TLP: significato del Traffic Light Protocol
Il TLP (Traffic Light Protocol) è una convenzione internazionale, mantenuta dal FIRST, che con un'etichetta a colori indica a chi riceve un'informazione di sicurezza con chi può condividerla.
In breve
Chi scrive un documento, un avviso o una email lo etichetta con TLP: seguito dal colore, ben visibile in testa. Il colore non dice quanto l'informazione è "segreta" in senso generale: dice fin dove può circolare. È il linguaggio comune di CSIRT, SOC, fornitori di sicurezza e autorità quando si scambiano dettagli su vulnerabilità e incidenti.
Le etichette della versione 2.0
| Etichetta | Chi può riceverla |
|---|---|
| TLP:RED | Solo i destinatari diretti, per esempio i presenti a una riunione. Non si inoltra a nessuno. |
| TLP:AMBER+STRICT | Solo all'interno dell'organizzazione del destinatario, a chi ha necessità di conoscerla. |
| TLP:AMBER | L'organizzazione del destinatario e i suoi clienti, sempre secondo necessità di conoscere. |
| TLP:GREEN | La comunità di riferimento (per esempio le aziende di un settore), ma non canali pubblici. |
| TLP:CLEAR | Chiunque, anche pubblicamente, nel rispetto dei diritti d'autore. |
La versione 2.0 è in vigore dall'agosto 2022. Rispetto alla precedente ha rinominato TLP:WHITE in TLP:CLEAR e ha aggiunto TLP:AMBER+STRICT, per distinguere ciò che non deve uscire dall'organizzazione. Nei documenti meno recenti si trovano ancora le etichette della versione 1.0.
Perché è importante
Durante un incidente si scambiano informazioni delicate: indicatori di compromissione, vulnerabilità non ancora corrette, nomi di sistemi colpiti. Senza una regola chiara, o non si condivide nulla per prudenza, o si condivide troppo. Il TLP risolve il dilemma con una regola semplice, scritta sul documento stesso. Nei sistemi di gestione è anche un segnale di maturità: procedure e report classificati mostrano all'auditor che l'azienda sa chi deve leggere cosa.
Il TLP non sostituisce la classificazione interna delle informazioni prevista da ISO/IEC 27001 né gli obblighi di riservatezza contrattuali: li affianca, con un linguaggio comprensibile anche fuori dall'azienda.
Esempio
Durante la gestione di un ransomware, il CSIRT di un'azienda riceve dal proprio fornitore di sicurezza un rapporto marcato TLP:AMBER+STRICT con gli indirizzi usati dagli attaccanti. Il referente IT può girarlo al collega che gestisce il firewall, ma non al fornitore del gestionale. Quando l'analisi è conclusa, il fornitore pubblica una versione ridotta del rapporto in TLP:GREEN per le altre aziende del settore, che possono così cercare gli stessi indicatori nei propri log.
Termini collegati
Dove lo trovi in Dottor Box
Le procedure scritte nel modulo Compliance escono con un frontespizio in stile ISO che riporta la classificazione TLP, e anche il Report Rischi Informatici in PDF indica la classificazione TLP del documento.
Compliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più DimostrareDocumenti di conformità
SOA, verbali di riesame, fascicoli delle evidenze, rapporti di audit e registri.
Scopri di più DimostrareReport Rischi Informatici
Il report periodico in PDF, presentazione ed Excel, con i capitoli che scegli.
Scopri di più