Che cosa è

Proteggere adeguatamente sistemi, reti e informazioni richiede l’adozione di misure di sicurezza tecniche e organizzative: controllo degli accessi, autenticazione multifattore, backup, segmentazione delle reti, sistemi di monitoraggio, procedure per la gestione degli incidenti, formazione del personale e molte altre.

Ma aver implementato una misura non significa necessariamente che questa continui nel tempo a essere adeguata, correttamente configurata ed efficace.

L’auditing della sicurezza digitale consiste proprio in un’attività sistematica e documentata di verifica, finalizzata a valutare se le misure di sicurezza previste dall’organizzazione siano state effettivamente attuate, siano correttamente gestite e risultino adeguate rispetto ai rischi che devono fronteggiare.

Un audit non deve quindi limitarsi a verificare l’esistenza di policy, procedure o strumenti tecnologici. Deve cercare evidenze concrete del loro funzionamento.

Ad esempio:

• i backup vengono effettuati, ma viene periodicamente verificata la possibilità di ripristinare realmente i dati?
• l’autenticazione multifattore è prevista, ma è effettivamente applicata a tutti gli account che dovrebbero utilizzarla?
• esistono firewall e sistemi di segmentazione della rete, ma le relative regole sono ancora coerenti con l’architettura e con le esigenze dell’organizzazione?
• sono stati definiti profili e privilegi di accesso, ma questi vengono periodicamente riesaminati?
• esistono sistemi SIEM o altri strumenti di monitoraggio, ma le sorgenti rilevanti sono realmente raccolte e gli allarmi vengono gestiti?
• sono previste procedure di risposta agli incidenti, ma sono mai state effettivamente provate?

L’audit serve, in altre parole, a verificare la distanza eventualmente esistente tra quanto dovrebbe accadere, quanto si ritiene che accada e quanto accade realmente.

 

Perché è importante

Le infrastrutture informatiche cambiano continuamente. Vengono introdotti nuovi sistemi e applicazioni, aumentano i servizi cloud, cambiano le persone e le loro autorizzazioni, vengono modificati apparati e configurazioni, nascono nuove vulnerabilità e cambiano contemporaneamente le tecniche utilizzate dagli attaccanti. Una misura di sicurezza adeguata nel momento in cui è stata introdotta può quindi non esserlo più dopo alcuni mesi o alcuni anni. Anche semplici modifiche operative possono produrre situazioni inattese: account non più necessari che rimangono attivi, privilegi accumulati nel tempo, regole firewall obsolete, backup non più completi, sistemi esclusi dal monitoraggio, software non aggiornati o procedure che sulla carta risultano corrette ma nella pratica non vengono più seguite.

L’auditing costituisce pertanto uno degli strumenti fondamentali del processo di miglioramento continuo della sicurezza.

Non serve soltanto a individuare eventuali non conformità rispetto a norme o regolamenti. Un audit ben progettato consente soprattutto di:

• individuare debolezze prima che possano essere sfruttate da un attaccante;
• verificare l’effettiva applicazione delle misure definite;
• individuare configurazioni, procedure o autorizzazioni non più appropriate;
• controllare l’avanzamento delle azioni correttive precedentemente definite;
• fornire alla direzione una rappresentazione indipendente dello stato della sicurezza;
• stabilire priorità di intervento sulla base del rischio.

L’obiettivo finale non dovrebbe quindi essere semplicemente “superare l’audit”, ma utilizzare l’audit per capire dove e come migliorare.

 

Le principali cose da sapere

1) Non esiste un solo tipo di audit. L’auditing può assumere forme differenti in funzione degli obiettivi, delle dimensioni dell’organizzazione e delle competenze disponibili.

• Audit interno. È svolto dall’organizzazione stessa, utilizzando personale dotato delle necessarie competenze e di un sufficiente grado di indipendenza rispetto alle attività sottoposte a verifica. Presenta il vantaggio della conoscenza diretta dei sistemi, dei processi e dell’organizzazione e consente di effettuare verifiche anche frequenti e mirate. Occorre però evitare che chi ha progettato, implementato o gestisce quotidianamente una determinata misura finisca per essere l’unico soggetto chiamato a valutarne l’efficacia. Chi realizza un controllo non dovrebbe essere, per quanto possibile, l’unico soggetto che ne verifica il corretto funzionamento. E' il basilare principio della separazione delle responsabilità (SoD, Separtaion of Diutes)
• Audit esterno. Può essere affidato a professionisti o società specializzate indipendenti dall’organizzazione. Il principale vantaggio è rappresentato dalla possibilità di ottenere una valutazione effettuata da soggetti non coinvolti nella gestione quotidiana dei sistemi e che possono inoltre portare esperienze maturate in organizzazioni e contesti differenti. L’audit esterno può riguardare l’intero sistema di gestione della sicurezza oppure specifiche aree considerate particolarmente critiche. È opportuno distinguere questo tipo di attività dagli audit eseguiti da organismi di certificazione: un’organizzazione può sottoporre la propria sicurezza ad audit indipendenti anche senza perseguire alcuna certificazione.
• Modello misto interno-esterno. In molte situazioni la soluzione più efficace consiste nel combinare le due modalità di cui sopra. Le verifiche ordinarie e più frequenti possono essere svolte internamente, mentre specialisti esterni possono intervenire periodicamente sulle aree maggiormente critiche o su quelle nelle quali sono necessarie competenze specialistiche. Questo approccio permette di unire conoscenza dell’organizzazione e indipendenza del giudizio, evitando contemporaneamente che l’auditing diventi un’attività effettuata soltanto in occasione di certificazioni o controlli esterni.

