Quali sono le misure che gli MSP devono adottare per supportare la conformità dei clienti? Dalle leggi internazionali sulla privacy degli utenti alle norme governative statunitensi per la protezione dei dati classificati, quasi ogni settore ha un proprio quadro normativo in continua evoluzione a cui si devono conformare i processi e le implementazioni tecnologiche.
I provider di servizi gestiti (MSP) e gli amministratori IT devono supportare la conformità a tutte queste leggi nella loro base di clienti, rappresentando una sfida continua che riguarda la governance dei dati, la documentazione, il monitoraggio e la reportistica.
Essere in grado di assistere i clienti in materia di conformità può migliorare l’attività dell’MSP
Essere in grado di aiutare i tuoi clienti a rimanere conformi alle normative vigenti nella loro regione, nel loro settore o a causa della natura dei dati che gestiscono non è solo una necessità legale, ma può migliorare la posizione del tuo MSP, ponendoti al di sopra della concorrenza quando si tratta di acquisire nuovi clienti in settori regolamentati come la sanità, la finanza e l’istruzione.
La fornitura di servizi gestiti conformi a normative generali come HIPAA, PCI-DSS, GDPRe CCPA, nonché a standard specifici del settore come quelli applicati dalla FINRA e dalla SEC, può attirare le aziende che non dispongono di risorse interne per la creazione di infrastrutture sicure e conformi.
Inoltre, è fondamentale che gli MSP siano essi stessi conformi : Gli MSP possono essere ritenuti responsabili per i dati che gestiscono o per le violazioni dei dati sull’infrastruttura che ospitano o che hanno configurato, anche se per conto dei loro clienti, con conseguente potenziale esposizione legale. Questo porta molti MSP a specializzarsi in settori specifici, in modo da potersi concentrare sulla creazione di configurazioni standardizzate e conformi che comprendono appieno e possono far verificare, dalle misure di base per la protezione dei dati alla certificazione normativa completa.
Come per tutte le questioni di conformità e legali, qualsiasi entità che gestisce informazioni sensibili o legalmente protette (per sé o per conto di altri) dovrebbe consultare esperti legali e di settore per garantire che i processi e le tecnologie che implementa risultino pienamente conformi, soprattutto se autocertificati. Una volta ottenute queste indicazioni, puoi procedere alla pianificazione e all’attuazione.
Fase 1: Eseguire una valutazione dei rischi e un’analisi delle lacune
Idealmente, i clienti del tuo MSP saranno già conformi, o quasi, alle normative vigenti. Tuttavia, spesso non è così e bisogna valutare esattamente quali azioni devono essere intraprese per raggiungere gli standard richiesti.
Questa fase di pianificazione è fondamentale: la mancata identificazione dei requisiti non soddisfatti potrebbe portare a una violazione della politica e a potenziali ramificazioni legali o di reputazione sia per il cliente che per la tua azienda. Al contrario, puoi “esagerare” e raccomandare misure non necessarie o già soddisfatte. Questo può comportare uno spreco di risorse e un allungamento dei tempi, oltre a danneggiare potenzialmente il rapporto con i clienti.
Le azioni chiave che dovresti intraprendere per identificare il modo in cui portare i tuoi clienti dove hanno bisogno di essere includono:
- Mappatura degli attuali controlli di sicurezza agli standard normativi
- Identificazione delle vulnerabilità tecniche e delle lacune politiche
- Utilizzo degli strumenti automatizzati per generare scorecard di conformità
Al termine di questa fase, dovresti consegnare al cliente un rapporto sui rischi di base, un modello di maturità della conformità e una tabella di marcia per la correzione delle priorità.
Fase 2: Stabilire i criteri di governance
Una volta stabilita la roadmap, puoi creare i criteri che rispondono ai requisiti normativi e interni da soddisfare. Definendo chiaramente ciò che deve essere fatto in una politica unificata, puoi garantire che tutti gli elementi siano affrontati in modo completo durante la fase di implementazione.
Quando si discute per la definizione della governance dei dati orientata alla conformità e ai criteri di sicurezza, dovresti
- Definire i criteri per il controllo degli accessi, la crittografia, la gestione dei dati e la risposta agli incidenti
- Documentare le pratiche di sicurezza richieste e le regole di conservazione dei dati
- Creare un “raccoglitore di conformità” organizzato e completo per una documentazione pronta per gli audit
La documentazione risultante da queste azioni dovrebbe includere una politica scritta sulla sicurezza delle informazioni (WISP), una politica di utilizzo accettabile (AUP) e una politica di gestione del cambiamento .
Fase 3: Implementare controlli e configurazioni sicure
Sia che si tratti di implementare un’infrastruttura IT da zero o di rendere conformi i sistemi esistenti, i criteri di governance possono informare i controlli tecnici e amministrativi da implementare.
