ALIAS DISTRIBUISCE CYLOCK

Extended VA certificati per ISO 27001

Prova documentale necessaria per ottenere le certificazioni ISO e per Art 32. del GDPR

CyLock ha impostato le proprie attività di testing per sostenere le aziende ad essere conformi con la nuova norma ISO/IEC 27002:2022, che ha una nuova struttura e che comporta una modifica importante della ISO/IEC 27001:2013, in particolare per riallineare l’Annex A. Infatti, la nuova norma richiede che i controlli siano più sostanziali e legati alle prestazioni, ovvero attenti alla prevenzione cyber. In tal senso, i seguenti controlli richiamano espressamente la necessità di un ricorso alle attività di penetration testing e vulnerability assessment ben specifici:

• Il Controllo 5.21 (Policies for information security), richiede di implementare un processo di monitoraggio della supply chain ICT attraverso il ricorso ad attività di penetration testing da parte di soggetti terzi e qualificati, come ad esempio lo è CyLock;
• 8.8 (Management of technical vulnerabilities), richiede di utilizzare strumenti di scansione delle vulnerabilità adeguati alle tecnologie in uso per identificare le vulnerabilità e per verificare se il patching delle vulnerabilità ha avuto successo, nonché di condurre test di penetrazione pianificati, documentati da soggetti competenti e autorizzati a supportare l'identificazione delle vulnerabilità. L’attività di VAPT di CyLock si rivela adeguata al controllo, in quanto il test può essere eseguito sia esternamente sia internamente alla rete dell’organizzazione, ed è adattivo rispetto alla risorsa analizzata, ovvero l’analisi è specifica e calibrata rispetto alla tecnologia impiegata. Inoltre, il report fornito consente di effettuare il patching mirato delle vulnerabilità individuate, anche grazie al percorso (PoC) inserito nel report, e la verifica del successo delle attività di remediation e la pianificazione dei test può essere effettuata attraverso l’impostazione di default per la ricorsività di CyLock sulle risorse testate. Non solo, CyLock fornisce una classificazione delle vulnerabilità tale per cui è direttamente implementabile un piano dei rimedi (c.d. remediation plan);
• 8.25 (Secure development life cycle), il controllo richiede lo sviluppo sicuro del software, sia esso legato ad un servizio, un'architettura, o un sistema. A tal fine, un prerequisito per il soddisfacimento del controllo è quello di effettuare un VAPT sul sistema, ambito di azione del software CyLock;
• 8.29 (Security testing in development and acceptance), il controllo è soddisfatto quando sono definiti e implementati dei processi di test di sicurezza nel ciclo di vita di sviluppo. A tal fine, la norma specifica che l'organizzazione può sfruttare strumenti automatizzati di analisi del codice o scanner di vulnerabilità, specialmente per verificare la correzione dei difetti relativi alla sicurezza. Questa attività è alla base del software CyLock, soprattutto se utilizzato nelle fasi di pre e post remediation.

CyLock è dunque il partner terzo, indipendente e qualificato per fornire le attività di vulnerability assessment e penetration testing richieste dalla norma, utilizzabili sia antecedentemente alla fase di auditing sia nel corso della conformità continua alla ISO/IEC 27001, in quanto CyLock è anche rispondente al controllo 5.20 della stessa norma (Addressing information security within supplier agreements), in particolare per tutto ciò che riguarda le modalità di svolgimento dei test e gli output forniti, nonché nelle modalità di scambio di informazioni, sulla loro classificazione e sui livelli di sicurezza forniti.