Mitre Networks

1. Politiche di Sicurezza:

Politiche di base non completamente documentate o comunicate. Politiche documentate e comunicate ma applicazione incoerente. Politiche ampiamente documentate, comunicate regolarmente e applicate rigorosamente.

2. Gestione degli Accessi:

Gestione manuale senza procedure per variazioni di ruolo. Procedure esistenti ma non pienamente automatizzate o regolarmente riviste. Gestione automatizzata con revisioni regolari e sicurezza per cambi di ruolo.

3. Formazione e Consapevolezza del Personale:

Formazione sporadica e non strutturata. Formazione regolare ma limitata ai concetti di base. Programma completo con aggiornamenti regolari e test di valutazione.

4. Backup e Ripristino:

Backup irregolari senza piano di ripristino testato. Backup regolari, piano di ripristino esistente ma non completamente testato. Backup automatizzati e frequenti con piano di ripristino regolarmente testato.

5. Protezione da Malware:

Protezione base non regolarmente aggiornata. Protezione adeguata con aggiornamenti periodici. Soluzione avanzata con aggiornamenti automatici e monitoraggio in tempo reale.

6. Gestione delle Patch:

Applicazione manuale senza pianificazione regolare. Processo esistente ma non completamente automatizzato. Gestione completamente automatizzata con applicazione regolare.

7. Crittografia dei Dati:

Crittografia limitata a specifici scenari. Maggior parte dei dati sensibili criptata, standard non sempre aggiornati. Crittografia completa secondo standard recenti, sia in transito che in riposo.

8. Sicurezza Fisica:

Misure limitate a serrature e allarmi base. Controlli di accesso fisico esistenti ma limitata sorveglianza. Sicurezza fisica robusta con controlli avanzati e monitoraggio 24/7.

9. Sicurezza di Rete:

Basata su firewall di base e antivirus. Implementati IDS/IPS senza gestione avanzata delle minacce. Soluzioni avanzate, segmentazione, monitoraggio continuo delle minacce.

10. Incident Response:

Risposta ad hoc senza piano formale. Piano esistente ma non regolarmente testato o aggiornato. Piano ben strutturato, testato e aggiornato con team dedicati.

11. Analisi e Gestione del Rischio:

Analisi del rischio sporadica o assente. Analisi del rischio eseguita ma non integrata nei processi decisionali. Analisi del rischio periodica, sistematica e impattante sulla gestione della sicurezza.

12. Controllo e Gestione delle Configurazioni:

Assenza di politiche o processi standard per la gestione delle configurazioni. Politiche di gestione delle configurazioni esistenti ma non pienamente efficaci. Gestione delle configurazioni e standardizzazione rigorose e regolarmente auditate.

13. Gestione degli Incidenti e dei Disastri:

Gli incidenti sono gestiti ad hoc, senza documentazione o piani di recupero. Esiste un piano di gestione degli incidenti, ma i piani di recupero non sono completamente sviluppati o testati. Piani di gestione degli incidenti e di recupero di disastro ben sviluppati, documentati e regolarmente testati.

14. Conformità Legale e Normativa:

Conoscenza limitata o conformità parziale alle normative. Conformità alle normative di base, con qualche lacuna nel controllo e nella documentazione. Conformità completa con leggi e normative, inclusa documentazione dettagliata e controlli periodici.

15. Valutazioni e Audit di Sicurezza Esterni:

Valutazioni di sicurezza non regolari o assenti. Test di penetrazione o audit esterni occasionali, senza un seguito regolare. Audit di sicurezza e test di penetrazione esterni regolari, con azioni correttive sistematiche.

16. Gestione delle Identità e degli Accessi (IAM):

Gestione delle identità di base, senza MFA o controlli avanzati. IAM implementato, MFA per alcuni sistemi critici. IAM avanzato con MFA obbligatorio e politiche di accesso basate sui ruoli per tutti i sistemi e applicazioni critici.

17. Sicurezza delle Applicazioni:

Pratiche di sviluppo non focalizzate sulla sicurezza, senza revisioni del codice. Qualche attenzione alla sicurezza nello sviluppo, ma mancanza di coerenza nelle pratiche di coding sicuro. Ciclo di vita dello sviluppo del software (SDLC) con focus sulla sicurezza, pratiche di coding sicuro, e revisioni regolari del codice.

18. Monitoraggio e Analisi:

Monitoraggio limitato o basato solo su soluzioni antivirus/antimalware. Sistema SIEM implementato, ma con analisi e risposta agli eventi parziali. Monitoraggio avanzato con SIEM, analisi comportamentale e risposta automatica agli eventi di sicurezza.

19. Cloud e Sicurezza dei Dati in Cloud:

Uso del cloud senza politiche specifiche di sicurezza o revisioni. Politiche di sicurezza cloud parzialmente implementate, con qualche controllo su accessi e dati. Gestione avanzata della sicurezza cloud, inclusa crittografia, IAM specifico per il cloud, e politiche di sicurezza dettagliate.

20. Mobile Security:

Misura di sicurezza limitate per dispositivi mobili, senza politiche BYOD. Alcune politiche di sicurezza mobile e BYOD, ma implementazione e monitoraggio parziali. Sicurezza mobile avanzata con politiche BYOD complete, crittografia, e strumenti di gestione dei dispositivi mobili (MDM).