Questo include:
- Configurazione della protezione degli endpoint, dei firewall, dell’autenticazione a più fattori (MFA), della crittografia e dei backup
- Implementare l’accesso a privilegi minimi utilizzando il controllo degli accessi basato sui ruoli (RBAC)
- Applicare regolarmente le patch ai sistemi e limitare i vettori di accesso esterni
Questo dovrebbe portare a un’infrastruttura cloud e on-premise che opera con una base di sicurezza conforme ai criteri stabili (e a sua volta conforme alle normative e agli standard a cui tali criteri si riferiscono) e rafforzata contro le minacce alla cybersecurity.
Fase 4: Abilitare la registrazione, il monitoraggio e l’auditing
I sistemi devono essere completamente registrati e verificabili per garantire visibilità e responsabilità, in modo da poter identificare e correggere rapidamente comportamenti sospetti, potenziali violazioni o derive della configurazione che portano alla non conformità.
Questo dovrebbe comportare:
- Distribuzione di registri centralizzati, come SIEM o strumenti di aggregazione dei registri
- Implementazione di strumenti che integrano il rilevamento delle anomalie , i registri di accesso e gli audit trail
- Configurazione di avvisi per modifiche critiche ai sistemi, accesso degli utenti o accesso/aggiornamento di dati sensibili per le parti interessate
In qualità di MSP, dovreste avere un accesso immediato a tutte i criteri, alla documentazione dell’infrastruttura, alle dashboard di avviso, nonché ai registri degli eventi e agli audit trail in tempo reale e archiviati (conservati secondo i requisiti normativi di conservazione). Dovrai stabilire un flusso di lavoro ben collaudato per la risposta agli incidenti in modo da affrontare i problemi nel più breve tempo possibile.
Fase 5: Formare gli utenti finali e le parti interessate
Gli utenti sono la prima linea di difesa contro gli incidenti di sicurezza informatica e la manipolazione dei dati. Le violazioni accidentali della conformità possono essere notevolmente ridotte con la formazione del personale, sia per quanto riguarda il corretto utilizzo degli strumenti, sia per evitare gli attacchi di social engineering, sia per quanto riguarda le responsabilità legali.
A tal fine, gli utenti finali dovrebbero avere l’opportunità di partecipare a:
- Formazione regolare sulla sicurezza (tra cui come identificare il phishing, come condividere i dati in modo sicuro, ecc.)
- Formazione specifica per gli amministratori IT, i dirigenti di livello C e il personale generico
- Regolari campagne di attacco simulato per verificare che gli utenti rispondano in modo appropriato
Costruire una cultura della sicurezza è un imperativo per la conformità continua di qualsiasi azienda.
Fase 6: Mantenere e documentare la conformità continua
La conformità non è un lavoro da fare una volta sola: è un processo continuo che deve tenere conto dei mutevoli obblighi legali del tuo MSP e dei tuoi clienti, nonché del modo in cui opera la loro attività e si evolve il loro settore.
Questo deve includere l’adozione di azioni regolari, tra cui:
- Revisione dei criteri e dei controlli pertinenti, sia a intervalli regolari (potenzialmente definiti dalla normativa), sia in seguito a modifiche importanti
- Mantenere i registri delle modifiche, le revisioni degli accessi e gli aggiornamenti dei criteri per i periodi prescritti
- Prepararsi agli audit mantenendo la documentazione centralizzata e aggiornata
Questo dovrebbe tradursi in una documentazione come liste di controllo trimestrali della conformità, raccoglitori di prove per scopi di revisione e dati per popolare le dashboard di integrità della conformità del cliente che forniscono un accesso immediato alle metriche di performance della conformità. L’automazione può essere sfruttata anche per identificare potenziali problemi di conformità.
Per consentire la conformità dei clienti, anche il tuo MSP deve essere conforme
“Pensavamo di essere in regola” non basta: anche le violazioni accidentali delle leggi sulla protezione dei dati e sulla privacy comportano sanzioni severe. Gli MSP devono creare accordi sui livelli di servizio (SLA) che chiariscano gli obblighi di sicurezza e stabiliscano confini chiari tra ciò che è di proprietà del cliente e ciò di cui è responsabile l’MSP (soprattutto negli ambienti cogestiti). Le iniziative di conformità degli MSP dovrebbero anche essere allineate con i requisiti di assicurazione informatica per garantire la copertura.
Attraverso una pianificazione, un’implementazione e un funzionamento metodici, gli MSP possono garantire che sia la loro azienda che i loro clienti siano pienamente conformi a tutte le normative e gli standard pertinenti. Gli strumenti automatizzati, tra cui le piattaformeper la governance, il rischio e la conformità (GRC) , possono essere d’aiuto in questo senso, in quanto forniscono un’infrastruttura IT e un supporto proattivi e conformi come servizio gestito.
Gli MSP conformi e specifici per il settore sono sempre più interessanti per le aziende che desiderano scalare, senza aumentare le loro spese generali IT interne. NinjaOne offre una piattaforma MSP completa che è altamente conforme a una serie di normative internazionali e può costituire la base tecnologica della tua azienda, unificando il monitoraggio e la gestione remoti, il backup e la protezione degli endpoint in un’unica interfaccia.
