Cosa sono i controlli di sicurezza?

Dato il crescente aumento di attacchi informatici, oggi i controlli sulla sicurezza dei dati sono più importanti che mai. Secondo uno studio della Clark School della University of Maryland, gli attacchi alla cybersecurity negli Stati Uniti ora si verificano in media ogni 39 secondi, colpendo un americano su tre ogni anno. Inoltre, il 43% di questi attacchi prende di mira le piccole imprese. Secondo Cost of a Data Breach 2025, tra marzo 2024 e febbraio 2025 il costo medio di una violazione dei dati negli Stati Uniti è stato di 10,22 milioni di dollari, il massimo storico per qualsiasi regione nei 20 anni di pubblicazione di questo report.

Allo stesso tempo, le normative sulla privacy dei dati sono in aumento, il che rende fondamentale per le aziende rafforzare le proprie politiche in materia di protezione dei dati o prepararsi a potenziali sanzioni. Nel 2018, l'Unione Europea ha implementato le rigide norme del Regolamento Generale sulla Protezione dei Dati (GDPR). Negli Stati Uniti, il California Consumer Privacy Act è entrato in vigore il 1° gennaio 2020, mentre molti altri stati stanno attualmente valutando misure simili. Queste normative in genere prevedono sanzioni severe per le aziende che non soddisfano i requisiti previsti. 

Esistono diversi tipi di controlli di sicurezza che possono proteggere hardware, software, reti e dati da azioni ed eventi che potrebbero causare perdite o danni, come ad esempio:

• I controlli di sicurezza fisica includono recinzioni perimetrali del data center, serrature, custodi, schede di controllo accessi, sistemi di controllo accessi biometrici, telecamere di sorveglianza e sensori di rilevamento delle intrusioni.
  
  
• I controlli di sicurezza digitali includono nomi utente e password, autenticazione a due fattori, software antivirus e firewall.
  
  
• I controlli di cybersecurity includono tutto ciò che è specificamente progettato per prevenire gli attacchi ai dati, tra cui la mitigazione degli attacchi DDoS e i sistemi di prevenzione delle intrusioni.
  
  
• I controlli di sicurezza del cloud includono le misure adottate in collaborazione con un provider di servizi cloud per offrire la protezione necessaria a dati e workload. Se la tua organizzazione esegue workload sul cloud, devi rispettare i requisiti di sicurezza delle politiche aziendali o di business e le normative del settore.

I sistemi di controllo di sicurezza, compresi i processi e la documentazione che definiscono l'implementazione e la gestione continua di questi controlli, sono definiti framework o standard.

I framework consentono a un'organizzazione di gestire in modo coerente i controlli di sicurezza su diversi tipi di risorse in base a una metodologia generalmente riconosciuta e testata. Di seguito sono indicati alcuni dei framework e degli standard più noti:

Nel 2014 il NIST (National Institute of Standards and Technology) ha creato un framework volontario per fornire alle organizzazioni una guida su come prevenire, rilevare e affrontare gli attacchi informatici. I metodi e le procedure di valutazione determinano se i controlli di sicurezza di un'organizzazione sono implementati correttamente e funzionano come previsto. Garantiscono che questi controlli producano il risultato desiderato, soddisfacendo i requisiti di sicurezza dell'organizzazione. Il framework del NIST viene costantemente aggiornato in base ai progressi registrati nel campo della cybersecurity.

Il CIS (Center for Internet Security) ha ideato un elenco di azioni difensive ad alta priorità come punto di partenza "must-do, do-first" per ogni azienda che vuole prevenire gli attacchi informatici. Secondo il SANS Institute, che ha contribuito al loro sviluppo, "i controlli del CIS sono efficaci perché si basano sui modelli di attacco più comuni evidenziati nei principali report sulle minacce e controllati da una comunità molto ampia di professionisti del governo e del settore".

Le organizzazioni possono fare riferimento a questi e altri framework di sicurezza per sviluppare il proprio e stilare le politiche di sicurezza IT. Un framework ben sviluppato aiuta a garantire che un'organizzazione:

• Applicare le politiche di sicurezza IT tramite i controlli di sicurezza
• Istruire i dipendenti e gli utenti sulle linee guida per la sicurezza
• Rispettare le normative di settore e di conformità
• Raggiungere un'efficienza operativa tramite i controlli di sicurezza
• Valutare costantemente i rischi e gestirli tramite i controlli di sicurezza

Una soluzione di sicurezza è forte quanto il suo anello più debole. Devi quindi considerare più livelli di controlli di sicurezza, strategia nota anche come "difesa in profondità", per implementarli nella gestione dell'identità e degli accessi, nei dati, nelle applicazioni, nell'infrastruttura di rete o del server, nella sicurezza fisica e nell'intelligence della sicurezza.

Una valutazione dei controlli di sicurezza è un ottimo primo passo per determinare quali sono gli eventuali punti deboli. Consente di valutare i controlli attualmente in atto per determinare se sono implementati correttamente, se funzionano come previsto e se rispettano i requisiti di sicurezza.

La pubblicazione speciale NIST 800-53 sviluppata dal NIST agisce da punto di riferimento per effettuare correttamente le valutazioni dei controlli di sicurezza. Le linee guida del NIST rappresentano un approccio di best practice che, se adottato, consente di ridurre il rischio di violazione della sicurezza per la tua organizzazione. In alternativa, l'organizzazione può anche creare una propria valutazione di sicurezza.

Alcuni passaggi chiave per creare una valutazione della sicurezza includono:

• Determinare i sistemi di destinazione: crea un elenco di indirizzi IP da scansionare nella rete. L'elenco deve contenere gli indirizzi IP di tutti i sistemi e i dispositivi collegati alla rete dell'organizzazione.
  
  
• Determinare le applicazioni di destinazione: elenca le applicazioni web e i servizi da scansionare. Determina il tipo di server delle applicazioni web, il server web, il database, i componenti di terze parti e le tecnologie utilizzate per creare le applicazioni esistenti.
  
  
• Eseguire la scansione delle vulnerabilità e segnalarle: mantieni informati tutti i gruppi di rete e i gruppi IT coinvolti nelle attività di valutazione. A volte una valutazione delle vulnerabilità può generare dei burst nel traffico di rete durante il caricamento di richieste nei server di destinazione. Inoltre, ottieni il pass-through non autenticato per gli IP dello scanner nella rete dell'organizzazione e assicurati che gli IP siano inseriti nella whitelist in IPS/IDS. In caso contrario, lo scanner può attivare un avviso di traffico dannoso, con conseguente blocco dell'IP.

Scopri di più su come valutare la vulnerabilità delle applicazioni e della rete della tua azienda creando una valutazione della sicurezza.