Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Collegare segnali e servizi
NIST SP 800-137 presenta il monitoraggio continuo come fonte di visibilità su asset, minacce, vulnerabilità ed efficacia dei controlli. Una PMI può applicare lo stesso principio scegliendo pochi segnali collegati a servizi e rischi reali.
Disponibilità di host e porte non equivale a servizio funzionante. Quando possibile, i controlli devono verificare transazioni, autenticazione, code, backup e dipendenze esterne.
- Disponibilità e risposta del servizio
- Capacità di CPU, memoria, disco e collegamenti
- Esito backup, replica e job pianificati
- Identità, privilegi e configurazioni modificate
- Scadenza di certificati, domini e licenze
Progettare allarmi azionabili
Ogni allarme deve indicare condizione, severità, servizio, destinatario, tempo di presa in carico e prima azione. Soglie statiche, baseline e correlazione possono convivere; ciò che conta è ridurre sia i mancati rilevamenti sia il rumore che porta a ignorare tutto.
CISA suggerisce di centralizzare i log e creare alert per eventi ad alto rischio, come tentativi ripetuti e escalation di privilegi. Log e piattaforma di monitoraggio devono essere protetti da modifica e cancellazione.
- Titolo comprensibile e contesto sufficiente
- Runbook o controllo iniziale
- Responsabile primario e sostituto
- Escalation tecnica e direzionale
- Finestra di manutenzione e soppressioni registrate
Misurare il processo, non soltanto gli eventi
Riesami periodici individuano alert inutili, sistemi non coperti, agenti guasti e dipendenze senza controllo. Incidenti e falsi positivi devono migliorare soglie e runbook.
Metriche come copertura, tempo di rilevazione, presa in carico e risoluzione aiutano, ma vanno lette insieme alla criticità. Un tempo medio buono può nascondere un singolo servizio essenziale rimasto senza controllo.
Domande frequenti
Serve un presidio 24 ore su 24?+
Dipende da criticità e rischio. Il modello deve dichiarare copertura, eventi gestiti fuori orario e canale di escalation, senza promettere una disponibilità inesistente.
Più alert significano più sicurezza?+
No. Alert non azionabili aumentano il rumore. Occorrono copertura mirata, contesto, responsabilità e riesame.
Monitoraggio infrastrutturale e SIEM coincidono?+
No. Possono integrarsi: il primo segue soprattutto salute e capacità; il SIEM correla eventi di sicurezza. I confini dipendono dagli strumenti e dal processo.