Security Audit: 5 passaggi fondamentali

Secondo un report del 2021 di Gartner, il 41% dei dipendenti che durante la pandemia Covid del 2020 ha lavorato da remoto, prevede di continuare a lavorare da remoto. Tali scelte portano a nuove minacce alla sicurezza aziendale.

Controlli di sicurezza regolari permettono di avere un quadro più completo dell’ambiente di rischio per la sicurezza informatica della propria organizzazione e della preparazione per le minacce alla sicurezza come l’ingegneria sociale e gli attacchi di phishing.

Ma cosa si intende con “security audit”? Scopriamolo insieme in questo articolo.

Security Audit: cos’è e come funziona un controllo di sicurezza?

Un security audit è una valutazione del sistema informativo utile a misurare la sicurezza rispetto a un elenco di best practices del settore, degli standard stabiliti o delle normative in vigore. Un security audit completo valuterà i controlli di sicurezza relativi a:

• Componenti fisici del sistema informativo e dell’ambiente in cui è alloggiato il sistema
• Applicazioni e software, incluse le patch di sicurezza
• Vulnerabilità della rete, incluse le valutazioni sulle informazioni mentre viaggiano tra diversi punti all’interno e all’esterno della rete dell’organizzazione
• La dimensione umana, compreso il modo in cui i dipendenti raccolgono, condividono e archiviano informazioni sensibili.

Un security audit verifica se il sistema informativo dell’azienda aderisce a una serie di criteri interni o esterni che regolano la sicurezza dei dati. I criteri interni includono politiche e procedure IT dell’azienda mentre i criteri esterni includono regolamenti come l’Health Insurance Portability and Accountability Act (HIPAA), la legge Sarbanes-Oxley (SOX), le norme stabilite dall’Organizzazione internazionale per la normalizzazione (ISO) o l’Istituto nazionale per gli standard in tecnologia (NIST). Un security audit permette di individuare le aree dove è necessario intervenire per la correzione e la crescita.

Security Audit: perché è importante e in cosa consiste?

Un security audit consiste in una valutazione completa di tutti i componenti dell’infrastruttura IT, inclusi sistemi operativi, server, strumenti di comunicazione e condivisione digitali, applicazioni, processi di archiviazione, raccolta dei dati e molto altro.

Un security audit fornisce una lista dei principali punti deboli della sicurezza e identifica dove, invece, i criteri sono pienamente soddisfatti. Gli audit di sicurezza sono fondamentali per una valutazione del rischio e per adottare strategie di mitigazione per le aziende che si occupano di dati sensibili e riservati.

I passaggi da seguire sono spesso determinati dalla strategia di conformità che l’organizzazione deve adottare ma, tuttavia, esistono 5 componenti comuni:

1. Criteri di controllo della sicurezza: determinare quali criteri esterni si desidera o è necessario soddisfare ed utilizzarli per sviluppare l’elenco delle funzionalità di sicurezza da analizzare e testare. Tenere traccia dei criteri interni dell’azienda se il team IT prevede problemi di sicurezza informatica che i criteri esterni potrebbero non coprire.
2. Formazione del personale: stilare una lista con i membri del personale che hanno accesso alle informazioni sensibili e quali dipendenti sono stati formati nella gestione del rischio di sicurezza informatica o nelle pratiche di conformità. Pianificare una formazione per coloro che ne hanno bisogno.
3. Registri di rete: monitorare l’attività di rete e i registri eventi, tenere traccia dei registri aiuterà a garantire che solo i dipendenti autorizzati accedano a dati riservati e che tali dipendenti seguano le misure di sicurezza appropriate.
4. Vulnerabilità: il controllo di sicurezza, prima di un penetration test o di una valutazione delle vulnerabilità, dovrebbe scoprire le problematiche più evidenti, ad esempio se una patch di sicurezza è obsoleta.
5. Protezione: assicurarsi che l’azienda sia in grado di prevenire le frodi, ad esempio limitando l’accesso degli utenti ai dati sensibili. Verificare che le reti wireless siano sicure, che gli strumenti di crittografia siano aggiornati e che il software antivirus sia installato ed aggiornato.

Security Audit: cos’è nella sicurezza informatica?

Un controllo di sicurezza sul piano di sicurezza informatica garantisce un’adeguata protezione per reti, dispositivi e dati dell’azienda e tutela quest’ultimi da eventuali perdite, violazioni e interferenze criminali. Gli audit di sicurezza sono, oltre a penetration test e valutazione delle vulnerabilità, uno dei tre tipi principali di strategie di valutazione della sicurezza informatica che comportano l’esecuzione di test in tempo reale sulla forza di firewall, malware, password e misure di protezione dei dati.

