Cosa viene testato
La lista di controllo CyberSeal definisce i requisiti per il fornitore di servizi IT e costituisce lo standard definito per il marchio di approvazione. Le specifiche precise mirano a promuovere l'uniformità dell'audit. Il revisore ottiene un quadro iniziale sulla base di una dichiarazione del fornitore di servizi IT che utilizza la lista di controllo attuale. La lista di controllo è suddivisa nei seguenti capitoli (le domande non sono tassative):
01 Divisione dei compiti tra cliente e fornitore di servizi IT
È stato definito con precisione quali compiti sono di responsabilità del fornitore di servizi e quali compiti vengono assunti internamente dalla PMI?
02 Gestione dell'accesso all'infrastruttura del cliente
Chi ha accesso ai sistemi del cliente e quando? Viene comunicato in modo trasparente al cliente come viene gestito l'accesso? In che misura i sistemi del cliente sono protetti dall'accesso esterno?
03 Documentazione
Viene mantenuta una documentazione generale dei componenti gestiti e può essere inviata al cliente su richiesta?
04 Dati di accesso e autorizzazioni
Sono stati istituiti processi e strumenti per registrare e gestire in modo tracciabile le modifiche ai dati di accesso e renderle accessibili in caso di emergenza?
05 Progettazione della rete
Le reti per le diverse aree di lavoro presso i clienti e il fornitore di servizi IT sono separate in modo sensato (ad esempio, rete dell'ufficio, produzione, area per gli ospiti)?
06 Firewall
Le regole del firewall sono comprensibili e chiare? Le regole del firewall sono sufficientemente restrittive?
07 WLAN
La WLAN del cliente e del fornitore di servizi IT è protetta da password sicure? Esistono punti di accesso WLAN separati per i dipendenti e per gli ospiti?
08 Progettazione della Directory Active
Tutti i permessi sono gestiti in modo sicuro e trasparente? Le autorizzazioni amministrative sono limitate?
09 Rafforzamento dei componenti IT
È stato definito un processo più sicuro per il rafforzamento dei sistemi?
10 Sistema di posta elettronica
L'infrastruttura di posta del cliente e del fornitore di servizi IT è adeguatamente protetta da malware e spam?
11 Gestione delle interconnessioni
Esiste un processo sicuro per l'applicazione tempestiva delle interconessioni a tutti i sistemi gestiti?
12 Dispositivi mobili
Esistono linee guida per la gestione dei dispositivi mobili, l'accesso ai dati aziendali è sufficientemente limitato e i dati sono sufficientemente protetti?
13 Homeoffice
Come viene garantito l'accesso sicuro ai dati e ai sistemi aziendali dal proprio domicilio?
14 Protezione contro il malware
Tutti i sistemi IT rilevanti per la sicurezza sono dotati di una protezione contro il malware aggiornata o, se ciò non è possibile, sono isolati dalla rete?
15 Backup
Esiste un processo sicuro per la creazione dei backup? Questo processo viene eseguito regolarmente? I backup sono conservati in modo sicuro e controllati regolarmente?
16 Gestione delle modifiche / Gestione degli incidenti
Le modifiche e i guasti ai sistemi sono registrati in modo tracciabile?
17 Registrazione
I protocolli di accesso ai sistemi del cliente con le registrazioni degli accessi del fornitore di servizi IT e dei guasti all'hardware sono creati e conservati in modo appropriato?
18 Monitoraggio
I principali sistemi del cliente sono monitorati dal fornitore di servizi IT?
19 Smaltimento del supporto dei dati
Esiste un processo sicuro per lo smaltimento del supporto dei dati che viene seguito?
20 Servizi di parti terze
Il fornitore di servizi IT può garantire la sicurezza dei servizi di terzi?
21 Vulnerabilità del cliente
Le vulnerabilità dell'infrastruttura IT del cliente sono comunicate in modo trasparente?
22 Formazione e aggiornamento professionale
Il fornitore di servizi IT offre ai suoi dipendenti e a quelli dei suoi clienti una formazione regolare sul tema della sicurezza?
23 Concetto di emergenza
Esiste un concetto di emergenza aggiornato e testato? Il fornitore di servizi IT offre ai propri clienti assistenza nella stesura di un piano di emergenza?
24 Date di scadenza
Le date di scadenza dei componenti IT (licenze, certificati, componenti hardware, ecc.) sono monitorate e il cliente ne è informato?
25 Sicurezza fisica
L'accesso ai locali del fornitore di servizi informatici e alle sale computer è ragionevolmente protetto e monitorato? I dispositivi sono sufficientemente protetti da fattori esterni (ad es. interruzione di corrente)?
26 Gestione del rischio informatico
I rischi sono stati identificati, concordati con i clienti e mitigati con misure appropriate ( prevenzione, contenimento, trasferimento) fino a renderli inammissibili?
Audit Cyber-seal
Fornitore di servizi IT certificato