Bentornati.
Abbiamo visto come fare identify e mitigate del risk.
Ma come fanno le organizzazioni
a formalizzare queste protezioni e assicurarsi che vengano seguite?
In questa lezione, esploreremo le security policies e la governance,
la spina dorsale di pratiche di cybersecurity coerenti e responsabili.
Una security policy è un documento formale che definisce
come un'organizzazione protegge le sue informazioni e i suoi sistemi.
Le policy forniscono guida, regole, e meccanismi di applicazione in aree
come password, uso dei dispositivi,
accesso remoto, classificazione dei dati.
Aiutano i dipendenti a capire cosa ci si aspetta
e danno ai team di sicurezza uno standard da applicare.
Rivediamo alcuni tipi comuni di security policies.
Acceptable Use Policy (AUP):
definisce come i dispositivi e le reti aziendali possono essere usati.
Access Control Policy:
stabilisce regole per i permessi utente.
Metodi di login e privilegi account.
Data Retention Policy: specifica
per quanto tempo i dati devono essere archiviati e quando devono essere cancellati.
Queste policy supportano la compliance, la riduzione del risk, e le operazioni quotidiane.
La Security governance definisce
chi è responsabile per la cybersecurity e come viene gestita.
Assicura che la sicurezza si allinei con gli obiettivi aziendali.
Le policy siano applicate coerentemente.
La leadership sia responsabile.
La Governance tipicamente coinvolge leader della sicurezza, team legali
e di compliance, ed executive sponsors.
Senza una forte governance, anche le buone policy potrebbero essere ignorate.
Le Security policies passano attraverso un ciclo di vita. 1.
Develop: redigere la policy con input dagli stakeholder chiave. 2. Approve:
Ottenere approvazione formale dalla leadership o da un consiglio di governance.
3. Communicate: formare il personale e condividere la policy ampiamente.
4. Enforce: monitorare la compliance e rispondere alle violazioni.
5. Review: aggiornare la policy
regolarmente per riflettere nuove minacce e cambiamenti.
Le policy non sono documenti una tantum.
Evolvono con l'organizzazione.
Una buona policy non è solo un documento,
è un ponte tra strategia e azione quotidiana.
Le policy efficaci sono chiare: facili da capire.
Actionable: possono essere realisticamente applicate.
Aligned:
Abbinate al risk profile e agli obiettivi dell'organizzazione.
Le policy guidano tutto, dalle regole delle password all'incident response,
e sono un ingrediente chiave nel successo della sicurezza.
Pronto per un piccolo quiz di riepilogo?
Domanda uno.
Cos'è una security policy?
A un controllo tecnico come un firewall.
B L'opinione personale di un utente sulla sicurezza.
C un documento formale che definisce regole e aspettative di sicurezza.
D un sistema di backup per i dati utente.
Pausa per pensare.
La risposta corretta è C.
Le Security policies sono regole formali che guidano il comportamento e definiscono le protezioni.
Domanda due cosa assicura la security governance?
A che il firewall sia sempre aggiornato?
B che gli strumenti di sicurezza girino più veloci.
C che le responsabilità e l'accountability siano chiaramente definite.
D che gli utenti non infrangano mai le regole.
Pausa.
La risposta corretta è C la governance definisce
chi è responsabile per applicare e supportare la sicurezza.
Domanda finale cosa viene immediatamente dopo che una security policy
è formalmente approvata?
A l'applicazione inizia.
B i firewall vengono riconfigurati.
C gli utenti vengono formati e la policy viene comunicata.
D l'incident response viene attivato.
Pensaci attentamente.
La scelta
corretta è C dopo l'approvazione.
Il passo successivo è comunicare la policy ai dipendenti e agli stakeholders.
Ottimo lavoro.
Ora capisci come le security policies definiscono le aspettative, come la governance
le applica, e perché questi sono pillars chiave della cybersecurity organizzativa.
Dopo esploreremo programmi di security awareness e formazione.
Perché anche la migliore policy non significa nulla se le tue persone non la capiscono.
Continuiamo.