Cyber Security per PMI

Proteggiamo le piccole e medie imprese con un SOC (Security Operations Center) gestito interamente dal nostro team. Teniamo sotto controllo server e PC aziendali, riconosciamo i comportamenti sospetti e vi aiutiamo a reagire quando qualcosa non va. Al SOC affianchiamo penetration test, analisi delle vulnerabilità e backup immutabili. Siamo una software house attiva dal 2004, con sedi a Roma: offriamo consulenza di sicurezza informatica alle aziende di Roma e, con il SOC da remoto, a clienti in tutta Italia.

In questa pagina:

• I rischi informatici per una PMI
• Il SOC per PMI: cos’è e quando serve
• Il nostro SOC gestito
• Cosa succede quando scatta un allarme
• Report mensili e priorità
• SOC, analisi delle vulnerabilità e penetration test
• Penetration test per aziende
• Sicurezza di siti e applicazioni
• Backup immutabili e ripristino
• Come attiviamo il servizio
• Perché sceglierci
• Domande frequenti

I rischi informatici per una piccola e media impresa

Molti attacchi informatici non scelgono il bersaglio: cercano sistemi non aggiornati, password deboli e servizi esposti su internet, a prescindere dalle dimensioni dell’azienda. Per questo anche una PMI con pochi PC e un server può essere colpita. I casi più comuni sono:

• ransomware, che cifra i file e blocca il lavoro fino al ripristino;
• furto di credenziali, usate poi per entrare nella posta o nei gestionali;
• sfruttamento di vulnerabilità in siti, applicazioni e server non aggiornati;
• accessi non autorizzati a server e PC attraverso servizi lasciati aperti o vulnerabilità non corrette.

Nessun servizio può escludere del tutto un attacco. Si può però ridurre la probabilità che vada a segno, accorgersene prima e limitarne i danni: è il lavoro del SOC e degli altri servizi descritti qui sotto.

Il SOC per PMI: cos’è e quando serve

Un SOC è il servizio che sorveglia la sicurezza informatica di un’azienda: raccoglie gli eventi dai sistemi, riconosce quelli sospetti e avvia la risposta. Nelle grandi aziende è un reparto interno; una PMI di solito non ha persone dedicate alla sicurezza, e il SOC gestito porta questo controllo anche dove manca un reparto specializzato.

Non abbiamo fissato una soglia minima di PC o server. Valutiamo il servizio in base ai sistemi da proteggere e a quanto un fermo pesa sul vostro lavoro. Con la diffusione degli attacchi automatici, il SOC diventa utile anche alle aziende più piccole.

Il nostro SOC gestito: tutto interno, con Wazuh e Zabbix

Il nostro SOC è interno: il monitoraggio, l’analisi degli eventi e gli interventi li segue il nostro team, senza affidarli ad altri fornitori. Lavoriamo con due strumenti open source molto diffusi:

• Wazuh, piattaforma di sicurezza che raccoglie e analizza gli eventi di server e PC e, con le regole che configuriamo, aiuta a individuare tentativi di intrusione, modifiche sospette ai file e configurazioni a rischio;
• Zabbix, sistema di monitoraggio che controlla disponibilità e prestazioni di server e servizi e segnala quando superano le soglie impostate: servizi fermi, processore o memoria saturi, disco quasi pieno.

Il perimetro che monitoriamo sono i server e i PC dell’azienda concordati nel contratto, sui quali installiamo gli agenti che inviano eventi e stato dei sistemi al SOC. La copertura oraria dipende dal contratto: per alcuni clienti il servizio è attivo 24 ore su 24, per altri segue gli orari concordati. Lo definiamo insieme prima dell’attivazione.

Cosa succede quando scatta un allarme

Non ogni evento è un attacco: gran parte del lavoro del SOC consiste nel distinguere gli allarmi veri dal rumore di fondo. Quando un evento è sospetto lo analizziamo e, se serve intervenire, la procedura dipende da chi gestisce i vostri sistemi:

• se il software e l’infrastruttura li abbiamo realizzati noi, interveniamo direttamente per contenere il problema, secondo le procedure concordate;
• negli altri casi vi avvisiamo nei tempi previsti dal contratto, vi spieghiamo cosa abbiamo visto e cosa consigliamo di fare, e operiamo sui vostri sistemi solo con il vostro permesso, coordinandoci se serve con il vostro fornitore IT.

I tempi di presa in carico dipendono dal tipo di contratto e sono scritti negli accordi di servizio.

Report mensili e priorità di intervento

Ogni mese inviamo un report sullo stato della sicurezza dei sistemi monitorati, con gli allarmi del periodo e gli interventi che consigliamo in ordine di priorità. Il report serve a vedere come cambia la situazione nel tempo e a decidere dove investire prima, senza dover leggere i log tecnici.

SOC, analisi delle vulnerabilità e penetration test

Sono tre servizi diversi, che si completano:

Criterio	SOC gestito	Analisi delle vulnerabilità	Penetration test
Obiettivo	Accorgersi in tempo di attacchi e anomalie	Trovare le debolezze note dei sistemi	Verificare se le debolezze si possono sfruttare davvero
Quando	In modo continuativo	Periodicamente o dopo modifiche importanti	Prima di un rilascio o periodicamente
Come	Agenti su server e PC, analisi degli eventi	Scansioni e verifica dei risultati	Strumenti e prove mirate nel perimetro autorizzato
Cosa ricevete	Avvisi, interventi e report mensili	Elenco delle debolezze per gravità	Rapporto con prove, rischi e correzioni

Penetration test per aziende

Con il penetration test simuliamo il comportamento di un attaccante per capire se le debolezze di un sistema si possono sfruttare e con quali conseguenze. Lo facciamo su siti web, applicazioni, API, reti e server, sempre nel perimetro concordato. Il percorso prevede:

1. autorizzazione scritta del cliente, con i sistemi da testare, i tempi e le regole delle prove;
2. test sui sistemi concordati, senza uscire dal perimetro autorizzato;
3. rapporto finale con le vulnerabilità trovate, la loro gravità e le correzioni consigliate;
4. nuovo test dopo le correzioni, per verificare che le vulnerabilità siano state chiuse.