Le aziende necessitano di controllo di sicurezza regolari per assicurarsi di proteggere adeguatamente le informazioni sensibili dei clienti e rispettare le normative vigenti in materia.

Security Audit: come si esegue un controllo di sicurezza?

La modalità di esecuzione di un controllo di sicurezza dipende dai criteri utilizzati per valutare i sistemi informativi dell’organizzazione. Un controllo di sicurezza completo spesso coinvolge revisori sia interni che esterni e i passaggi dipendono dalle misure di conformità.

Esistono due direzioni analitiche:

1. Audit esterno: simulazioni di attacchi esterni aventi lo scopo di acquisire informazioni sul sistema informatico dell’azienda e analizzare tutte le componenti visibili dall’esterno, al fine poi da rilevare possibili vulnerabilità e vie di accesso che possono consentire attacchi, su cui bisognerà intervenire;
2. Audit interno: utilizzato per verificare lo stato della sicurezza del sistema informatico aziendale interno, che individua attraverso una serie di test diverse classi di vulnerabilità che potrebbero essere sfruttate per violare lo stesso sistema e i dati in esso contenuti.

Il rapporto finale proveniente dalle due analisi mostrerà tutte le informazioni rilevate riguardo il sistema in oggetto, le caratteristiche, le porte aperte, i bug di sistemi operativi e i servizi attivi, necessari per poter rilevare eventuali vulnerabilità e rendere più efficaci i sistemi di protezione.

La frequenza dei controlli di sicurezza dipenderà dalle dimensioni e dal settore dell’azienda, nonché dalla frequenza con cui si trattano informazioni riservate. Inoltre, la frequenza è determinata dai requisiti normativi che l’azienda è tenuta a soddisfare per legge.

Tuttavia, il miglior intervento è la prevenzione, che inizia con audit regolari (almeno una volta all’anno).

Security Audit: IT security audit in azienda

L’IT Security Audit o security auditor è una figura professionale che si occupa di effettuare delle verifiche sull’efficacia dei sistemi di sicurezza dei programmi informatici, individuando i possibili punti deboli. Tale ruolo è fondamentale per le aziende (sia pubbliche che private) poiché il suo obiettivo è quello di proteggere i sistemi informatici dall’attacco di eventuali pirati informatici, ma anche di vigilare affinché i lavoratori dell’azienda stessa non commettano violazioni diffondendo dati sensibili all’esterno.

L’IT Security Audit è un’attività professionale attuata verso organizzazioni con scopo, dimensioni, complessità e struttura diversi e può essere esercitato anche da professionisti di audit, si a interni che esterni all’organizzazione.

L’attività di internal auditing è regolata a livello internazionale dagli standard di riferimento emanati dall’Institute of Internal Auditors (IIA). Il compito dell’internal auditor è quello di integrare metodologie e strumenti per un’efficace ed efficiente azione di controllo.

In definitiva, l’IT audit si occupa di effettuare verifiche sulla conformità dei sistemi informativi di un’organizzazione in base a quanto previsto da norme, regolamenti o pratiche interne, secondo le seguenti modalità:

1. Revisione del processo di innovazione tecnologica
2. Verifica e confronto innovativo
3. Verifica della posizione tecnologica

Possiamo riassumere in cinque categorie le aree di competenza dell’IT audit:

1. Sistemi e applicazioni: un audit deve poter verificare che i sistemi e le applicazioni siano appropriati, efficienti ed adeguatamente controllati per garantire validi livelli di lavorazione dello stesso sistema.
2. Elaborazione dati Facilities: un audit per verificare che l’impianto di trattamento è controllato, deve garantire l’elaborazione tempestiva delle applicazioni, anche in condizioni potenzialmente pericolose.
3. Sistemi di sviluppo: un audit per verificare che i sistemi in fase di sviluppo siano conformi agli obiettivi dell’organizzazione, deve garantire che i sistemi siano stati sviluppati in conformità con le norme generalmente accettate dalla stessa organizzazione.
4. Gestione di IT e di Enterprise Architecture: un audit deve verificare che la gestione IT abbia sviluppato un ambiente controllato per l’elaborazione delle informazioni di un’intera struttura organizzativa.
5. Client/Server, Telecomunicazioni, Intranet ed Extranet: un audit deve verificare che siano attivi i controlli di telecomunicazioni, sul client, server e sulla rete che collega client e server.