CIS Controls IG1, il minimo indispensabile
Il primo gruppo di implementazione dei CIS Controls: le salvaguardie che ogni azienda dovrebbe avere, in ordine di efficacia. In Dottor Box quasi tutte le risposte arrivano dai dati raccolti, non da un questionario.
IG1: per la piccola e media impresa
I CIS Controls sono un insieme di controlli di sicurezza informatica sviluppati dal Center for Internet Security, un'organizzazione no-profit. Hanno un vantaggio sulle altre liste: sono ordinati per priorità, quindi dicono anche da dove cominciare.
Sono divisi in tre gruppi di implementazione (Implementation Group, IG). L'IG1 è pensato per l'azienda con risorse IT limitate, spesso senza personale dedicato alla sicurezza, che tratta dati di ufficio, clienti e dipendenti. Il CIS lo definisce igiene informatica essenziale: il livello minimo che dovrebbe avere chiunque, a prescindere da dimensione e settore.
Nella versione 8 dei CIS Controls l'IG1 conta 56 salvaguardie. I gruppi sono cumulativi: IG2 aggiunge altre salvaguardie all'IG1, IG3 le comprende tutte.
La checklist dell'igiene informatica di base
Niente di esotico: le cose che, se mancano, rendono facile la vita a chi attacca. È anche il cuore delle "misure di igiene informatica" chieste dalla NIS2.
- Inventario dei dispositivi aziendali
- Inventario del software e rimozione di quello non autorizzato
- Protezione e conservazione dei dati
- Configurazioni sicure di dispositivi e servizi
- Gestione degli account e degli accessi, con MFA
- Gestione continua delle vulnerabilità e degli aggiornamenti
- Raccolta e conservazione dei log
- Protezione della posta e difesa dal malware
- Backup e ripristino dei dati
- Formazione del personale, fornitori e risposta agli incidenti
CIS Controls IG1 con dati reali
È il framework che la piattaforma copre più direttamente: sapere quali macchine hai, quale software ci gira, quali vulnerabilità sono aperte, chi accede, se i backup funzionano.
| Controllo CIS | Come lo copre Dottor Box |
|---|---|
| 1 · Inventario degli asset | Asset Management: inventario unificato di dispositivi e software, popolato dagli agent e dalle scansioni |
| 2 · Inventario del software | Software autorizzati: il software installato confrontato con quello approvato |
| 3 · Protezione dei dati | Condivisioni aperte: le cartelle di rete leggibili o scrivibili da chi non dovrebbe |
| 4, 5, 6 · Configurazioni e account | Microsoft Entra ID e Google Workspace: privilegi, MFA, account ospite e impostazioni |
| 7 · Gestione delle vulnerabilità | Vulnerability Assessment interno ed esterno, con storico e confronto fra scansioni |
| 8 · Log | Log accessi degli amministratori di sistema, raccolti e conservati |
| 10 · Difesa dal malware | Cyber Agent sugli endpoint, con eventi di sicurezza e integrità dei file |
| 11 · Backup | Continuità operativa: questionario di verifica di backup e ripristino |
| 14 · Formazione | Formazione e Cyber Awareness con phishing simulato gestito da Dottor Marc |
| 15, 17 · Fornitori e incidenti | Supply Chain e Incident Response |
Un'autovalutazione che non si basa sulle intenzioni
Da dove cominciare
Le salvaguardie in ordine di efficacia: sai cosa fare per primo.
Inventari automatici
Hardware e software censiti dagli agent, non trascritti a mano in un foglio.
Vulnerabilità continue
Scansioni con cadenza configurabile, con il livello di servizio contrattuale come minimo garantito.
Risposte con le prove
Molte risposte sono già nei dati raccolti dalla piattaforma.
IG1, IG2, IG3: quale fa per te
IG1 · questa pagina
Igiene informatica essenziale: per ogni azienda, anche senza un reparto IT strutturato.
IG2
Per chi ha un IT strutturato, più sedi o reparti e dati sensibili da proteggere.
Vai all'IG2IG3
Per chi deve resistere ad attaccanti mirati e sofisticati, con esperti di sicurezza dedicati.
Vai all'IG3CIS Controls IG1: domande frequenti
L'IG1 basta per essere al sicuro?
No, e nessun framework lo promette. L'IG1 è la base sotto la quale non scendere: riduce l'esposizione agli attacchi più comuni e opportunistici, che sono la maggior parte di quelli subiti dalle PMI.
Che rapporto c'è fra IG1 e NIS2?
La NIS2 chiede pratiche di igiene informatica di base: l'IG1 ne è una delle traduzioni più concrete e diffuse. Valutarlo è un buon modo per preparare l'adeguamento alla NIS2.
Quanto è dichiarativa l'autovalutazione?
Meno che per altri framework: inventari, vulnerabilità, accessi e configurazioni cloud sono dati che la piattaforma raccoglie da sé, quindi molte risposte hanno già una prova.
I moduli che lavorano per l'IG1
Asset Management
L'inventario IT unificato di dispositivi e software, con la mappa a grafo della rete.
Scopri di più VedereSoftware autorizzati
Il software installato confrontato con quello approvato, per scoprire ciò che non dovrebbe esserci.
Scopri di più VedereVulnerability Assessment
Sei controlli dall'interno e dall'esterno, con severità CVSS, storico e avvisi sulle novità.
Scopri di più VedereCyber Agent
L'agente sugli endpoint: eventi di sicurezza, integrità dei file e avvisi in italiano.
Scopri di più GovernareFormazione
E-learning per il personale, con il registro dei corsi svolti da esibire.
Scopri di più GovernareContinuità operativa
Business Impact Analysis, piano di continuità e verifica dei backup, guidati da questionari.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.