Gli strumenti di sicurezza segnalano in continuo. Il punto è che qualcuno legga le segnalazioni e sappia cosa farne.
Quasi tutte le aziende hanno strumenti che generano allarmi. Molte meno hanno qualcuno che li guarda. La console dell'antivirus che nessuno apre da otto mesi è il caso più comune che troviamo negli assessment, e spiega perché certi attacchi vengono scoperti solo quando i file sono già cifrati.
Questo servizio è la parte di sorveglianza del nostro lavoro sulle PMI dell'Alta Padovana e del Veneto: la console la teniamo noi, gli allarmi li leggiamo noi, e quando serve fermare qualcosa lo fermiamo noi.
Gli agenti installati su server, postazioni e apparati raccolgono in continuo e generano allarmi a qualunque ora. Questa parte non dorme mai, perché è automatica.
La console dell'Endpoint Detection & Response è in mano nostra, non vostra. È la differenza fra avere lo strumento e avere il servizio.
Ogni segnalazione viene qualificata da una persona: o si chiude come innocua, o diventa un incidente con un responsabile e una scadenza.
Su richiesta e messa a contratto: un numero che risponde anche la sera e nel fine settimana, con tempi e perimetro definiti per iscritto.
Diciamolo prima che ce lo chiediate, perché è il genere di cosa su cui conviene essere precisi. Un SOC, cioè un Security Operations Center, è un'organizzazione con analisti in turno che presidiano gli allarmi ventiquattro ore su ventiquattro, tutti i giorni. Noi non l'abbiamo, e non vi vendiamo di averlo.
Non usiamo nemmeno un SIEM, cioè la piattaforma che raccoglie i log di tutta l'infrastruttura e li correla per far emergere gli schemi sospetti. È uno strumento serio, che però ha senso solo se c'è un'organizzazione a turni che ne legge i risultati: comprarlo senza quella è la spesa più inutile della sicurezza informatica, e produce un archivio di allarmi che non apre nessuno.
Quello che facciamo è la fascia sotto, ed è la fascia in cui sta la stragrande maggioranza delle PMI: strumenti che rilevano e bloccano da soli le cose evidenti, una persona che guarda le segnalazioni durante il giorno, e una reperibilità concordata per le ore in cui l'azienda è chiusa. Costa una frazione di un SOC e copre la gran parte di quello che succede davvero.
Se un fornitore vi propone un SOC 24/7 a un prezzo da PMI, chiedete quante persone sono in turno alle tre di notte e dove. È una domanda a cui si risponde in una riga, e la risposta chiarisce parecchio.
Serve quando il danno di un'ora di ritardo nella risposta è più grande del costo del servizio. In pratica: aziende con produzione continua sulle ventiquattro ore, chi tratta dati sanitari o finanziari su larga scala, chi è nel perimetro NIS2 come soggetto essenziale, chi ha già subito un attacco mirato e ha motivo di aspettarsene un altro.
Se siete in uno di questi casi ve lo diciamo, e vi aiutiamo a scegliere un fornitore che quel servizio ce l'ha per davvero, restando noi il riferimento sull'infrastruttura. Vendervi il nostro livello di servizio spacciandolo per un livello superiore sarebbe conveniente per un anno e disastroso il giorno dell'incidente.
No. Non abbiamo analisti in turno notturno e non vogliamo dichiarare il contrario. Il monitoraggio automatico gira in continuo e gli allarmi vengono generati a qualunque ora, ma la persona che li qualifica lavora in orario di lavoro.
Per le ore scoperte esistono due cose concrete: la reperibilità fuori orario, che si attiva su richiesta e si mette a contratto con tempi e perimetro definiti, e le difese che agiscono da sole: l'EDR blocca e isola senza aspettare che qualcuno legga, e i backup immutabili non si lasciano cancellare nemmeno da un amministratore.
No. Un SIEM ha senso quando c'è un'organizzazione a turni che ne legge i risultati: senza, quei risultati non li legge nessuno, e intanto la piattaforma costa in licenze e in tempo speso a manutenere le regole.
Sui clienti in gestione conserviamo i log dei sistemi e sappiamo ricostruire cosa è successo quando serve indagare, che è la funzione per cui la maggior parte delle PMI ha effettivamente bisogno dei log. Se il vostro settore o un vostro cliente richiede espressamente una raccolta centralizzata con correlazione, è una cosa che si valuta a parte e con i costi in chiaro.
Le difese automatiche agiscono subito, senza aspettare nessuno: l'EDR riconosce il comportamento, blocca il processo e può isolare la macchina dalla rete. È il livello che ferma la maggior parte degli attacchi non mirati, che sono la maggioranza di quelli che colpiscono le PMI.
L'analisi umana e le decisioni che richiedono un giudizio (quali sistemi riaccendere, cosa comunicare, se e come notificare) arrivano la mattina, oppure subito se avete la reperibilità in contratto. È bene che questa differenza sia chiara prima di firmare, non la notte dell'incidente.
Dipende da quali sistemi entrano nel perimetro e da quali tempi vi servono: coprire un gestionale su cui lavorano tre persone e coprire una linea che produce anche di sabato sono due impegni diversi e hanno due prezzi diversi.
Quello che non cambia è il metodo: perimetro, tempi e catena delle chiamate si scrivono nel contratto. Una reperibilità concordata a voce vale zero, perché nel momento in cui serve nessuno si ricorda cosa era stato detto.
Chiedete a chi vi gestisce l'IT tre cose: chi apre la console di sicurezza e con che frequenza, quanti allarmi sono stati chiusi nell'ultimo mese e come, e cosa è successo all'ultimo allarme grave. Se non arriva una risposta con dei numeri, la risposta è che non li guarda nessuno. È la stessa domanda che potete fare a noi, e per cui teniamo lo storico degli allarmi consultabile.
Il primo passo è un assessment gratuito dell'infrastruttura: veniamo in azienda, guardiamo com'è messa e ti lasciamo un report scritto. Senza impegno, e il report resta tuo anche se poi non se ne fa nulla.