CIS Controls IG2, per l'IT strutturato
Il secondo gruppo di implementazione: tutto l'IG1, più le salvaguardie per chi gestisce più sedi, più reparti e dati sensibili. Con le evidenze che arrivano dalle scansioni.
IG2: l'azienda con un reparto IT
I CIS Controls del Center for Internet Security sono divisi in tre gruppi di implementazione cumulativi. L'IG2 comprende tutte le salvaguardie dell'IG1 e ne aggiunge altre, pensate per un profilo diverso.
È il livello per l'organizzazione che ha personale IT dedicato alla gestione e alla protezione dell'infrastruttura, più sedi o reparti con esigenze diverse, e che tratta dati sensibili di clienti o dipendenti. Un'interruzione del servizio pesa sulla fiducia dei clienti, e una violazione ha conseguenze serie.
Nella versione 8 dei CIS Controls l'IG2 arriva a 130 salvaguardie complessive. Chi ha bisogno di difendersi da attaccanti mirati prosegue con l'IG3.
Oltre l'igiene di base: gestire, misurare, monitorare
L'IG1 chiede di avere i controlli. L'IG2 chiede di gestirli in modo strutturato su un'infrastruttura più complessa.
- Tutte le salvaguardie dell'IG1
- Strumenti automatici per inventario di asset e software
- Classificazione dei dati e protezione di quelli sensibili
- Gestione centralizzata degli account e dei privilegi
- Valutazione delle vulnerabilità automatizzata, interna ed esterna
- Log centralizzati e revisione periodica
- Gestione e monitoraggio dell'infrastruttura di rete
- Sicurezza delle applicazioni sviluppate o acquistate
- Formazione specifica per ruolo
- Penetration test periodici
Le salvaguardie IG2 con evidenze automatiche
L'autovalutazione IG2 misura il divario. Le salvaguardie che chiedono strumenti automatici sono proprio quelle che la piattaforma esegue da sé.
| Area IG2 | Come la copre Dottor Box |
|---|---|
| Inventari automatici | Asset Management con la mappa a grafo della rete e Software autorizzati |
| Dati sensibili | Condivisioni aperte e rilievi del Registro dei trattamenti sui dati da verificare |
| Account e privilegi | Microsoft Entra ID su 72 indicatori e Google Workspace su 35 |
| Vulnerabilità interne ed esterne | Rete interna dalla sonda in sede e Rete esterna dal perimetro |
| Infrastruttura di rete | Cyber Drill: la sonda che analizza la rete interna, senza porte da aprire sul firewall |
| Log centralizzati | Log accessi e Cyber Agent sugli endpoint |
| Sicurezza applicativa | Web application: oltre 6.500 verifiche specifiche su siti e applicazioni online |
| Formazione per ruolo | Formazione con registro e Cyber Awareness |
Il penetration test richiesto dall'IG2 è un'attività manuale svolta da specialisti: i vulnerability assessment ne sono la base e ne riducono il perimetro, ma non lo sostituiscono.
Un IT complesso, una sola vista
Tutte le sedi
Rete interna, perimetro e cloud nella stessa piattaforma e nello stesso punteggio.
Storico e confronto
Ogni scansione resta in archivio: vedi cosa è stato risolto e cosa è tornato.
Falsi positivi che non tornano
Un rilievo valutato e chiuso non ricompare alla scansione successiva.
Punteggio per funzione
Il divario IG2 letto su Identificare, Proteggere, Rilevare, Rispondere, Recuperare.
IG1, IG2, IG3: i gruppi sono cumulativi
IG1
Igiene informatica essenziale: il punto di partenza per ogni PMI, incluso nell'IG2.
Vai all'IG1IG2 · questa pagina
IG1 più le salvaguardie per IT strutturato, più sedi e dati sensibili.
IG3
Tutte le salvaguardie, per chi deve resistere ad attaccanti mirati.
Vai all'IG3CIS Controls IG2: domande frequenti
Devo completare l'IG1 prima dell'IG2?
Sì, nella logica dei CIS Controls i gruppi sono cumulativi: l'IG2 presuppone le salvaguardie dell'IG1. In Dottor Box puoi valutare entrambi e vedere quanto manca all'uno e all'altro.
Come capisco se sono IG1 o IG2?
Se hai personale IT dedicato, più sedi o reparti con esigenze diverse e tratti dati sensibili, l'IG2 è probabilmente il tuo riferimento. Se l'IT è affidato a una persona o a un fornitore esterno, parti dall'IG1.
I CIS Controls servono per la NIS2?
Non sono richiesti per nome, ma molte misure chieste dalla NIS2, dall'igiene informatica alla gestione delle vulnerabilità, trovano nei CIS Controls una traduzione tecnica concreta.
I moduli che lavorano per l'IG2
Rete interna
La LAN scansionata dalla sonda in sede, come la vedrebbe un malware già entrato.
Scopri di più VedereWeb application
Sito, CRM e applicazioni online controllati con oltre 6.500 verifiche specifiche.
Scopri di più VedereCyber Drill
La sonda installata in sede che analizza la rete interna. Nessuna porta da aprire sul firewall.
Scopri di più VedereAsset Management
L'inventario IT unificato di dispositivi e software, con la mappa a grafo della rete.
Scopri di più VedereMicrosoft Entra ID
La postura di sicurezza del tenant Microsoft 365 su 72 indicatori, in sola lettura.
Scopri di più VedereLog accessi
Gli accessi degli amministratori di sistema raccolti e conservati come chiede il Garante.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.