Un audit di sicurezza informatica deve rispondere a una domanda definita e produrre conclusioni sostenute da prove. Prima di chiedere un preventivo, stabilire se occorre valutare architettura, configurazioni, codice, organizzazione o possibilità di intrusione. Un incarico chiamato semplicemente «audit completo» può generare offerte incomparabili e un rapporto che non copre il rischio per cui era stato acquistato.
Il riferimento francese PASSI dell’ANSSI offre un esempio di qualificazione dei servizi di audit. In Italia non va presentato come una certificazione obbligatoria per qualsiasi verifica o come una garanzia automatica di conformità al GDPR. La pagina ufficiale dei riferimenti ANSSI per la qualificazione consente di verificare il significato e l’ambito del riferimento quando viene proposto da un fornitore.
Scegliere il tipo di verifica in funzione della decisione
Un audit di architettura esamina componenti, flussi e confini di fiducia. Un audit di configurazione confronta impostazioni effettive con criteri dichiarati. L’analisi del codice cerca problemi nella realizzazione dell’applicazione. L’audit organizzativo verifica processi, ruoli e attuazione. Il test di intrusione esplora percorsi di attacco nel perimetro autorizzato.
Queste attività si completano ma non si sostituiscono. Un penetration test senza vulnerabilità sfruttate non dimostra che le procedure di revoca degli account siano efficaci. Un controllo dei documenti non dimostra che un’esposizione tecnica sia assente.
Scrivere la decisione attesa: approvare una messa in servizio, verificare una correzione, valutare un fornitore o riesaminare un servizio critico. La decisione sul rischio residuo di un sistema richiede di conoscere limiti e copertura dell’audit, oltre al numero dei rilievi.
Preparare il perimetro prima del preventivo
Elencare applicazioni, reti, ambienti, sedi, identità, servizi cloud e componenti gestite da terzi. La mappatura dei sistemi informativi deve identificare proprietari e dipendenze. Indicare anche esclusioni e ragioni: un database escluso perché fornito in modalità gestita resta una dipendenza da valutare attraverso altre evidenze.
Descrivere dimensioni e complessità in modo utile: numero di ruoli applicativi, interfacce, integrazioni, tecnologie e configurazioni diverse. Il semplice numero di indirizzi IP non rappresenta necessariamente il lavoro richiesto. Un singolo servizio può avere più organizzazioni logiche e livelli di autorizzazione da esaminare.
Per un sistema con dati personali, indicare categorie e sensibilità senza inviare subito copie reali. Il fornitore deve poter pianificare le protezioni e valutare la necessità di dati sintetici. La condivisione del materiale di gara è già un flusso da proteggere.
Valutare la competenza dichiarata dal fornitore
Chiedere esperienza pertinente alla tecnologia e al tipo di audit, metodologia, qualifiche effettivamente possedute e composizione del gruppo di lavoro. Se viene indicata una qualificazione, verificare titolare, attività coperte, validità e condizioni. Il logo in una presentazione non chiarisce se l’incarico proposto rientri nel suo ambito.
Il riferimento PASSI versione 2.2 permette di leggere il quadro francese quando interessa un gruppo internazionale o una controparte che lo richiede. L’eventuale necessità deriva dal contesto normativo o contrattuale pertinente, da accertare; non dall’esistenza del riferimento stesso.
Esaminare indipendenza e conflitti. Chi ha implementato il sistema può conoscere bene le configurazioni, ma il committente deve comprendere come viene garantita l’obiettività della valutazione. Per i rilievi che riguardano il lavoro precedente del medesimo fornitore, definire un livello di revisione adeguato.
Scrivere le condizioni operative dell’incarico
L’autorizzazione deve identificare soggetti, obiettivi, finestre, tecniche consentite, sistemi esclusi, contatti e condizioni di arresto. Per prove tecniche potenzialmente perturbanti, concordare limiti e gestione dell’emergenza. L’auditor non deve scoprire durante una prova che un indirizzo appartiene a un terzo non incluso nell’autorizzazione.
Stabilire accesso ai dati, canali di trasferimento, cifratura, conservazione delle evidenze e restituzione o cancellazione. Valutare il ruolo privacy effettivo e gli accordi pertinenti. Un rapporto di audit può contenere credenziali, vulnerabilità e dati personali: deve essere protetto durante tutto il ciclo dell’incarico.
