalità richieste per la notifica di incidenti alle autorità regolatorie (es. in conformità alla normativa GDPR o NIS 2).
Obiettivi di sicurezza e livelli di servizio (SLA)
Obiettivi di sicurezza: Dettagli sugli obiettivi specifici dell’organizzazione in termini di sicurezza (es. protezione dei dati personali, continuità operativa).
SLA per i servizi di sicurezza: Livelli di servizio attesi per il monitoraggio e la risposta agli incidenti (es. tempi di rilevamento e risposta).
Messaggio libero. Qui potete formulare richieste non inserite nell'elenco
Invia richiesta