Senza un’autorizzazione scritta di chi è titolare dei sistemi non eseguiamo alcun test. Le correzioni non sono comprese nel test: le concordiamo a parte, come spiegato qui sotto.

Sicurezza di siti e applicazioni: dal rapporto alla correzione

Essendo una software house, quando le vulnerabilità riguardano software che abbiamo sviluppato noi le correggiamo direttamente nel codice, secondo gli accordi. Sul software scritto da altri valutiamo caso per caso se possiamo intervenire noi o se le correzioni devono passare da chi lo ha sviluppato. Per i siti WordPress, aggiornamenti e pulizia dai malware rientrano nell’assistenza WordPress. La consulenza sull’informatica aziendale in generale, dall’infrastruttura ai processi, è nella pagina sulla consulenza informatica.

Backup immutabili e ripristino dei dati

Il backup è l’ultima difesa contro il ransomware: se i file vengono cifrati, si ripristinano da una copia pulita. Ma un ransomware che arriva ai backup può cifrare anche quelli. Per questo gestiamo anche backup immutabili: copie conservate separate dai sistemi aziendali che, una volta scritte, sono protette da modifica e cancellazione per il periodo di conservazione stabilito, anche se un attaccante ottiene l’accesso ai server. Insieme al SOC, che aiuta ad accorgersi presto di un attacco, riducono il rischio di restare senza una copia utilizzabile per il ripristino.

Come attiviamo il servizio

1. Analisi: server, PC, dati importanti, rischi principali e misure già presenti.
2. Priorità: concordiamo gli interventi più urgenti sulle debolezze più gravi.
3. Attivazione: installiamo gli agenti su server e PC, definiamo soglie, orari di copertura e procedure di intervento.
4. Controllo continuo: monitoraggio, report mensili e aggiornamento delle misure nel tempo.

Perché sceglierci

• SOC interno: monitoraggio e interventi li segue il nostro team.
• Software house dal 2004: quando la vulnerabilità è nel nostro codice, la correggiamo noi.
• Certificati ISO 9001 e ISO/IEC 27001: qualità e sicurezza delle informazioni; dettagli e ambiti sono nella pagina delle certificazioni.
• Esperienza con la Pubblica Amministrazione: lavoriamo anche con enti pubblici e siamo abilitati sul MePA.

Alcuni dei nostri lavori sono nella pagina clienti. Media 5,0 su 5 in 68 recensioni su Google. Eccone alcune.

Domande frequenti

Serve un reparto IT interno per avere il SOC?

No. Il servizio è pensato per le aziende senza personale dedicato alla sicurezza. Serve un referente interno e, se c’è, il coinvolgimento del vostro fornitore IT per accessi e procedure.

Il SOC è attivo 24 ore su 24?

Dipende dal contratto. Per alcuni clienti il monitoraggio è attivo 24 ore su 24, per altri segue orari concordati. Lo decidiamo insieme in base ai sistemi da proteggere.

Quali sistemi monitorate?

I server e i PC aziendali concordati nel contratto.

Che differenza c’è tra il SOC e un antivirus?

L’antivirus protegge il singolo dispositivo. Il SOC raccoglie gli eventi di tutti i server e PC monitorati, li mette in relazione e aiuta a riconoscere comportamenti sospetti che emergono solo guardando l’insieme, come un accesso anomalo seguito da modifiche insolite ai file.

Potete lavorare con il nostro fornitore IT attuale?

Sì. Se i sistemi li gestisce un altro fornitore, vi avvisiamo degli allarmi e ci coordiniamo con lui; sui vostri sistemi interveniamo solo con il vostro permesso.

Ogni quanto ricevo i report?

Ogni mese, con gli allarmi del periodo e gli interventi consigliati in ordine di priorità.

Che differenza c’è tra analisi delle vulnerabilità e penetration test?

L’analisi delle vulnerabilità cerca con scansioni le debolezze note dei sistemi; il penetration test verifica, nel perimetro autorizzato, quali vulnerabilità si possono sfruttare davvero, anche combinandole, e con quali conseguenze.

Se il penetration test trova vulnerabilità, chi le corregge?

Se il software l’abbiamo sviluppato noi, le correggiamo noi. Per il software di altri valutiamo caso per caso. Il rapporto indica comunque le correzioni consigliate e, dopo gli interventi, possiamo rifare il test.

Gestite anche i backup?

Sì, anche con backup immutabili, che non possono essere modificati né cancellati per il periodo stabilito.

Abbiamo subito un attacco: cosa facciamo?

Per i clienti con il SOC attivo valgono le procedure già concordate. Negli altri casi contattateci descrivendo i sistemi coinvolti e cosa avete notato: valutiamo insieme come intervenire. Nel frattempo, se possibile, non spegnete i sistemi coinvolti e non cancellate file o messaggi, che possono servire a capire cosa è successo. Se serve una perizia informatica a fini legali, se ne occupa CyberLex.

Quanto costa il servizio?

Dipende dal numero di server e PC da monitorare, dagli orari di copertura e dal livello di intervento richiesto. Dopo l’analisi vi proponiamo una soluzione e un preventivo.