Indicare come comunicare subito un problema critico. Attendere la presentazione finale può essere inappropriato quando emerge un’esposizione concreta. Allo stesso tempo, il canale urgente deve evitare di distribuire dettagli sfruttabili a destinatari non autorizzati.
Rendere confrontabili le offerte
| Voce | Domanda da porre | Effetto sulla comparabilità |
|---|---|---|
| Copertura | Quali sistemi e ruoli saranno esaminati? | Evita offerte con perimetri diversi |
| Metodo | Quali verifiche produrranno le conclusioni? | Distingue intervista, campione e prova tecnica |
| Accessi | Quali credenziali e documenti deve fornire il cliente? | Chiarisce prerequisiti e ritardi |
| Rapporto | Quali evidenze e istruzioni di correzione saranno incluse? | Misura l’utilità del risultato |
| Riesame | È previsto il controllo delle correzioni? | Separa prima analisi e chiusura dei rilievi |
| Esclusioni | Quali rischi non saranno valutati? | Impedisce di interpretare il rapporto oltre la copertura |
Il prezzo dipende dal lavoro effettivo e dalle condizioni dell’incarico. Chiedere un costo dettagliato per le attività necessarie, senza usare importi generici trovati online come presunta tariffa normativa. Anche il tempo richiesto al personale interno deve essere considerato nella pianificazione.
Un incarico ipotetico per un portale clienti
Un’impresa deve approvare una nuova area riservata. Il perimetro comprende autenticazione, ruoli di cliente e assistenza, interfacce del portale e integrazione con il CRM. Il database gestito dal fornitore cloud viene valutato attraverso configurazioni disponibili e documentazione pertinente, dichiarando il limite rispetto all’infrastruttura sottostante.
L’incarico combina analisi dell’architettura, verifica di configurazione e test applicativo autorizzato. Le prove usano account sintetici di due clienti distinti per verificare che ciascuno acceda soltanto ai propri documenti. È previsto un canale urgente per eventuali accessi trasversali e un controllo successivo della correzione.
Il rapporto rileva un ruolo di assistenza troppo ampio. Il responsabile applicativo modifica i permessi, l’auditor ripete il controllo e la direzione valuta il rischio residuo sulle parti non esaminate. La conclusione riguarda questo perimetro e questa versione; non viene trasformata in «azienda certificata sicura».
Leggere un rilievo prima di assegnarlo
Un rilievo utilizzabile contiene condizione osservata, sistema interessato, prova, conseguenza, priorità e indicazione di rimedio. La gravità deve essere spiegata nel contesto, distinguendo vulnerabilità teorica, sfruttabilità verificata e impatto possibile. Il rapporto deve dichiarare quando una prova è stata limitata per ragioni operative.
Collegare i rilievi a un piano con proprietario e scadenza. Per le configurazioni, la guida all’hardening Windows e Linux aiuta a trasformare una raccomandazione in modifica controllata e reversibile. Per i processi, definire chi cambia il comportamento e quale evidenza mostrerà il miglioramento.
La chiusura può richiedere una nuova prova o una verifica documentale, secondo il rilievo. Una dichiarazione «risolto» del team non equivale sempre a un controllo indipendente, ma non ogni correzione necessita di ripetere l’intera missione.
Collegare l’audit agli obblighi e al ciclo di gestione
L’articolo 32 del GDPR include, ove appropriato, un processo per testare, verificare e valutare regolarmente l’efficacia delle misure. Non prescrive un unico tipo di audit né una frequenza universale per ogni organizzazione. Altri regimi o contratti possono aggiungere requisiti specifici.
Il piano di igiene informatica permette di integrare i risultati nei controlli ordinari. Riesaminare il perimetro dopo cambiamenti, incidenti o nuove dipendenze. Un rapporto precedente rimane utile come evidenza storica, ma non descrive automaticamente il sistema dopo una migrazione.
Conservare la versione finale, le restrizioni, il piano di correzione e gli esiti dei controlli successivi. L’accountability permette così di dimostrare non soltanto che è stato acquistato un audit, ma che l’organizzazione ha usato i suoi risultati per prendere decisioni e correggere i problemi individuati.