2) Audit e verifiche tecniche non sono necessariamente la stessa cosa. Un audit di sicurezza può comprendere anche verifiche tecniche, ma non deve essere confuso con attività quali vulnerability assessment o penetration test. Queste ultime cercano prevalentemente vulnerabilità e debolezze tecniche nei sistemi. L’audit ha normalmente una prospettiva più ampia e può prendere in considerazione contemporaneamente:

• organizzazione e responsabilità;
• gestione dei rischi;
• policy e procedure;
• configurazioni tecniche;
• gestione degli accessi;
• patching e vulnerabilità;
• backup e continuità operativa;
• logging e monitoraggio;
• gestione degli incidenti;
• sicurezza dei fornitori;
• formazione e consapevolezza del personale;
• rispetto di requisiti normativi e contrattuali.

Le differenti attività sono quindi complementari.

3) Gli standard internazionali. L'auditing della sicurezza digitale può essere supportato da differenti standard, framework e metodologie, che hanno finalità non sempre coincidenti ma possono essere utilizzati in modo complementare. Tra i principali riferimenti internazionali possono essere ricordati:

• ISO 19011:2026, che fornisce le linee guida generali per l'auditing dei sistemi di gestione, affrontando principi dell'audit, gestione dei programmi di audit, conduzione delle verifiche e competenze degli auditor;
• ISO/IEC 27001:2022, standard internazionale di riferimento per i sistemi di gestione della sicurezza delle informazioni;
• ISO/IEC 27007:2020, specificamente dedicata alle linee guida per l'auditing dei sistemi di gestione della sicurezza delle informazioni;
• ISO/IEC TS 27008, focalizzata sulla valutazione dell'implementazione e dell'efficacia dei controlli di sicurezza;
• COBIT 2019 di ISACA, framework internazionale per la governance e il management dell'Information & Technology, largamente utilizzato anche nelle attività di IT audit, assurance e valutazione dei controlli. COBIT mette a disposizione obiettivi di governance e management, pratiche e metriche che possono costituire una base strutturata per definire il perimetro e i criteri di una verifica;
• NIST Cybersecurity Framework 2.0, che può essere utilizzato per assessment e verifiche della capacità dell'organizzazione di governare, identificare, proteggere, rilevare, rispondere e ripristinare a fronte dei rischi cyber.
• Un ambito specifico riguarda poi la verifica dei controlli applicati dai fornitori di servizi, sempre più rilevante in presenza di outsourcing, cloud e servizi gestiti. In questo contesto sono diffusi, soprattutto negli Stati Uniti, i SOC – System and Organization Controls report sviluppati nell'ambito degli standard professionali AICPA. In particolare, i report SOC 2 consentono di ottenere un'attestazione indipendente sui controlli di un service provider relativamente ad aspetti quali sicurezza, disponibilità, integrità dei processi, riservatezza e privacy.
• In particolare, i report SOC 2 possono costituire un’utile evidenza nell’audit dei fornitori di servizi IT e cloud, fermo restando che non sostituiscono le verifiche che l’organizzazione deve svolgere in relazione ai propri specifici rischi.
• Storicamente, in questo ambito sono stati utilizzati anche SAS 70 e successivamente SSAE 16; tali riferimenti appartengono tuttavia alle precedenti evoluzioni degli standard statunitensi di assurance e non rappresentano oggi il modo più aggiornato per descrivere il sistema delle attestazioni SOC.
• A livello internazionale, ISAE 3402 – Assurance Reports on Controls at a Service Organization disciplina invece gli incarichi di assurance relativi ai controlli presso organizzazioni di servizi rilevanti per il sistema di controllo interno sull'informativa finanziaria dell'organizzazione cliente.
  • SOC e ISAE 3402 non sostituiscono quindi un audit complessivo della sicurezza digitale, ma possono costituire importanti evidenze di assurance sui fornitori, soprattutto quando parte significativa dei sistemi e dei processi dell'organizzazione è esternalizzata.

