Sicurezza di livello professionale su cui puoi contare

• L'organizzazione implementa strumenti di monitoraggio degli attacchi, come sistemi di rilevamento e prevenzione delle intrusioni basati su rete e firewall per applicazioni web.
• Inoltre, vengono utilizzati firewall per applicazioni web di livello 7.

• Software anti-malware è installato su tutti i dispositivi endpoint (desktop, laptop, smartphone e tablet).
• La firma del codice delle applicazioni, l'isolamento in sandbox e la quarantena dei file sono applicati su tutti gli smartphone e tablet.
• Tecnologie EDR/XDR sono utilizzate come agenti anti-malware su tutti i desktop e laptop.
• EDR/XDR è gestito e monitorato da un Centro Operativo di Sicurezza (SOC) attivo 24/7.
• Il software anti-malware è gestito centralmente e monitorato esclusivamente da personale autorizzato.

• L'organizzazione implementa controlli che limitano l'accesso ai dati a server e applicazioni attendibili tramite canali crittografati con autenticazione forte.
• Sono in atto controlli che limitano l'accesso a applicazioni e dati critici da parte di terzi a dispositivi o endpoint attendibili, solo tramite crittografia e autenticazione forte.
• L'autenticazione a più fattori (MFA) è implementata per consentire ai dipendenti l'accesso ai dati in applicazioni critiche.
• L'accesso ai dati è limitato, quindi i consulenti che necessitano di accedere alle nostre applicazioni devono utilizzare anche un endpoint attendibile.

• Le connessioni HTTPS in entrata sono protette con crittografia TLS 1.2 o superiore.
• Sicurezza simile è utilizzata per altri tipi di connessioni crittografate come IPsec, SSH o SFTP.
• La crittografia asimmetrica di file o messaggi utilizza RSA con chiavi di almeno 2048 bit o ECC con curve standard come P256.
• La crittografia simmetrica di file o messaggi utilizza AES con lunghezza di almeno 256 bit.
• Gli endpoint (desktop, laptop, smartphone e tablet) sono protetti con crittografia completa del disco rigido.
• I backup off-site dei database sono protetti con crittografia forte.
• Le email sono crittografate durante la trasmissione su internet, da server a server, in entrata e in uscita, con crittografia TLS opportunistica.
• Domini email specifici sono protetti con crittografia TLS obbligatoria durante la trasmissione.
• L'API del commerciante richiede l'uso di firme crittografiche sia per le richieste in entrata che per le risposte in uscita, oltre alla crittografia TLS durante la trasmissione. Questo garantisce la prova di possesso e minimizza il rischio di un attacco MITM.
• Il servizio di checkout utilizza crittografia asimmetrica punto a punto per sessione per dati sensibili dell'utente finale, come password o codici di sfida.

• Dispositivi firewall locali di livello 3 sono utilizzati internamente per supportare l'implementazione di liste di controllo degli accessi (ACL).
• Dispositivi firewall di livello 3 sono utilizzati per controllare il traffico di rete tra internet pubblico e l'organizzazione.
• Dispositivi firewall di livello 7 sono utilizzati per ispezionare e controllare il traffico tra internet pubblico e il servizio dell'organizzazione.
• ACL di rete sono utilizzate per controllare la comunicazione tra la rete, i siti e i cloud dell'organizzazione.
• ACL di sistema sono utilizzate per controllare l'accesso al sistema o agli oggetti (ad esempio, oggetti di archiviazione).
• Le ACL sono gestite da personale autorizzato e si basano su descrizioni delle mansioni (per le ACL di sistema) o su progetti di rete pre-approvati (ACL di rete).
• Le ACL sono riviste regolarmente (in base alla classificazione) o quando si verificano modifiche significative.

• Il controllo logico degli accessi è implementato per tutti i sistemi e servizi all'interno dell'organizzazione.
• I diritti di accesso sono assegnati tramite un processo di approvazione e sono correlati alla descrizione della mansione.
• I diritti di accesso sono assegnati in base al principio del privilegio minimo.
• I diritti di accesso sono rivisti periodicamente in base alla classificazione del sistema/servizio.

• La registrazione centralizzata dei log è implementata per le applicazioni che partecipano all'offerta del servizio di pagamento dell'organizzazione.
• I log sono accessibili al personale autorizzato, basato sul principio del bisogno di sapere.
• Il sistema di gestione dei log è gestito da personale autorizzato.
• Il sistema di gestione dei log genera avvisi basati su criteri predefiniti.

• L'organizzazione implementa una soluzione MDM per i dispositivi endpoint (desktop, laptop, smartphone e tablet), sia per i dipendenti che per i consulenti a lungo termine all'interno dell'organizzazione.
• La soluzione MDM controlla chi ha accesso a ciascun endpoint utilizzando accesso condizionale e autenticazione a due fattori.
• La soluzione MDM gestisce le impostazioni degli endpoint come le applicazioni consentite, nonché le impostazioni di sicurezza come la crittografia e le credenziali di accesso.
• La soluzione MDM gestisce gli aggiornamenti degli endpoint come il sistema operativo e gli aggiornamenti delle applicazioni che possono essere inviati a dispositivi specifici, se necessario.
• La soluzione MDM può essere utilizzata per bloccare o cancellare da remoto gli endpoint smarriti.
• La soluzione MDM è gestita da personale autorizzato.

• L'organizzazione implementa l'autenticazione a più fattori (MFA) sia per i servizi forniti che per quelli consumati dall'organizzazione.
• L'organizzazione implementa diversi approcci alla MFA in base alla classificazione del sistema/servizio/dati:
  1. Token hardware MFA
  2. Certificati del dispositivo
  3. Certificati utente
  4. Token software MFA (come TOTP)
  5. MFA via SMS (testo)

Gli aggiornamenti di sicurezza sono installati automaticamente.

Le modifiche al codice sorgente sono firmate crittograficamente dallo sviluppatore utilizzando GPG con una chiave privata su un HSM personale.

‍

• Le modifiche al codice sorgente sono firmate crittograficamente dallo sviluppatore utilizzando GPG con una chiave privata su un HSM personale.
• L'organizzazione implementa uno scanner di vulnerabilità del codice sorgente.
• L'organizzazione conduce una valutazione settimanale delle vulnerabilità delle risorse e dei servizi interni ed esposti pubblicamente, dando priorità alle vulnerabilità in base alla loro gravità.