Vai al contenuto
</dot.Nimbus>

Metodo

I framework pubblici dietro ogni diagnosi

Per valutare AWS, Azure e Microsoft 365 parto da framework pubblici e riconosciuti. In questa pagina trovi quali uso, i relativi check e dove consultarli.

Il principio

Tutto quello che scrivo lo puoi verificare

Nei miei report ogni evidenza è collegata a un framework pubblico. Se vuoi capire da dove arriva una conclusione, puoi andare alla fonte e controllarla da solo.

Se un giorno il lavoro lo porta avanti qualcun altro, troverà riferimenti che nel settore conoscono tutti.

I framework

  1. AWS Well-Architected Framework Security Pillar

    Cos'è
    Il framework con cui AWS indica come progettare e gestire un ambiente cloud.
    Come lo uso
    È il riferimento da cui parto su AWS nel Cloud Security Assessment e nello Sprint di analisi. Nell'Identity Check l'analisi è relativa alla sezione Identity and Access Management.
    Fonte
    Documentazione AWS

  2. Azure Well-Architected Framework

    Cos'è
    I principi con cui Microsoft indica come progettare i workload su Azure.
    Come lo uso
    Lo seguo nello Sprint di analisi e nel progetto IaC su Azure, quando disegno l'architettura target.
    Fonte
    Documentazione Microsoft Learn

  3. Microsoft Cloud Security Benchmark

    Cos'è
    I controlli di sicurezza che Microsoft consiglia per Azure e per gli ambienti multicloud, su rete, identità, accessi privilegiati, dati, log e rilevamento delle minacce.
    Come lo uso
    Lo uso per Azure nel Cloud Security Assessment e per Microsoft 365 ed Entra ID nell'Identity Check.
    Fonte
    Documentazione Microsoft Learn

  4. CIS Benchmarks

    Cos'è
    Le linee guida del Center for Internet Security per configurare in modo sicuro sistemi e servizi, compresi AWS, Azure e Microsoft 365.
    Come lo uso
    Nel Cloud Security Assessment e nell'Identity Check uso i CIS Benchmarks come metro di confronto. Nell'Infrastructure as Code diventano regole di controllo automatico del codice.
    Fonte
    Sito del Center for Internet Security

  5. Zero Trust NIST SP 800-207

    Cos'è
    Il modello di sicurezza del NIST in cui nessun accesso è considerato affidabile, anche quelli arrivati da rete aziendale. Secondo questo modello ogni richiesta va verificata e devono essere assegnati i permessi minimi essenziali.
    Come lo uso
    È la base dell'Identity Check e dell'Hardening Zero Trust, e lo applico agli accessi anche nel Cloud Security Assessment.
    Fonte
    Pubblicazione NIST

  6. OWASP Top 10

    Cos'è
    L'elenco dei dieci rischi più frequenti nelle applicazioni web, come injection e controlli di accesso sbagliati, curato dalla OWASP Foundation.
    Come lo uso
    Nella Code Review classifico ogni vulnerabilità secondo queste categorie, così sai subito di che problema si tratta.
    Fonte
    Sito della OWASP Foundation

  7. OWASP ASVS

    Cos'è
    L'Application Security Verification Standard indica i requisiti di sicurezza che un'applicazione deve rispettare, dall'autenticazione alla crittografia, su tre livelli di approfondimento.
    Come lo uso
    Nella Code Review stabilisco quali controlli deve superare la tua applicazione, in base a quanto è critica.
    Fonte
    Sito della OWASP Foundation

  8. OWASP SAMM

    Cos'è
    Il Software Assurance Maturity Model misura il livello di integrazione della sicurezza nel processo di sviluppo.
    Come lo uso
    Mi aiuta a scegliere quali controlli automatici introdurre per primi per la sicurezza delle pipeline.
    Fonte
    Sito di OWASP SAMM

// Framework e certificazioni

Cosa intendo quando dico che una configurazione è verificata

Vuol dire che ho confrontato le impostazioni del tuo ambiente con un elenco pubblico, come i CIS Benchmarks, e ti ho segnalato quelle che non corrispondono. Non rilascio attestati: può farlo solo un auditor autorizzato.

Il report non rende la tua azienda certificata o a norma. Per NIS2 e GDPR ti aiuta però a documentare le misure tecniche che hai adottato, che è una parte di quello che quelle norme chiedono.