Il processo di gestione della sicurezza
- Introduzione
- Il processo di gestione della sicurezza
- La documentazione sulle politiche di sicurezza
- Implementazione del sistema
La gestione complessiva della sicurezza, vista in questo contesto non soltanto come inviolabilità di un sistema, ma anche come capacità di garantire la disponibilità dei dati, può essere realizzata correttamente quando venga impostato un meccanismo, basato su criteri diffusamente conosciuti, che implementino quello che viene definito un Sistema per la Gestione della Sicurezza delle Informazioni (SGSI).
Un SGSI può essere sviluppato in più fasi e prevede essenzialmente una fase di analisi che porta alla definizione delle politiche di sicurezza, una fase di implementazione delle politiche, che coincide con la configurazione dei sistemi, e una fase di verifica del sistema di gestione, basata sulle informazioni raccolte mentre il sistema risulta già in funzione, che porta ad una revisione del sistema stesso.
Le varie fasi descritte conducono alla produzione di una documentazione che contiene tutte le informazioni necessarie a presentare le modalità di gestione della sicurezza, le procedure previste per analizzare, prevenire e risolvere gli incidenti e le violazioni alle politiche di sicurezza.
Un elemento fondamentale del SGSI è l'effetto continuo di analisi e revisione che si determina mediante l'ultima delle fasi elencate in precedenza. Infatti l'analisi effettuata in fase di attivazione, per quanto condotta con attenzione, può presentare delle lacune che possono o meno essere rivelate da incidenti o violazioni alle misure di sicurezza.
Il criterio di revisione innesca pertanto un meccanismo di affinamento e miglioramento nel tempo del sistema, portando ad una evoluzione delle politiche e quindi delle misure di sicurezza, garantendo, di conseguenza, da una parte un processo di ottimizzazione nella gestione, dall'altra il continuo controllo dello stato di funzionamento del sistema informativo. La periodicità di revisione della documentazione può dipendere dalla criticità dei sistemi o da particolari richieste normative, ma viene fissata almeno con cadenza annuale.
Il sistema di revisione si basa sulla presenza di sistemi di monitoraggio dell'infrastruttura sia dal punto di vista dei malfunzionamenti sui dispositivi, sia dalla rilevazione di violazioni alle politiche di sicurezza. Le informazioni raccolte in fase di monitoraggio o di manutenzione degli apparati devono essere memorizzate in una banca dati, insieme alle registrazioni degli eventi segnalati da sistemi specifici, quali ad esempio sistemi di rilevazione delle intrusioni, per comporre le indicazioni necessarie all'evoluzione delle politiche di sicurezza e quindi portare ad un riesame del funzionamento del sistema.
Eccetto dove diversamente specificato,
i contenuti di questo sito sono rilasciati sotto Licenza Creative
Commons Attribuzione 2.5