Protezione informatica pratica

Perché il punto di partenza determina la verificabilità

Molti progetti IT-Grundschutz iniziano con un lungo elenco di requisiti. Sembra accurato, ma produce rapidamente fogli di calcolo sparsi, proprietà incoerenti e prove che devono essere raccolte subito prima di un audit.

Un punto di partenza migliore è un ambito pulito. Quali unità organizzative, processi, applicazioni, sistemi IT, reti e fornitori di servizi rientrano effettivamente nel concetto di sicurezza? Questa decisione determina quali moduli sono rilevanti e quali prove dovranno successivamente resistere a un audit.

• Definire l'ambito per iscritto e nominare i proprietari responsabili
• Registra le risorse di destinazione con nomi, categorie e proprietari inequivocabili
• Rendi visibili le relazioni tra processi, dati, applicazioni e infrastruttura

La modellazione è un modello funzionante, non una forma

La modellazione collega le risorse target reali ai moduli IT-Grundschutz adeguati. Il suo valore non deriva solo dall'assegnazione, ma dal fatto che la struttura del dominio informativo sia rappresentata in modo coerente.

Se un processo critico dipende da un'applicazione, da un segmento di rete e da un provider esterno, tale dipendenza deve essere visibile nel concetto di sicurezza. Solo allora è possibile spiegare in modo convincente le esigenze di protezione, lo stato di attuazione e i rischi residui.

• Spiegare l'assegnazione di ciascun modulo per la relativa risorsa di destinazione
• Documentare le dipendenze prima di valutare le misure di salvaguardia
• Contrassegnare tempestivamente le eccezioni e i casi speciali come punti in sospeso

Un margine minimo ragionevole per il primo passaggio

Per il primo passaggio difendibile, un ambito chiaro e compatto è spesso più utile di uno ampio ma vago. Inizia con un dominio informativo rappresentativo i cui processi, applicazioni e infrastruttura sono ben compresi.

Il metodo può quindi essere ripetuto: aggiungere risorse target, estendere le assegnazioni dei moduli, propagare le esigenze di protezione, dare priorità alle garanzie aperte e raggruppare le prove per proprietà.

• Costruisci il primo concetto di sicurezza con una chiara profondità piuttosto che con la massima ampiezza
• Dare priorità alle salvaguardie aperte in base al rischio, alla rilevanza dell’audit e alla fattibilità
• Collegare le prove in cui viene valutato il requisito corrispondente