Sicurezza fisica nei framework: il tema che le aziende cloud trascurano

La sicurezza fisica è diventata il tema dimenticato dei programmi di sicurezza moderni. I carichi di lavoro girano nel data center di qualcun altro, il personale lavora da casa e l'ufficio è composto soprattutto da scrivanie e caffè. Eppure la maggior parte dei framework richiede ancora controlli fisici e, quando abbiamo verificato le nostre mappature, è emerso che questo tema era sotto-mappato, quindi gli abbiamo dedicato un argomento a sé.

Chi richiede cosa

Framework	Sicurezza fisica	Collegamento
NIST CSF 2.0	PR.AA-06DE.CM-02PR.IR-02	Definizione dell'argomento
ISO 27001	A.7.1A.7.2A.7.3A.7.4A.7.5A.7.8A.7.11A.7.6A.7.12	Crosswalk
CIS v8.1	—	Nessuna mappatura nei nostri dati
SOC 2	CC6.4	Redazione
PCI DSS	9.2.19.2.39.3.19.2.1.19.3.1.19.3.2	Crosswalk
CMMC	PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4PE.L2-3.10.5PE.L2-3.10.6	Crosswalk
800-53	PE-2PE-3PE-6PE-8PE-13PE-14	Crosswalk
HIPAA	§164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c)	Crosswalk
GDPR	—	Nessuna mappatura nei nostri dati
NIS2	13.113.213.3	Crosswalk
Essential Eight	—	Nessuna mappatura nei nostri dati

Dettaglio completo e motivazione di ogni collegamento: Sicurezza fisica nei framework →

I framework più esigenti

PCI DSS è il più dettagliato: controlli di accesso alle strutture che ospitano sistemi con dati di titolari di carta, monitoraggio delle aree sensibili tramite telecamere o sistemi di controllo accessi, autorizzazione e registri dei visitatori, prese e hardware di rete con accesso limitato, conservazione sicura e distruzione dei supporti e ispezione dei dispositivi di lettura delle carte per rilevare manomissioni (Requisito 9). CMMC Level 2 prevede un'intera famiglia: limitare e monitorare l'accesso fisico, far accompagnare i visitatori, conservare i registri di accesso, gestire i dispositivi di accesso e proteggere il CUI nelle sedi di lavoro alternative (da PE.L2-3.10.1 a 3.10.6). ISO 27001 contiene quattordici controlli fisici nel tema A.7, dai perimetri e dai controlli di ingresso fino alla clear desk policy, alla manutenzione delle apparecchiature e allo smaltimento sicuro. HIPAA prevede un insieme completo di garanzie fisiche in §164.310.

Quelli che non lo richiedono

I CIS Controls hanno eliminato la sicurezza fisica nella versione 8. GDPR ed Essential Eight non la trattano. SOC 2 la copre con un unico criterio (CC6.4), e gli auditor delle aziende solo cloud spesso accettano per questo il report del fornitore cloud.

Cosa chiedono gli auditor a un'azienda cloud-first

Aspettatevi una breve lista di domande anche se non possedete alcun server:

• Quali fornitori cloud e di colocation ospitano i vostri sistemi, e dove si trova il loro report di assurance?
• Come controllate l'accesso ai vostri uffici e chi possiede chiavi o badge?
• I visitatori sono registrati e accompagnati dove sono visibili informazioni sensibili?
• Come sono protetti i laptop in caso di smarrimento o furto (cifratura, cancellazione remota, un processo di segnalazione)?
• Come vengono smaltiti dischi, laptop e documenti cartacei?

Risposte chiare, supportate da qualche evidenza (esportazione del sistema badge, registro visitatori, report MDM, certificati di smaltimento), di solito chiudono rapidamente l'argomento.

Punti chiave

• La maggior parte dei framework richiede ancora controlli fisici.
• Le aziende cloud-first ereditano le garanzie del data center e devono proteggere uffici, laptop e supporti.
• I pagamenti con carta presente riportano i requisiti fisici di PCI nell'ambito.
• PCI DSS è il più dettagliato, fino ai registri dei visitatori e all'ispezione dei lettori di carte per rilevare manomissioni.

Come soddisfarlo senza un data center

Per un'azienda senza server propri, la sicurezza fisica si riduce a quattro punti:

1. Ereditare le garanzie del data center. Il report SOC 2 o il certificato ISO del vostro fornitore cloud copre le sue strutture. Leggetene l'ambito e documentate nella vostra documentazione che vi affidate a esso.
2. Proteggere l'ufficio in modo proporzionato. Accesso con badge, registrazione dei visitatori, archiviazione chiusa per tutto ciò che è sensibile e una clear desk policy (ISO A.7.7).
3. Trattare i laptop come perimetro. Cifratura del disco, blocco dello schermo, cancellazione remota e un processo per i dispositivi smarriti coprono gran parte di ciò che un tempo facevano i controlli fisici.
4. Gestire supporti e smaltimento. Cancellare o distruggere dischi e dispositivi prima del riutilizzo o dello smaltimento (ISO A.7.14, PCI 9.4.7, HIPAA §164.310(d)).

Se accettate pagamenti con carta di persona, leggete con attenzione il Requisito 9 di PCI DSS: i dispositivi di lettura delle carte al punto vendita riportano i controlli fisici nell'ambito, indipendentemente da quanto sia cloud-native la vostra azienda.

La pagina dell'argomento Sicurezza fisica elenca ogni requisito con la sua fonte, e la gap analysis mostra cosa aggiunge un nuovo framework a quello che già avete.

Domande

I CIS Controls coprono la sicurezza fisica?

No. I CIS Controls v8 hanno eliminato la sicurezza fisica, per cui non esiste alcuna mappatura per questo argomento.

Come soddisfano i requisiti di sicurezza fisica le aziende solo cloud?

Affidandosi alle garanzie del proprio fornitore cloud per i data center (ad esempio il suo report SOC 2 o il certificato ISO) e coprendo in autonomia uffici, dispositivi, supporti e visitatori.