Oggi più che mai, i team che si occupano di tecnologia e conformità devono collaborare per proteggere l'integrità delle loro organizzazioni. Le informazioni sensibili vengono archiviate e trasferite in forma digitale e le normative associate stanno diventando sempre più severe e complesse. Mentre la compliance è responsabile dell'identificazione delle normative che riguardano la sicurezza delle informazioni, i team tecnologici devono identificare e implementare le soluzioni più efficaci per aderire a tali normative.
Active Directory è un’applicazione fondamentale per garantire la conformità, poiché funge da finestra sulle attività e sulle politiche IT di un’organizzazione: deve essere protetta per preservare l’integrità aziendale e la conformità. Qualsiasi azienda che gestisca dati sensibili dei clienti, quali documenti finanziari o cartelle cliniche, deve garantire la sicurezza del proprio ambiente Active Directory ed eseguire verifiche periodiche per individuare eventuali rischi per la sicurezza delle informazioni. Se non monitorati attivamente, gli account utente inattivi e i controlli poco rigorosi sugli accessi amministrativi rappresentano una minaccia per la sicurezza di Active Directory ed espongono le organizzazioni al rischio di non conformità.
Conformità alla sicurezza delle informazioni
Le normative, come la SOX e la HIPAA, sono state create per proteggere i consumatori e gli azionisti, imponendo alle organizzazioni di verificare la presenza di comportamenti sospetti in Active Directory, di proteggere i record digitali dall'uso improprio e di proteggere le informazioni private dei clienti. Anche se le normative specifiche possono variare a seconda del settore, la regola generale è la stessa: stabilire procedure e controlli per proteggere le informazioni sensibili dell'azienda. Con così tante leggi da rispettare, è difficile sapere quali regolamenti si applicano alla vostra azienda, quindi abbiamo decifrato gli acronimi dei regolamenti per rendere la conformità un po' più facile da seguire.
SOX: la “S” sta per “Shareholder” (azionista) – Il Sarbanes-Oxley Act (SOX) impone a tutte le società quotate in borsa di adottare procedure volte a proteggere i documenti contabili dalla distruzione, dalla perdita e dall’uso improprio, al fine di tutelare gli azionisti della società e ridurre il rischio di frodi aziendali. Il SOX impone inoltre alle società di sottoporre tali controlli a revisione e di redigere relazioni in merito.
PCI: la P sta per "Pagamenti" - La normativa PCI DSS (Payment Card Industry Data Security Standard) stabilisce che qualsiasi azienda che accetti pagamenti con carta, attraverso l'archiviazione, l'elaborazione e la trasmissione dei dati dei titolari delle carte, debba ospitare tali dati in modo sicuro avvalendosi di un provider di hosting conforme allo standard PCI. Per essere conformi allo standard PCI, è necessario monitorare tutti gli accessi alle risorse di rete, testare regolarmente i sistemi di sicurezza e mantenere una politica di sicurezza delle informazioni.
GLBA: GL sta per “Gives Loans” (concessione di prestiti ) – Il Gramm-Leach-Bliley Act (GLBA), noto anche come Financial Modernization Act del 1999, disciplina le modalità con cui gli istituti finanziari gestiscono le informazioni private dei clienti. La “Safeguards Rule” (norma sulle misure di sicurezza) del GLBA impone a tutti gli istituti finanziari di creare, attuare e mantenere misure di sicurezza volte a proteggere le informazioni dei clienti. Ai sensi della «Safeguards Rule», gli istituti finanziari devono identificare i rischi operativi relativi ai dati dei clienti, attuare un programma di sicurezza delle informazioni e sottoporre regolarmente a verifica il programma di misure di sicurezza.
HIPAA: H sta per Salute - L’HIPAA, ovvero l’Health Insurance Portability and Accountability Act, è stato inizialmente creato per tutelare la copertura sanitaria delle persone che perdono o cambiano lavoro e si è ora evoluto in una serie di standard per la protezione dei dati dei pazienti. L’HIPAA impone a qualsiasi azienda che tratti informazioni sanitarie protette (PHI) di implementare e rispettare misure di sicurezza fisiche, di rete e procedurali. Le PHI trasmesse elettronicamente, o e-PHI, sono protette dalla Norma di sicurezza dell’HIPAA e le organizzazioni devono garantire la sicurezza di tali informazioni identificando le minacce e proteggendosi da esse.
FISMA: la "F" sta per "Federal Government " (Governo federale) - Il Federal Information Security Management Act (FISMA) è stato istituito dal Dipartimento per la Sicurezza Interna al fine di proteggere le informazioni, le operazioni e i beni del governo da ogni tipo di minaccia, sia naturale che provocata dall'uomo. Il FISMA stabilisce inoltre che le agenzie governative debbano implementare strumenti per verificare i propri programmi di sicurezza delle informazioni, testare le procedure di sicurezza ed effettuare valutazioni periodiche dei rischi.
Audit e conformità di Active Directory
Indipendentemente dal settore, normative come queste impongono alle organizzazioni di monitorare il proprio ambiente IT per individuare e porre rimedio a potenziali minacce. Semperis Active Directory State Manager (ADSM) aiuta le organizzazioni a mantenere la conformità attraverso l'auditing in tempo reale e la creazione di report sulle potenziali lacune, tra cui:
- Verifica delle modifiche di Active Directory - Le verifiche governative richiedono alle organizzazioni di sapere quali modifiche vengono apportate e chi le effettua.
- Identificazione degli account abilitati inattivi - Gli account obsoleti e non utilizzati rappresentano un rischio per la sicurezza di Active Directory perché possono essere sfruttati e utilizzati come vettori di violazione.
- Tracciamento degli account utente sensibili e privilegiati - Il tracciamento delle modifiche agli account utente sensibili e privilegiati consente di garantire che l'azienda si attenga alle politiche di sicurezza delle informazioni implementate nell'ambito delle normative sulla sicurezza delle informazioni.
La maggior parte di queste norme sulla sicurezza delle informazioni è stata creata in seguito alla crisi finanziaria e agli scandali aziendali che hanno avuto luogo all'inizio del secolo. Con l'aumento della frequenza e della portata degli attacchi informatici e alla luce delle gravi violazioni verificatesi nell'ultimo anno, le organizzazioni sono diventate più sensibili ai problemi di sicurezza informatica. Sono state introdotte nuove normative per garantire che le aziende adottino misure di sicurezza informatica per proteggere i dati sensibili dalle violazioni. Per essere all'avanguardia, è essenziale iniziare a controllare attivamente Active Directory e a proteggere e correggere le minacce.
