Test di sicurezza e penetrazione informatica

I dati di audit sulla sicurezza IT comprendono report sui test di penetrazione, risultati di scansioni di vulnerabilità, risultati di audit sulla sicurezza delle informazioni e record di incidenti di sicurezza che dimostrano l'atteggiamento di sicurezza informatica di un'organizzazione. I test di penetrazione simulano attacchi nel mondo reale per identificare le vulnerabilità sfruttabili. Le scansioni delle vulnerabilità forniscono l'identificazione automatizzata delle vulnerabilità note nei sistemi e nel software. I rapporti di audit ISO 27001 forniscono una valutazione indipendente dei sistemi di gestione della sicurezza delle informazioni. La risposta agli incidenti registra gli eventi di sicurezza delle risorse e la capacità di risposta dell'organizzazione. Questa prova è richiesta dal Cyber ​​Resilience Act dell’UE, dal DORA, dall’articolo 32 del GDPR e dalle normative sulla sicurezza informatica specifiche del settore.

Le normative sulla sicurezza informatica richiedono sempre più prove registrate delle pratiche di sicurezza, non solo politiche e procedure. Il Cyber ​​Resilience Act dell’UE impone ai produttori di condurre test di vulnerabilità e di conservare i risultati dei test registrati. DORA richiede agli enti finanziari di eseguire regolarmente valutazioni del rischio ICT, test di penetrazione e gestione delle vulnerabilità, il tutto con prove registrate. L’articolo 32 del GDPR richiede misure tecniche e organizzative adeguate: le prove degli audit di sicurezza dimostrano quali misure sono in atto e che sono efficaci. Senza prove registrate di audit sulla sicurezza IT, le organizzazioni non possono dimostrare di aver adempiuto ai propri obblighi di sicurezza informatica.

I rapporti sui test di penetrazione registrano la metodologia di pentest interna ed esterna, i risultati, i percorsi di sfruttamento, le prove e lo stato di riparazione, necessari per la segnalazione delle vulnerabilità CRA e i test di penetrazione guidati dalle minacce DORA (TLPT). I risultati della scansione delle vulnerabilità da strumenti come Nessus, Qualys, OpenVAS e Rapid7 hanno rilevato vulnerabilità con valutazioni di gravità, sistemi interessati e monitoraggio delle soluzioni. I rapporti di audit ISO 27001 degli organismi di certificazione accreditati forniscono una valutazione indipendente dell’implementazione e dell’efficacia del SGSI. La risposta agli incidenti registra le tempistiche degli incidenti relativi alla sicurezza delle risorse, i metodi di rilevamento, le valutazioni dell'impatto, le azioni di contenimento e le revisioni post-incidente, fornendo prova della capacità di rilevamento e risposta agli incidenti richiesta da GDPR, DORA e CRA.

I rapporti sui controlli di sicurezza, i risultati dei test di penetrazione, le esportazioni delle scansioni di vulnerabilità e i record di risposta agli incidenti vengono caricati su Sustalium. I risultati si associano ai pertinenti quadri di conformità della sicurezza informatica: risultati pentest ai registri di conformità CRA e ai registri dei rischi ICT DORA, scansioni di vulnerabilità ai requisiti di gestione delle vulnerabilità DORA e prove di azioni preventive ISO 27001, registri degli incidenti alla disponibilità delle notifiche di violazione del GDPR e obblighi di monitoraggio post-vendita CRA. Sustalium tiene traccia delle scadenze di riparazione e dei programmi di ripetizione dei test, garantendo che le vulnerabilità identificate siano affrontate entro i tempi richiesti e che le prove della riparazione siano registrate.

Il Cyber ​​Resilience Act (CRA) dell’UE impone ai produttori di condurre test di vulnerabilità e di conservare prove registrate della gestione delle vulnerabilità per tutto il periodo di supporto del prodotto. DORA (Digital Operational Resilience Act) richiede valutazioni periodiche del rischio ICT, test di penetrazione e gestione della vulnerabilità per le entità finanziarie. L’articolo 32 del GDPR richiede misure di sicurezza registrate adeguate ai rischi del trattamento dei dati personali. La legge dell’UE sull’intelligenza artificiale richiede prove di test di sicurezza per i sistemi di intelligenza artificiale ad alto rischio. La norma ISO 27001 richiede audit interni, riesami della direzione ed evidenza di azioni correttive. Le normative specifiche del settore (servizi finanziari, sanità, infrastrutture critiche) impongono ulteriori requisiti di audit e test della sicurezza informatica. Gli acquirenti aziendali richiedono sempre più prove di audit di sicurezza come condizione per l'approvvigionamento.