Comunicazioni per la continuità operativa: messaggistica su un canale indipendente per la resilienza informatica
Come le organizzazioni progettano, attivano e verificano canali di comunicazione indipendenti per mantenere la continuità operativa quando i sistemi principali di posta elettronica, collaborazione e gestione delle identità non funzionano o sono compromessi. Tratta i requisiti di DORA, NIS2 e CER, la modellazione degli scenari di incidente, l'architettura di installazione, i metodi di verifica e le specifiche proprietà di sicurezza delle comunicazioni richieste dalla normativa sulla resilienza.
Tosh Defence
Private Limited
Informazioni sul documento
Cosa contiene
Argomenti trattati in questo documento
Perché i canali di comunicazione principali diventano inutilizzabili durante gli incidenti informatici e che cosa significa davvero comunicare tramite canali alternativi
Articoli 11-12 di DORA: requisiti specifici per le modalità alternative di comunicazione tramite tecnologie dell'informazione e della comunicazione
Obblighi di comunicazione nella gestione degli incidenti previsti dall'articolo 21 della NIS2 per i soggetti essenziali e importanti
Modellazione degli scenari di incidente: attacchi con richiesta di riscatto, compromissione delle identità, guasti infrastrutturali e attacchi alla catena di fornitura
Architettura di distribuzione: cosa rende un canale di comunicazione realmente indipendente dall'infrastruttura primaria
Test ed esercitazioni: come verificare la prontezza delle comunicazioni fuori banda prima che si verifichi un incidente
Documentazione: quali evidenze si aspettano le autorità di regolamentazione e vigilanza per la governance delle comunicazioni di continuità operativa
Punti chiave
Cosa imparerai
Quadro di conformità agli articoli 11-12 di DORA
Requisiti di comunicazione relativi agli incidenti previsti dall'articolo 21 della NIS2
Copertura degli scenari di incidente relativi alle principali tipologie di attacchi informatici
Quadro di riferimento per i test e la documentazione delle evidenze normative
Contesto relativo alla riservatezza
Durante un incidente informatico, la riservatezza delle comunicazioni per la risposta all'incidente è fondamentale: risultati delle analisi forensi, analisi di attribuzione, strategia legale e aggiornamenti al consiglio di amministrazione sulla crisi non devono transitare attraverso sistemi accessibili all'autore della minaccia. Questo documento tecnico affronta i requisiti di riservatezza e tutela della privacy delle comunicazioni durante un incidente.
Rilevanza per la sicurezza
I requisiti di sicurezza per le comunicazioni su un canale separato vanno oltre la crittografia. Una reale indipendenza dall'infrastruttura principale richiede autenticazione, ospitalità informatica, connettività e gestione delle identità separate. Questo documento tecnico definisce cosa significhi, nella pratica, «indipendenza effettiva».
Per la vostra valutazione
Il documento tecnico esamina le architetture di installazione per organizzazioni di dimensioni e profili di rischio diversi: da Sanket.Work, canale di comunicazione alternativo già predisposto su cloud, a Sanket.Enterprise, per il massimo isolamento nelle istituzioni di importanza sistemica.
Domande su questo documento
Cosa rende un canale di comunicazione realmente indipendente dai canali ordinari?
Un autentico canale fuori banda utilizza un'infrastruttura di hosting separata, sistemi di autenticazione e gestione delle identità separati, una connettività separata (non soltanto un'applicazione diversa sulla stessa rete) e dispositivi degli utenti finali separati o, quantomeno, credenziali separate. Questo documento tecnico definisce i requisiti di indipendenza attesi dalle autorità di regolamentazione competenti per DORA e NIS2.
Con quale frequenza devono essere verificati i canali di comunicazione indipendenti?
DORA richiede la verifica annuale dei piani di continuità per le tecnologie dell'informazione e della comunicazione. Questo documento tecnico raccomanda esercitazioni trimestrali di comunicazione per le organizzazioni dei settori critici, conservandone gli esiti documentati per gli accertamenti delle autorità di vigilanza.
Documenti correlati
Prosegui la ricerca
Scarica questo documento
Scarica per la valutazione
Richiedi il PDF completo per la valutazione della sicurezza, l'analisi preliminare all'acquisto o il team di conformità. Gratuito, senza messaggi indesiderati.