In breve: un fornitore di sicurezza IT si trova meglio prima di averne urgente bisogno. Confronti i fornitori con domande concrete: come procedono, chi lavora sui Suoi sistemi, come vengono conservate le prove, che cosa c'è nella relazione e dove sono i limiti dell'offerta. I fornitori seri rispondono a queste domande in modo chiaro e per iscritto. Promesse assolute, pressione e descrizioni vaghe delle prestazioni sono segnali d'allarme.
Perché la scelta è difficile proprio ora
Dopo una situazione come PHP2Shell la domanda di servizi di sicurezza sale di colpo. Allo stesso tempo compaiono offerte che suonano rapide, complete ed economiche. Per le aziende senza un reparto di sicurezza è difficile distinguere la qualità dal buon marketing.
Si aggiunge la pressione del tempo. Chi sospetta un'intrusione vuole aiuto subito e non ha una settimana per un confronto. Vale quindi la pena fare la scelta nei periodi tranquilli e chiarire in anticipo i punti essenziali. Se Le serva un fornitore lo chiarisce il nostro articolo Risolvere da soli o rivolgersi a un fornitore?. Qui si tratta di come trovare quello giusto.
Scegliere un fornitore di sicurezza IT: le 12 domande
Ponga queste domande a ogni fornitore che prende in considerazione. Le risposte dovrebbero essere concrete e possibilmente scritte.
- Quali sistemi conoscete per lavoro diretto? Un fornitore di sicurezza di rete non è automaticamente esperto di PHP-FPM, Plesk o container. Chieda degli ambienti in cui il team lavora regolarmente.
- Chi lavora concretamente sui nostri sistemi? Collaboratori propri, partner o subappaltatori? Con i partner deve essere chiaro chi svolge quale compito e chi resta responsabile nei Suoi confronti.
- Com'è la vostra procedura nei primi passaggi? Le buone risposte citano contenimento, conservazione delle prove e rilevamento della situazione prima di ogni bonifica, come prevede anche la Checklist dopo un hack.
- Come conservate le prove? Log e file vengono salvati prima delle modifiche, con marca temporale e checksum? È importante per assicurazione, notifiche e una possibile denuncia.
- Di quali accessi avete bisogno e come li gestite? I fornitori seri chiedono solo i diritti necessari, usano account personali e restituiscono gli accessi al termine.
- Esiste un accordo scritto prima dell'accesso? Ne fanno parte ambito, poteri e, in presenza di dati personali, un contratto di trattamento dei dati. Di più in Trattamento dei dati per conto terzi quando i fornitori accedono ai server.
- Chi decide sui passaggi di vasta portata? Spegnere, cancellare, reinstallare: il fornitore dovrebbe proporre e motivare tali passaggi, la decisione resta a Lei.
- Che cosa c'è nella relazione finale? Chieda un esempio senza dati dei clienti. Una buona relazione separa ciò che è provato, probabile e ignoto e indica i punti aperti.
- Come comunicate durante l'incarico? Ci sono referenti fissi, aggiornamenti intermedi regolari e un canale chiaro per domande urgenti?
- Dove sono i limiti della vostra offerta? Consulenza legale, comunicazione con le autorità o perizie forensi per i tribunali non le offre chiunque. Un fornitore serio lo dice di sua iniziativa.
- Come si fattura? A consumo, a forfait o con un contratto quadro? Si faccia spiegare che cosa è incluso e che cosa no, per evitare sorprese in seguito.
- Che cosa succede dopo l'incidente? Il fornitore supporta nella fase successiva, nell'hardening e in un'assistenza continuativa, oppure l'incarico termina con la bonifica?
Segnali d'allarme nelle offerte
Certe formulazioni dovrebbero metterLa in allerta. Ne fanno parte promesse di sicurezza assoluta, l'affermazione che dopo una bonifica «certamente non c'è più nulla» sul server e affermazioni che conoscono già il risultato senza un rilevamento della situazione. I buoni fornitori parlano di probabilità e prove.
