Security Assessment e Gestione Data Privacy per una multinazionale manifatturiera

Le minacce di cybersecurity continuano a evolversi giorno dopo giorno ed è sempre complicato valutare lo stato generale di sicurezza dell'infrastruttura IT aziendale. Il security assessment è ormai una necessità improcrastinabile per tutti i tipi di organizzazioni, dal pubblico al privato.
L’assessment, infatti, non è altro che una valutazione di conformità rispetto a delle regole di base fondamentali per mantenere in sicurezza l'ambiente IT. Si tratta di un processo finalizzato a identificare i servizi critici aziendali, per poi valutare il livello di protezione su di essi, rispetto alle vulnerabilità intrinseche di tutte le componenti coinvolte. 

Tra i processi più importanti per l'azienda non c'è però solo la sicurezza informatica, ma anche le procedure relative al trattamento dei dati personali. È indispensabile implementare un sistema di gestione della privacy efficace non solo per quanto riguarda la sicurezza dei dati ma anche  per l'allineamento dell'ambiente IT alle normative esistenti in materia GDPR. 

Un sistema di gestione privacy efficace deve essere perfettamente in grado di raggiungere determinati obiettivi, tra cui definire il contesto in cui avviene il trattamento dei dati, nonché i rischi legati al trattamento. A tal proposito è indispensabile tenere sempre sott'occhio la competenza e la consapevolezza di tutti i collaboratori in merito alla security connessa al trattamento, riflettendo su un'opportuna formazione. 

Security assessment e gestione data privacy: il nostro progetto

AZIENDA: multinazionale di produzione materiali per edilizia ed impianti

SETTORE: manifatturiero

LOCALIZZAZIONE: internazionale, presente in 9 Paesi del mondo

SFIDA:

L'obiettivo era quello di verificare l’allineamento dell’infrastruttura IT alle best practices in ambito cybersecurity.
Al contempo, si voleva controllare l'adeguamento dei processi aziendali e dell’infrastruttura alle best practices nella gestione dei dati privacy e delle normative esistenti (GDPR).
Per questa attività, l'azienda aveva anche espresso il desiderio di avere Lantech Longwave come interlocutore unico che potesse razionalizzare ed integrare nel progetto tutte le direttive privacy indicate da consulenti certificati. Era inoltre necessario predisporre una documentazione dettagliata ed aggiornata dell'intera infrastruttura informatica. 

SOLUZIONE:

L'azienda è stata coinvolta in un'intervista preliminare volta a ottenere informazioni utili finalizzate a supportare le attività di security assessment e di gestione data privacy.
Tra queste i processi più rilevanti per l’organizzazione, e nello specifico anche quelli che includono il trattamento di dati personali, e le soluzioni di cybersecurity già implementate.
Per quanto riguarda l'aspetto privacy, è stata realizzata, in collaborazione con partner esterni certificati in materia, un’intervista in merito alle risorse aziendali coinvolte nei processi di gestione dei dati. 

In seguito all'analisi approfondita delle informazioni emerse dall'intervista, è stato svolto l'assessment vero e proprio in tutte le security zone individuate.
Lantech Longwave utilizza un approccio top-down partendo da High Level Design Assessment.

In questa fase ogni criticità viene rilevata scansionando dettagliatamente le security zones, non necessariamente concatenate, ma che potrebbero essere il punto di accesso di un attacco. In ogni ambito, viene verificato lo stato della sicurezza e quali criticità sono presenti.

Successivamente siamo passati a un Low Level Design Assessment, dove viene eseguita un’analisi più puntuale nelle zone di rischio individuate.
Infine, sono state effettuate le attività di Penetration Test e Vulnerability Assessment, svolte dal nostro Red Team, con l'obiettivo di effettuare una stima tangibile di problema-GAP-risoluzione, per  contestualizzare il reale fattore di rischio e testare la sicurezza dei servizi.

BENEFICI:

L’output effettuato ha fornito una stima tangibile dei problemi-GAP-risoluzioni.

Tutte le attività effettuate sono state presentate in un dettagliato report contenente la gap  analysis & remediation.
Alle diverse remediation proposte è stato assegnato un ordine di priorità in funzione degli eventuali rischi individuati per la sicurezza delle informazioni, valutando  da una parte la criticità e dall’altra una roadmap di implementazione coerente con le logiche di design.

L’Executive Summary elaborato, ha fornito una fotografia di insieme delle aree a maggiore rischio permettendo al management di stabilire (confermando le ipotesi di intervento proposte) in quali aree intervenire prontamente mediante l’assegnazione prioritaria di budget e risorse.

Tutte queste attività vengono ricondotte al cosiddetto cybersecurity lifecycle, che garantisce un miglioramento continuo della sicurezza informatica.

Inoltre, seppur non sia esplicitamente previsto un metodo di analisi specifico dalle autorità competenti, è stata suggerita la pianificazione di assessment periodici, per dimostrare l’attenzione dell’azienda nella tutela dei dati e delle informazioni. 
Questa tipologia di attività rappresenta un elemento qualificante e di supporto in caso di criticità formali e/o di segnalazioni al Garante Privacy.

Ulteriori informazioni?
Compila il form e leggi il Business Case completo!