DottPrivacy
DottPrivacy
Cybersecurity advisory
Una misura di sicurezza dichiarata in una policy vale quanto la prova che funziona. Verifica tecnica delle configurazioni, prova di ripristino dei backup, simulazioni di attacco e formazione delle persone che usano i sistemi ogni giorno.
Richiedi una verificaAmbiti di verifica
Separazione tra rete d'ufficio e rete di fabbrica, regole di frontiera, esposizione dei servizi verso internet, accessi remoti dei manutentori esterni.
Utenze amministrative, credenziali condivise, autenticazione a più fattori, revoca degli accessi alla cessazione del rapporto di lavoro.
Copie non raggiungibili dalla rete produttiva e prova di restore reale, cronometrata. Un backup mai ripristinato è un'ipotesi, non una misura.
Inventario delle versioni, finestre di aggiornamento compatibili con la produzione, gestione dei sistemi legacy che non si possono più aggiornare.
Che cosa viene registrato, per quanto tempo, chi lo guarda. Senza registrazioni non c'è ricostruzione dell'incidente né notifica documentabile.
Contratti, livelli di servizio, obblighi di notifica del fornitore e verifica di che cosa accade ai dati aziendali quando il rapporto si chiude.
Ambiente OT
PLC, SCADA, banchi di collaudo e macchine con sistemi operativi fuori supporto convivono con la rete gestionale. La sicurezza in ambiente industriale si progetta attorno al vincolo di continuità, non contro di esso.
Cronometro del ripristino
Scegliere il tempo massimo di fermo che l'azienda può sostenere. La barra distribuisce quel tempo fra le fasi reali di un ripristino: dichiarare un obiettivo è facile, starci dentro dipende dalle misure che seguono.
Il tempo di ripristino risponde alla domanda «per quanto restiamo fermi» l'obiettivo di punto di ripristino risponde a «quanti dati perdiamo», e si misura sulla frequenza delle copie. Sono due numeri distinti e vanno decisi dalla direzione, non dal reparto informatico. Un obiettivo dichiarato in una policy e mai verificato con un ripristino cronometrato resta un'ipotesi: la prova va rifatta a ogni modifica rilevante dei sistemi.
Dimostrazione
Che cosa succede fra il primo accesso e la schermata di riscatto, un passo alla volta, con le misure che interrompono la catena.
Formazione
Il corso unico per tutta l'azienda non funziona: l'amministratore ha bisogno di capire la propria esposizione personale, l'ufficio tecnico di procedure operative, il reparto di riconoscere un messaggio anomalo in tre secondi.
Formazione richiesta dal D.lgs. 138/2024 in capo agli organi di amministrazione: perimetro degli obblighi, responsabilità personale, criteri per approvare le misure e per pretendere che vengano attuate.
Sessioni brevi e ricorrenti su credenziali, posta elettronica, supporti rimovibili e trattamento dei dati personali, con verifica di apprendimento e registro delle presenze.
Campagne di phishing simulato con esito misurato e tavoli di crisi in cui la direzione decide, a fabbrica ferma per finta, chi chiama chi e in quale ordine.
Primo passo
Una giornata sul posto con chi amministra i sistemi, un rapporto leggibile anche dalla direzione e un elenco di interventi ordinati per rapporto tra rischio evitato e costo.
Fissa l'assessmentAltri ambiti