Cos’è l’audit — e cosa non è
Un audit IT di GlabIT è una valutazione tecnica e operativa pratica. Guardiamo cosa c’è davvero, raccogliamo evidenze che funzioni (o no) e vi diciamo cosa conta di più e in quale ordine correggerlo. Non è una revisione legale dei conti, non è un audit di certificazione ISO, non è un parere legale e non è una garanzia di conformità o dell’assenza di problemi non scoperti. Dove un risultato è verificato — abbiamo visto la configurazione, abbiamo osservato il ripristino, abbiamo controllato l’elenco degli account — il report lo dice, e “verificato” significa verificato solo per le evidenze, il campione, il sistema e la data indicati; dove raccomandiamo sulla base di sole interviste o documenti, il report dice anche quello.
Aree esaminate
Il perimetro è concordato prima dell’incarico e può coprire:
- Governance IT — titolarità, policy, gestione del rischio, processo decisionale
- Inventario degli asset — hardware, software, abbonamenti e servizi cloud; cosa esiste, chi ne è titolare, cosa non è supportato
- Gestione di identità e accessi — directory, copertura MFA, account privilegiati e di servizio, processi joiner–mover–leaver
- Configurazione di Microsoft 365, Google Workspace e cloud dove applicabile
- Gestione di endpoint, server e rete — standard di build, strumenti di gestione, copertura
- Gestione delle patch e delle vulnerabilità, inclusi sistemi non supportati ed eccezioni
- Architettura di rete — segmentazione, firewall, VPN e accesso remoto
- Backup — copertura, immutabilità, obiettivi di ripristino ed evidenze dei test di ripristino
- Logging, monitoraggio, gestione degli alert e prontezza all’incident response
- Gestione delle modifiche e delle configurazioni
- Continuità operativa, disaster recovery e dipendenze operative
- Terze parti — supervisione dell’MSP, fornitori tecnologici, controlli contrattuali e di accesso
- Gestione dei dati e controlli di accesso pertinenti al perimetro concordato
Come vengono raccolte le evidenze
A seconda del perimetro, il lavoro combina interviste con chi gestisce i sistemi, revisione di policy, contratti e runbook, campionamento delle configurazioni da console ed esportazioni, ispezione tecnica in sola lettura e validazione di controlli selezionati — per esempio un test di ripristino, un controllo della copertura MFA, una revisione dell’appartenenza ai gruppi privilegiati. Dove si usa il campionamento, il report indica il campione e non implica test esaustivi.
Metodologia e framework
La revisione è strutturata intorno ad aree di controllo mappate su, o informate da, ISO/IEC 27001 e ISO/IEC 27002, i CIS Controls e i relativi CIS Benchmark, il NIST Cybersecurity Framework, le misure dell’articolo 21 NIS2 dove applicabili, i requisiti DORA dove si applicano al cliente, e le policy, i contratti e i requisiti di controllo del cliente stesso. Quali di questi vengono usati — e quanto a fondo va la mappatura — è concordato nel perimetro; non riproduciamo gli standard stessi, e una mappatura nel nostro report non è una certificazione, un accreditamento o una decisione regolatoria.
Dove si colloca
Un audit IT è di solito la fase valutare di un incarico: vi dà la baseline prima di un programma di conformità, prima di un progetto ISO/IEC 27001, prima di cambiare fornitori o dopo un’acquisizione. I suoi risultati possono essere approfonditi con un penetration test e corretti tramite Cybersecurity-as-a-Service o Ingegneria sicura.
Nota sul perimetro: risultati e raccomandazioni si basano sul perimetro concordato e sulle evidenze rese disponibili durante l’incarico. Le mappature regolatorie e sui framework sono fornite solo dove incluse nel perimetro. Le decisioni di certificazione restano a un organismo di certificazione accreditato dove applicabile.