CIS Controls IG3, il livello completo
Il terzo gruppo di implementazione comprende tutte le salvaguardie dei CIS Controls. È il livello di chi deve resistere ad attaccanti sofisticati e non può permettersi lunghe interruzioni.
IG3: alta esposizione, dati critici
L'IG3 è il terzo e ultimo gruppo di implementazione dei CIS Controls. Comprende tutte le salvaguardie dell'IG1 e dell'IG2 e aggiunge quelle pensate per difendersi da attacchi mirati e sofisticati: nella versione 8, 153 salvaguardie in tutto.
È il riferimento per organizzazioni che trattano dati o servizi critici, soggette a regolamentazione stringente, dove una compromissione avrebbe conseguenze gravi per i clienti o per la collettività. Di solito hanno specialisti di sicurezza dedicati: gestione del rischio, test di penetrazione, analisi applicativa, risposta agli incidenti.
Per molte medie imprese l'IG3 non è un traguardo immediato, ma resta utile come mappa: misura quanto manca e su quali funzioni.
Le salvaguardie per resistere agli attacchi avanzati
Si passa dal gestire i controlli al renderli difficili da aggirare per un attaccante paziente e competente.
- Tutte le salvaguardie di IG1 e IG2
- Prevenzione della perdita di dati
- Controllo stretto del software e degli script che possono essere eseguiti
- Segmentazione e filtraggio avanzati del traffico di rete
- Rilevamento delle anomalie e monitoraggio continuo
- Analisi della sicurezza delle applicazioni lungo il ciclo di sviluppo
- Esercitazioni di risposta agli incidenti
- Penetration test interni e verifica dei controlli difensivi
Le fondamenta misurate, il resto pianificato
L'autovalutazione IG3 copre tutte le salvaguardie. La piattaforma fornisce le evidenze continue su cui poggiano i controlli avanzati, e la simulazione ti dice quanto contribuirebbe ogni servizio.
| Area IG3 | Come la copre Dottor Box |
|---|---|
| Misura del divario | Gap analysis su tutte le salvaguardie, con punteggio per funzione e simulazione |
| Controllo del software | Software autorizzati: ciò che è installato confrontato con ciò che è approvato |
| Monitoraggio degli endpoint | Cyber Agent: eventi di sicurezza e integrità dei file, con avvisi in italiano |
| Esposizione esterna | Superficie di Attacco con i nuovi sottodomini proposti ogni notte e Dark Web Monitoring |
| Accessi e identità | Microsoft Entra ID: registro degli accessi e proposta di blocco account, sempre su conferma di una persona |
| Minacce mirate | Threat Intelligence sulle tecnologie e sui fornitori che usi |
| Risposta agli incidenti | Incident Response: CSIRT con quindici ruoli predefiniti e fasi tracciate |
| Gestione del rischio | Risk Assessment con rischio residuo e responsabile per ogni rischio |
Penetration test, red team e prevenzione della perdita di dati sono attività e strumenti specialistici che la piattaforma non sostituisce. Dottor Box ne misura la presenza nell'autovalutazione e ne documenta le basi.
Perché il blocco degli account non è automatico
Quando il registro degli accessi Microsoft 365 rileva un'anomalia, la piattaforma propone il blocco dell'account, ma lo esegue solo dopo la conferma di una persona. È una scelta di progetto: se il blocco scattasse da solo sui tentativi falliti, chiunque conoscesse gli indirizzi email dell'azienda potrebbe bloccare i dipendenti a comando.
A livello IG3 gli attaccanti sono proprio quelli capaci di usare le tue difese contro di te.
Decide una persona
Ogni blocco è una decisione consapevole, tracciata.
Niente punti ciechi
Un indicatore senza dati risulta "non valutabile", non superato.
IG1, IG2, IG3: dal minimo al completo
IG1
Igiene informatica essenziale, per ogni azienda.
Vai all'IG1IG2
IG1 più le salvaguardie per IT strutturato e dati sensibili.
Vai all'IG2IG3 · questa pagina
Tutte le salvaguardie, per l'alta esposizione.
CIS Controls IG3: domande frequenti
Una media impresa ha bisogno dell'IG3?
Di solito no come obiettivo immediato: l'IG2 è il traguardo realistico. L'IG3 diventa rilevante se tratti dati o servizi critici, se sei un bersaglio probabile di attacchi mirati o se un cliente lo richiede.
Posso valutare l'IG3 senza aver completato l'IG2?
Sì. L'autovalutazione copre tutte le salvaguardie e il punteggio mostra dove sei: il confronto con l'IG2 ti aiuta a decidere le priorità.
I moduli che lavorano per l'IG3
Cyber Agent
L'agente sugli endpoint: eventi di sicurezza, integrità dei file e avvisi in italiano.
Scopri di più VedereSuperficie di Attacco
Il registro ragionato di reti, indirizzi, applicazioni e domini da proteggere, con la criticità di ciascuno.
Scopri di più VedereThreat Intelligence
Le notizie e le minacce che riguardano il tuo settore e i tuoi fornitori, raccolte in un digest.
Scopri di più VedereDark Web Monitoring
Credenziali aziendali compromesse e citazioni del marchio nei siti di leak e ransomware.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più GovernareRisk Assessment
Analisi dei rischi impostata su ISO/IEC 27005, con piano di trattamento e rischio residuo.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.