Gli argomenti di sicurezza meno richiesti, e perché contano

Un programma di sicurezza costruito solo sui requisiti di conformità tende a essere più solido dove i framework concordano e più debole dove tacciono. Abbiamo classificato tutti i cinquanta argomenti di ControlMapping in base a quanti degli undici framework associano un requisito a ciascuno di essi. La parte bassa di questa classifica è dove un programma guidato dai framework ha più probabilità di avere punti ciechi.

Gli argomenti meno richiesti

Argomento	Mappato in	Nessuna mappatura in
Sicurezza DNS	4 di 11	SOC 2, PCI DSS, CMMC, HIPAA, GDPR, NIS2, Essential Eight
Contesto aziendale	5 di 11	CIS v8.1, CMMC, HIPAA, GDPR, NIS2, Essential Eight
Sicurezza delle API	5 di 11	SOC 2, CMMC, HIPAA, GDPR, NIS2, Essential Eight
Threat Intelligence	5 di 11	CIS v8.1, SOC 2, HIPAA, GDPR, NIS2, Essential Eight
WAF	6 di 11	CMMC, HIPAA, GDPR, NIS2, Essential Eight
Analisi forense	7 di 11	CIS v8.1, HIPAA, GDPR, Essential Eight
Comunicazione	7 di 11	PCI DSS, HIPAA, GDPR, Essential Eight
Sicurezza mobile	7 di 11	PCI DSS, GDPR, NIS2, Essential Eight
Sicurezza web	7 di 11	HIPAA, GDPR, NIS2, Essential Eight
Classificazione dei dati	8 di 11	HIPAA, GDPR, Essential Eight

Perché questi argomenti mancano

I framework sono scritti a un livello superiore rispetto alla tecnologia. ISO 27001, SOC 2 e GDPR descrivono risultati («proteggere le informazioni nelle reti», «sviluppo sicuro») validi per qualsiasi tecnologia, quindi raramente citano esplicitamente DNS, API o web application firewall. Questi argomenti sono coperti in modo implicito, tramite controlli generali, se la tua valutazione del rischio li include.

I framework sono in ritardo rispetto al panorama delle minacce. Molti sono stati redatti quando il perimetro era un firewall e le applicazioni erano software installato localmente. API, applicazioni web ospitate in cloud e abusi del DNS sono diventati vettori d'attacco comuni più in fretta di quanto gli standard siano stati revisionati. ISO 27001:2022 ha introdotto threat intelligence e filtraggio web come nuovi controlli; CSF 2.0 ha rafforzato la sicurezza della catena di fornitura e della piattaforma. Altri non si sono ancora adeguati.

Alcuni argomenti sono contesto, non controlli. Il «business environment» (comprendere la tua missione, gli stakeholder e le dipendenze) è una base di governance. I framework lo presuppongono piuttosto che richiederlo.

Perché è importante

Gli attaccanti non leggono i framework. Alcuni degli argomenti meno richiesti sono tra i più sfruttati nella pratica: API esposte, applicazioni web vulnerabili e manipolazione del DNS. Un programma che implementa solo ciò che gli auditor chiedono può superare ogni audit e lasciare comunque questi punti aperti.

Gli argomenti in fondo alla lista sono dove la tua valutazione del rischio deve fare il lavoro che i framework non fanno.

Punti chiave

• La sicurezza DNS, la threat intelligence, la sicurezza delle API e la protezione delle applicazioni web sono richieste dal minor numero di framework che mappiamo.
• Questo dipende soprattutto dal fatto che i framework sono scritti sopra il livello tecnologico e revisionati lentamente, non perché questi argomenti contino meno.
• Diversi argomenti meno richiesti sono tra i percorsi d'attacco più sfruttati nella pratica.
• La tua valutazione del rischio deve coprire ciò che i framework lasciano fuori, e una decisione motivata va registrata in ogni caso.

Cosa fare

• Verifica la parte bassa della lista rispetto alla tua superficie d'attacco. Se gestisci API pubbliche o applicazioni web, API security e web security contano indipendentemente da ciò che dicono i tuoi framework.
• Usa come standard di riferimento il framework più specifico che copre un argomento, anche se non sei certificato rispetto ad esso. I CIS Controls e PCI DSS sono spesso più specifici di ISO 27001 sugli argomenti tecnici; le pagine degli argomenti mostrano chi richiede cosa.
• Registra la decisione. Se la tua valutazione del rischio conclude che un argomento non si applica, annota il perché. Gli auditor accettano un'esclusione motivata; gli attaccanti non fanno differenza.

La matrice di copertura mostra tutti i cinquanta argomenti rispetto a tutti gli undici framework a colpo d'occhio. Per l'estremo opposto della lista, vedi gli argomenti che tutti i framework condividono.

Domande

Quali argomenti di sicurezza richiedono il minor numero di framework?

Nei dati di ControlMapping, sicurezza DNS, threat intelligence, sicurezza delle API, business environment e web application firewall sono mappati nel minor numero di framework tra gli 11 analizzati.

Se un framework non richiede un controllo, posso saltarlo?

Dal punto di vista della conformità, forse; dal punto di vista della sicurezza, raramente. La maggior parte dei framework è basata sul rischio, quindi un argomento mancante di solito significa 'coperto dalla tua valutazione del rischio', non 'non necessario'.

Quale framework copre meglio la sicurezza delle API?

Nessuno la copre in modo completo. Il controllo sul software applicativo dei CIS Controls e i requisiti di PCI DSS su sviluppo sicuro e applicazioni web esposte al pubblico sono tra i più specifici; API Security Top 10 di OWASP è il riferimento tecnico più usato.