Gestione IT

Sicurezza: quali servizi offrire?

14 Settembre 2015

Secondo un recente studio condotto da CompTIA per le PMI la sicurezza è diventato un “qualcosa” di cui è necessario occuparsi.
La sicurezza è diventata una priorità perché le falle e gli attacchi sono sempre più frequenti e portano danni sempre maggiori” è la frase che sintetizza meglio il rapporto di CompTIA.
 
Quindi la sicurezza non è più un accessorio che può essere interessante avere, è un requisito necessario che deve aiutare a proteggere non solo da virus ma anche da errori umani, errori del software e attacchi esterni.
 
Per i fornitori di servizi IT questa è una grande opportunità perché la “necessità di sicurezza” apre lo scenario alla fornitura di servizi: servizi e non prodotti… la sicurezza infatti non è un insieme di prodotti ma di servizi e buone abitudini.
 



Quali sono allora i servizi che un fornitore IT può erogare in nome della sicurezza?
Questo è un elenco di servizi da cui puoi prendere spunto per migliorare la sicurezza dei tuoi clienti e aumentare i tuoi margini.
 
Antivirus/antimalware.
Il primo e più importante punto per affrontare il tema della sicurezza è un antivirus sempre aggiornato e facile da gestire, che magari ti supporti con un modello commerciale del tipo “pay per use”.
La facilità di distribuzione dell’antivirus su nuovi endpoint è un elemento cruciale perché ti permette di risparmiare tempo durante il tuo lavoro. Devi partire da qui, non lasciare che sia il cliente a decidere quale antivirus è il migliore: lo sai tu quale è il migliore per il tuo lavoro.
 
Patch management
Alcuni ricercatori affermano che ci sono 19 “buchi” software al giorno. Ecco allora che un sistema di patch management automatizzato e distribuito a “pioggia” sui tuoi clienti può risolvere molti problemi ancora prima che si verifichino.
 
Audit/inventario
Un censimento aggiornato è necessario quando si parla di sicurezza.
Potresti scoprire quanti tuoi clienti hanno ancora Windows XP o Windows 2003, sistemi operativi che non hanno più supporto da parte di Microsoft e quindi sono più vulnerabili che mai.
E da qui potresti puoi proporre servizi di migrazione a nuovi sistemi operativi o su architetture cloud.
 
Verifica degli accessi dall’esterno
Un assessment regolare che verifichi la sicurezza dall’esterno è una buona pratica.
I motivi che richiedono un’assessment di vulnerabilità esterno sono diversi.
Innanzitutto è possibile che sul firewall perimetrale ci siano porte aperte che non devono stare aperte: magari si tratta di test o configurazioni provvisorie che poi è necessario riportare allo stato originale.
In questo caso un assessment regolare serve a evidenziare eventuali difformità dallo standard.
In secondo luogo anche porte aperte in maniera “corretta” possono esporre su internet dei servizi che non sono aggiornati o patchati e quindi possono prestare il fianco ad attacchi mirati.
 
Diritti e controllo degli accessi
In ogni azienda, di qualsiasi dimensione, ci sono dati “pubblici“ e dati “privati”.
E per dati privati si intendono dati ai quali non tutto il personale deve avere accesso, è necessario quindi mettersi a tavolino con la proprietà e capire quali dati sono da proteggere più di altri.
In base a questa analisi sarà poi necessario impostare regole e policy per il controllo degli accessi in modo che non tutte le persone possano accedere a tutti i dati.
 
Gestione delle password
Spesso gli utenti usano e riusano le stesse password, e in generale sono password “facili” come il nome del cane o la data di nascita.
E’ necessario imporre (spiegando le motivazioni) delle regole rigide per le password, magari unite a sistemi di “reset” automatico delle password.
Spesso infatti le richieste di supporto riguardano il reset di password dimenticate. Ecco che un sistema che consenta di resettare in modo (semi)automatico le password può risolvere il problema degli utenti che non si loggano più al sistema e contemporaneamente scaricare il supporto da richieste “noiose”.
 
Autenticazione multi-factor
Le strong password, ossia password “complesse” costruite utilizzando una combinazione di lettere numeri e altri caratteri, vengono piano piano accettate in molte aziende anche se cambiare la password rimasta uguale per 12 anni può rappresentare un trauma per alcune persone, quello che è ancora poco utilizzata è l’autenticazione multi-factor.
Si tratta di sistemi di autenticazione dove la sola password non è sufficiente per collegarsi al sistema, serve anche altro.
Per esempio le banche utilizzano, per le transazioni online, oltre alla password un ulteriore codice pin spesso generato da dispositivi simili a chiavette USB.
Altri sistemi ancora dopo il login con la password generano un SMS e inviano sul cellulare un ulteriore codice segreto necessario per entrare nel sistema al quale ci si sta collegando.
E’ opportuno che tu inizi a considerare seriamente  l’autenticazione multi-factor.
 
Scalabilità
E’ fondamentale che tutte le “regole”, gli strumenti e le best practice che implementi per la sicurezza siano scalabili.
Ossia se arrivano due nuove persone a lavorare da un tuo cliente o se prendi un nuovo cliente è necessario che il tuo lavoro per portare a bordo le nuove persone o il nuovo cliente sia il minore possibile, fermo restando che lo standard qualitativo non deve essere toccato.
Se devi rifare tutto da zero ogni volta con attività manuali e con operazioni che ti portano via tempo, ecco che sarai in difficoltà e portare nuovi clienti a casa sarà un’operazione costosa.
Se invece le tue procedure e i tuoi software ti consentono di automatizzare buona parte delle attività, i tuoi margini sono pronti a decollare.

(Tratto dal blog di Kaseya)

Autore
Claudio Panerai
Gli ultimi prodotti che vi ho portato, nel 2020: Vade Secure Il primo sistema antispam/antihishing/antimalware basato sull'intelligenza artificiale e appositamente progettato per Office 365. Naturalmente a misura di MSP. ID Agent Piaffaforma che consente agli MSP di monitorare le credenziali (proprie e dei clienti) che sono in vendita nel dark web.
Nato a Ivrea nel 1969, è sposato e padre di due figlie. Laureato in Scienze dell’Informazione nel 1993, ha dapprima svolto numerose consulenze e corsi di formazione per varie società per poi diventare responsabile IT per la filiale italiana del più grande editore mondiale di informatica, IDG Communications. Dal 2004 lavora in Achab dapprima come Responsabile del Supporto Tecnico per poi assumere dal 2008 la carica di Direttore Tecnico. Giornalista iscritto all’albo dei pubblicisti, dal 1992 pubblica regolarmente articoli su riviste di informatica e siti web di primo piano. E' stimato da colleghi e clienti per la schiettezza e onestà intellettuale. Passioni: viaggi, lettura, cinema, Formula 1, sviluppo personale, investimenti immobiliari, forex trading. Claudio è anche su LinkedIn e Facebook.
Commenti (0)
guest
0 Commenti
Inline Feedbacks
Guarda tutti i commenti