Servizi di Technology & Digital Audit

Analisi complessiva dell’Information Security Management System nonché verifica dei processi, delle infrastrutture e dei sistemi utilizzati per la gestione delle attività di Information & Cyber Security al fine di valutare la loro adeguatezza in termini di efficacia ed efficienza delle operation, disponibilità e integrità dei dati, riservatezza delle informazioni e degli accessi, protezione degli asset e conformità a leggi, regolamenti, procedure e contratti.

Tra i principali ambiti di approfondimento:

• Gestione della sicurezza IT
• Piano di sicurezza IT
• Identity management
• User account management
• Security testing, surveillance and monitoring
• Gestione degli incidenti di sicurezza 
• Protection of security technology
• Cryptographic key management
• Malicious software prevention, detection and correction
• Network security
• Exchange of sensitive data

In un contesto in cui le informazioni, patrimonio critico delle aziende, devono essere disponibili ed accessibili everywhere & at anytime, è richiesto un focus particolare su integrità dei dati, modalità sicure di accesso, trasferimento e condivisione sul Cloud. 

Tra i principali ambiti di approfondimento:

• Analisi dei rischi nell’utilizzo di servizi cloud, identificazione dei rischi di natura organizzativa, tecnologica e legale.
• Valutazione dei termini e condizioni contrattuali per la regolamentazione dei servizi cloud e identificazione degli impatti rispetto al modello operativo-architetturale del Cliente.
• Valutazioni dei piani di migrazione e transizione al cloud.
• Modalità per l’accesso ai servizi cloud (e.g. posta elettronica, filesharing) e contesto di accesso (e.g. device e location di accesso)
• Regole di funzionamento dei servizi cloud (e.g. policy user based, protocolli utilizzati).
• Modalità di integrazione con altri sistemi (e.g. allineamento tra account on-premises e cloud);
• Configurazione di meccanismi di logging e auditing.

Analisi della resilienza operativa nell’ambito delle componenti tecnologiche e dei dati aziendali, includendo i piani di ripristino, di gestione delle emergenze e di risposta alle crisi, pianificazione complessiva della ripresa delle attività, valutazioni dell'infrastruttura tecnologica e dell'architettura e valutazioni della strategia tecnologica complessiva e della struttura organizzativa.

Tra i principali ambiti di approfondimento:

• Scelte organizzative in tema di Business Continuity: analisi delle scelte effettuate in termini organizzativi e dell’attribuzione delle responsabilità per le attività di Business Continuity, tra cui anche la verifica dei livelli di approvazione e di escalation per le soglie di tolleranza al rischio.
• Coerenza dei piani di Business Continuity e Disaster Recovery (DR): analisi complessiva con focalizzazione sugli scenari di risposta ad attacchi cyber sui sistemi informatici rispetto agli obiettivi di continuità operativa tra cui gli RTO (Recovery Time Objective) e gli RPO (Recovery Point Objective), e dei livelli minimi di servizio attesi.
• Attività di test: verifica dell’esistenza della pianificazione di attività di test coerenti con scenari di attacchi cyber e verifica dell’efficacia dei test svolti (es. test delle procedure di ripristino necessarie per garantire la possibilità di recuperare la piena efficienza dei sistemi tecnologici in caso di evento inatteso e nei tempi prefissati).
• Continuous improvement: analisi del processo di miglioramento continuo messo in atto attraverso le politiche aziendali e individuazione di suggerimenti per colmare eventuali gap riscontrati rispetto alle Best Practice di settore.