Per rispondere efficacemente agli incidenti di sicurezza informatica è necessaria una cooperazione ben orchestrata tra Security Operations Center (SOC) e CSIRT. Mentre il SOC monitora l’infrastruttura e le applicazioni per rilevare immediatamente gli incidenti di sicurezza (Security Monitoring, Security Analytics e Security Alert Handling), il Cybersecurity Incident Response Team (CSIRT) costituisce il gruppo d’intervento rapido, praticamente i pompieri del mondo informatico: gestisce gli incidenti di sicurezza complessi e adotta misure finalizzate alla difesa dalle minacce e alla risoluzione degli eventi di sicurezza. Insieme, i due team consentono di reagire velocemente ai cyberattacchi e contenere i danni.
CSIRT as a Service e Rapid Response
CSIRT Services – Il vostro Incident Response Team
Gli incidenti di sicurezza gravi sono impossibili da prevenire al cento percento.
Ecco perché, di fronte a un security incident, è fondamentale agire rapidamente e bloccare l’attacco. Ma le infrastrutture IT complesse e la carenza di specialisti in IT Security ostacolano la formazione di un Cybersecurity Incident Response Team (CSIRT) interno, indebolendo le difese informatiche.
La chiamata è gratuita. Per l’intervento vengono addebitati un forfait e il rimborso dei costi effettivi. L’offerta è riservata alle imprese svizzere.
Quando è questa la soluzione giusta?
La reazione a un cyberattacco andato a buon fine deve innanzitutto mirare a prevenire un’interruzione dell’attività. Nonostante la pressione sui costi e la carenza di personale qualificato, dovete garantire una incident response adeguata. Un’opzione da valutare è quindi il sourcing dei servizi di IT Security.
CSIRT as a Service
I servizi in dettaglio
CSIRT as a Service (CSIRTaaS) è un servizio usufruibile al termine di un processo di onboarding e previa sottoscrizione di un contratto. Con Rapid Response, invece, gli interventi vengono effettuati secondo necessità e non è richiesto un contratto.
CSIRT as a Service
- End-to-end management del security incident h24 in base al processo messo a punto da Swisscom
- Intervento in remoto o sul posto
- Rapporto conclusivo per documentare l’incidente e le misure
- Analisi approfondita e raccolta di prove (indagine forense) per i procedimenti legali (opzione)
- Reazione garantita in virtù di un SLA
- Tempi di reazione ridotti grazie all’onboarding iniziale
- Costi: canone mensile e riaddebito delle spese vive (tempo e materiale) per ogni intervento
CSIRT Rapid Response
- End-to-end management del security incident h24 in base al processo messo a punto da Swisscom
- Intervento in remoto o sul posto
- Rapporto conclusivo per documentare l’incidente e le misure
- Analisi approfondita e raccolta di prove (indagine forense) per i procedimenti legali (opzione)
- Reazione secondo best effort
- Tempi di reazione più lunghi rispetto a CSIRTaaS perché l’onboarding viene svolto sul momento
- Costi: importo forfettario e riaddebito delle spese vive (tempo e materiale) per ogni intervento
CSIRT nel nostro portafoglio TDR
CSIRT as a Service e Rapid Response sono il complemento ideale delle attività analitiche di Security Analytics e SOC as a Service.
Perché con Swisscom?
Domande frequenti: cyberattacchi contro le grandi aziende
In che modo un Cybersecurity Incident Response Team (CSIRT) reagisce a un attacco?
La reazione a un attacco è strutturata in diverse fasi, sostanzialmente basate sul processo di incident management del NIST:
- Identification: farsi un’idea dell’incidente di sicurezza, determinare l’obiettivo dell’intervento
- Assessment: analizzare l’incidente e raccomandare misure immediate
- Containment: raccogliere le prove, individuare il vettore d’attacco, contenere l’attacco
- Eradication: risolvere l’incidente di sicurezza e ripulire i sistemi
- Recovery: ripristinare la normalità, testare e monitorare il comportamento dei sistemi
- Lessons Learned: debriefing, rapporto e raccomandazioni sulle misure
Informazioni dettagliate in merito sono disponibili nel white paper CSIRT.
Perché la collaborazione tra SOC e CSIRT è importante?
Perché un’impresa dovrebbe valutare di esternalizzare il servizio CSIRT?
È opportuno valutare di esternalizzare questo servizio a causa della carenza di personale qualificato e dei compiti complessi e impegnativi di un CSIRT. I fornitori di servizi sono in grado di assicurare h24 una gestione end-to-end degli incidenti di sicurezza. Con i loro specialisti in cybersicurezza forti di una ricca esperienza maturata in un gran numero di incidenti, imprese e settori, i fornitori di servizi possono garantire una reazione efficiente agli incidenti di sicurezza.
Come funziona la comunicazione tra CSIRT e CISO/responsabile Security durante un incidente di cybersicurezza?
La comunicazione dipende dal tipo di incidente e dall’impresa e viene decisa all’inizio di ogni incidente. Se l’infrastruttura del cliente è compromessa, è raccomandabile ricorrere ad apparecchi e account di posta elettronica privati e usare il telefono. In caso contrario, la comunicazione può avvenire via e-mail, su Microsoft Teams o tramite SwissTrustRoom a seconda delle preferenze del cliente.