Prove che nascono dall'esercizio, non da un progetto.
Quando arriva il questionario non cerchi: esporti. Le prove richieste dal § 30, comma 1, terzo periodo della BSIG nascono dall'esercizio quotidiano e sono pronte in PDF.
Dall'esercizio al report di verifica in tre passi
Ciò che lo distingue da un foglio di calcolo non è il contenuto, ma il fatto che nessuno debba tenerlo aggiornato.
I dati nascono comunque
L'agent e i controlli senza agent girano comunque. Ne esce ciò che serve al report: stato delle patch, inventario, stato dei backup, accessi. Ogni voce porta marca temporale e cronologia.
Scegliere il report
Prendi un modello pronto o costruisci il tuo con circa 40 widget. Definisci periodo e ambito per cliente o per sede.
Inviare secondo pianificazione
In PDF con il tuo marchio, a una lista fissa di destinatari e con cronologia degli invii per ogni esecuzione. Oppure su richiesta, per una data di riferimento.
Sei report che reggono alle domande di verifica
Tra i 17 modelli inclusi, questi sono quelli richiesti in relazione alla NIS2.
Compliance delle patch
Stato delle patch su tutto il parco gestito per un periodo scelto, per cliente o per sede. Copre la domanda di prova relativa al § 30, comma 2, n. 5 della BSIG.
Report dettagliato sulle patch
Singoli aggiornamenti per dispositivo con stato e momento, per quando la sintesi non basta.
Stato dei backup
Stato delle esecuzioni di backup oltre i confini tra produttori, job falliti compresi.
Audit degli utenti
Account locali su tutto il parco: account inattivi, amministratori predefiniti attivati, età delle password.
Report sugli incidenti
Incidenti, avvisi e dispositivi interessati lungo un periodo, con linea temporale.
Report SLA
Disponibilità ponderata sul tempo, durata media di risoluzione, incidenti SLA.
Requisito, fonte, prova
Così nel colloquio con il cliente non devi rimandare a una brochure, ma al testo di legge.
Inventario completo e aggiornato di tutti i sistemi
DVO (EU) 2024/2690, Anhang 12.4
Hardware, software, servizi e account degli endpoint gestiti vengono rilevati di continuo. La cronologia dell'inventario mostra che cosa è cambiato, quando e su quale dispositivo, fine del supporto del sistema operativo compreso.
Gestione delle vulnerabilità e delle patch, con motivazione in caso di mancata applicazione
§ 30 Abs. 2 Nr. 5 BSIG, DVO Anhang 6.6
Stato delle patch per endpoint con marca temporale, approvazioni con decisore, esclusioni con motivazione. Il tutto come report PDF alla data di riferimento.
Registrazione, in particolare degli accessi privilegiati
DVO Anhang 3.2
Ogni sessione di assistenza remota compare nel log del dispositivo con persona, momento e azione. Le modifiche a permessi e impostazioni nel registro delle modifiche su 26 tipi di oggetto.
Backup e test di ripristino documentati
§ 30 Abs. 2 Nr. 3 BSIG, DVO Anhang 4.2
Monitoraggio delle esecuzioni di backup su tutti i produttori, con report di stato e segnalazione dei job falliti. Il test di ripristino vero e proprio devi eseguirlo tu: octoja documenta lo stato, non l'esercitazione.
Autenticazione a più fattori e controllo degli accessi
§ 30 Abs. 2 Nr. 10 BSIG, DVO Anhang 11.2–11.7
Secondo fattore per ogni account, single sign-on e 17 permessi di azione sui dispositivi distinti. In più una panoramica degli accessi che mostra chi può accedere a quale dispositivo e perché.
Rilevamento degli incidenti per il preallarme entro 24 ore
§ 32 BSIG, DVO Anhang 3.2.4
Allarmi con orari di servizio per canale: di notte con una chiamata al reperibile. Ogni allarme porta una marca temporale, ed è questo che rende dimostrabile il termine di segnalazione.
Protezione dal software dannoso, rilevamento del software non autorizzato
DVO Anhang 6.9
Stato di protezione dei prodotti antivirus ed EDR più diffusi. In più un inventario software su tutto il parco gestito.
Gestione della configurazione e delle modifiche
DVO Anhang 6.3 und 6.4
I pacchetti di configurazione fanno da baseline. I controlli segnalano gli scostamenti su permessi di cartella, file e valori del registro di sistema.
Chi, quando, che cosa: registrato senza che nessuno intervenga
Accessi
Ogni sessione di assistenza remota con persona, momento e azione. Se un tecnico si collega senza richiesta all'utente gli serve un permesso di azione a parte, e la motivazione compare accanto nel log.
Modifiche
26 tipi di oggetto nel registro delle modifiche, ciascuno con confronto prima e dopo. Le voci nascono nel percorso di elaborazione e non si possono disattivare dall'applicazione.
Approvazioni
Ogni ciclo di patch registra chi ha approvato, quando e con quale nota. Viene annotato anche il tipo di approvazione: manuale, automatica, ereditata o d'emergenza.
Che cosa devi continuare a fare tu
Questi punti non si possono soddisfare a partire da un software. Li nominiamo perché nel colloquio con il cliente tu non finisca in un vuoto.
Questa pagina è un inquadramento, non una consulenza legale. Fanno fede la BSIG nella versione della legge di recepimento NIS2 e il regolamento di esecuzione (UE) 2024/2690.
Genera il report con i tuoi dati
Il prossimo questionario arriverà. Provalo prima, non con la scadenza addosso: richiedi l'accesso di prova, distribuisci l'agent su qualche dispositivo, estrai il report di compliance delle patch. Dopo saprai se regge alle tue domande di verifica.