È importante sottolineare che questi riferimenti non devono necessariamente essere applicati integralmente. Anche un'organizzazione di piccole dimensioni può utilizzarne principi, criteri e controlli come base per costruire verifiche proporzionate ai propri rischi e alle proprie risorse.

4) L’auditing non è soltanto per le grandi organizzazioni. Associare l’auditing a grandi imprese, banche o organizzazioni fortemente regolamentate è un errore abbastanza comune. Anche una piccola organizzazione può dipendere completamente dal funzionamento dei propri sistemi informativi, dalla posta elettronica, dai servizi cloud, dai dati dei clienti o dai propri fornitori tecnologici. E proprio le organizzazioni più piccole dispongono spesso di minori risorse specialistiche interne e possono quindi avere maggiore difficoltà nell’individuare autonomamente configurazioni errate, procedure non applicate o misure che nel tempo hanno perso efficacia. Naturalmente, l’audit deve essere proporzionato. Una piccola impresa non necessita dello stesso programma di audit di una grande banca internazionale. Può essere sufficiente, ad esempio, una verifica periodica concentrata sui sistemi e sui processi realmente critici:

• amministrazione degli account e autenticazione;
• aggiornamento dei sistemi;
• backup e prove di ripristino;
• protezione degli endpoint;
• configurazione dei servizi cloud;
• gestione degli accessi remoti;
• sicurezza della posta elettronica;
• continuità operativa;
• gestione dei fornitori IT.

In questi casi anche un audit esterno circoscritto, effettuato periodicamente, può consentire di individuare problemi che internamente difficilmente sarebbero emersi. La dimensione dell’organizzazione dovrebbe quindi determinare l’ampiezza e la complessità dell’audit, non l’opportunità di effettuarlo.

 

Raccomandazioni pratiche

1. Definire chiaramente che cosa si vuole verificare

Un audit deve partire da obiettivi e perimetro definiti. Cercare di verificare contemporaneamente qualsiasi aspetto della sicurezza rischia di produrre controlli superficiali.

Meglio individuare sistemi, processi e misure maggiormente critici sulla base del rischio.

2. Pianificare verifiche periodiche

L’audit non dovrebbe essere un evento eccezionale organizzato soltanto quando richiesto da clienti, autorità o organismi di certificazione.

La frequenza dovrebbe dipendere dalla criticità dei sistemi, dai rischi e dalla velocità con cui l’ambiente tecnologico cambia.

3. Garantire competenza e indipendenza di chi verifica

L’auditor deve possedere adeguate competenze organizzative e tecniche e poter esprimere le proprie valutazioni senza condizionamenti.

Quando tali condizioni non possono essere garantite internamente può essere opportuno utilizzare soggetti esterni o adottare un modello misto.

4. Cercare evidenze, non soltanto documenti

Una procedura formalmente perfetta non dimostra che venga effettivamente applicata.

Occorre verificare configurazioni, registrazioni, log, autorizzazioni, ticket, evidenze delle attività svolte e, dove opportuno, effettuare test.

5. Valutare soprattutto l’efficacia delle misure

La domanda fondamentale non dovrebbe essere soltanto: “Questa misura esiste?” ma: “Questa misura sta realmente riducendo il rischio per il quale è stata introdotta?”

6. Classificare le criticità in funzione del rischio

Non tutte le anomalie hanno la stessa importanza.

Le azioni correttive dovrebbero essere prioritizzate considerando probabilità, impatto e criticità degli asset interessati.

7. Assegnare responsabilità e scadenze

Ogni criticità significativa dovrebbe generare, quando necessario, un’azione correttiva con un responsabile e una data prevista di completamento.

8. Verificare che le azioni correttive siano state realmente completate

Il follow-up è una parte essenziale dell’audit.

Un rapporto che individua correttamente le criticità ma che non viene seguito dalla verifica delle azioni intraprese rischia di trasformare l’intero processo in un semplice adempimento documentale.

9. Adattare l’audit alla dimensione dell’organizzazione

Anche le piccole organizzazioni dovrebbero effettuare periodicamente verifiche sulla propria sicurezza.

Non è necessario costruire strutture complesse: meglio pochi controlli mirati sui sistemi realmente critici, svolti con regolarità e da persone competenti, piuttosto che un programma molto articolato che rimane soltanto sulla carta.

In sintesi

Firewall, backup, autenticazione multifattore, sistemi di monitoraggio e procedure di sicurezza sono indispensabili.

Ma nessuna misura dovrebbe essere considerata efficace soltanto perché è stata installata o prevista.

Tecnologie, organizzazioni e minacce cambiano continuamente.

L’auditing serve proprio a verificare, con metodo e sulla base di evidenze, che le misure di sicurezza in essere continuino a funzionare davvero.