Cautela anche se un fornitore insiste per gli accessi prima che siano chiariti ambito e poteri, oppure si fa avanti spontaneamente per e-mail o telefono sostenendo che il Suo server sia stato violato. Nelle settimane di crisi i truffatori usano questi trucchi. Verifichi il mittente attraverso una via indipendente prima di reagire.
Un'altra indicazione: loghi, sigilli e riconoscimenti si mettono facilmente su un sito web. Nel dubbio chieda chi ha assegnato un sigillo e che cosa è stato verificato per ottenerlo.
Orientamenti pubblici
Il BSI (l'Ufficio federale tedesco per la sicurezza informatica) pubblica elenchi di fornitori qualificati per determinati ambiti, ad esempio per la risposta ai cosiddetti attacchi APT, cioè attacchi mirati e di lungo periodo, e per la difesa da attacchi DDoS. Questi elenchi sono un buon orientamento per organizzazioni con le relative esigenze. Un tipico incidente su un singolo server web spesso non rientra in queste categorie; qui entrano in considerazione anche fornitori che non vi sono elencati.
Sono utili anche le raccomandazioni della propria rete, ad esempio di associazioni di categoria, camere, del Suo assicuratore o di altre aziende che hanno vissuto un incidente. Alcune cyber-assicurazioni indicano nelle loro condizioni referenti o fornitori propri per il sinistro. Verifichi la Sua polizza prima di incaricare di persona.
Annoti le risposte alle dodici domande in una breve tabella e la metta insieme al piano di emergenza. Nell'emergenza saprà subito chi chiamare e che cosa è stato concordato.
Mettere per iscritto ciò che conta
Anche con una buona scelta, i punti principali dovrebbero essere regolati per iscritto: ambito delle prestazioni, accessi e loro restituzione, riservatezza, trattamento delle prove, obblighi di relazione e fatturazione. Quali clausole abbiano senso lo descrive Contratti con fornitori IT: regolare con chiarezza gli obblighi di sicurezza. Se il Suo contratto sia giuridicamente adeguato lo verifica un avvocato; noi forniamo i punti tecnici.
Come aiuta concretamente PHP SOS?
- Rispondiamo per iscritto alle dodici domande per la nostra offerta prima che ci incarichi, anche sui limiti delle nostre prestazioni.
- Diciamo apertamente quali compiti svolgiamo da noi e dove lavoriamo con partner specializzati, ad esempio per analisi forense o penetration test.
- Concordiamo ambito, poteri e, se serve, il trattamento dei dati per conto terzi prima del primo accesso.
- Nell'incidente lavoriamo secondo la procedura della nostra incident response: contenere, conservare, bonificare, documentare.
Conclusione
Il fornitore di sicurezza giusto non si riconosce dalla promessa più rumorosa, ma da risposte chiare a domande concrete. Chi pone le dodici domande nei periodi tranquilli e annota i risultati decide più in fretta e meglio nell'emergenza.
Domande frequenti
Da che cosa riconosco un fornitore di sicurezza IT serio?
Da affermazioni chiare su procedura, responsabilità e limiti, da un accordo scritto prima dell'accesso e da una relazione che separa ciò che è provato da ciò che è supposto. La diffidenza è giustificata di fronte a promesse assolute e a pressioni per consegnare subito gli accessi.
Il BSI tiene un elenco di fornitori?
Il BSI pubblica elenchi di fornitori qualificati per determinati ambiti, ad esempio per la risposta ad attacchi APT e per la difesa da attacchi DDoS. Questi elenchi riguardano situazioni specifiche; per un tipico incidente su un server web entrano in considerazione anche altri fornitori.
Dovrei richiedere più offerte?
Per incarichi pianificabili come hardening, audit o contratto di manutenzione, sì. Nell'emergenza acuta spesso manca il tempo. Tanto più è importante scegliere un fornitore in anticipo e chiarire i punti essenziali prima che accada qualcosa.
Il fornitore può spegnere sistemi o cancellare dati di sua iniziativa?
Solo se lo ha concordato espressamente. Un buon fornitore chiede conferma per i passaggi di vasta portata e documenta la Sua decisione. Stabilisca in anticipo chi da parte Sua può prendere tali decisioni.