Questionario

Cyber Risk Self Assessment Tool

Profilo Generale

Sezione 1 di 6

In quale settore produttivo opera l'azienda?

 

In quale Stato si trovano le sedi principali?

 

Ha sedi anche in altri Stati?

 

Società terze, come impresa di pulizie, gestore distributori automatici, etc., hanno accesso alle varie sedi dell’azienda?

 

Qual è il fatturato annuale in milioni di euro?

 

Da quante persone è composto l'intero organico?

 

Quante informazioni di identificazione personale, come nome, data di nascita, indirizzo, etc., gestisce l'azienda?

 

Quante informazioni di tipo sanitario, come cartelle cliniche, dati medici, etc., gestisce l'azienda?

 

Quante informazioni di tipo finanziario, come carta di credito, conto corrente, etc., gestisce l’azienda?

 

Identificazione (1)

Sezione 2 di 6

All’interno dell’azienda vengono censiti i sistemi e gli apparati fisici in uso, come dispositivi mobili, computer, server, etc.?

 

All’interno dell’azienda vengono censite le piattaforme e le applicazioni software in uso, come client di posta, applicativi per la produzione, gestionali, etc.?

 

I flussi di dati in ingresso ed in uscita all’azienda, come posta elettronica, chiamate VoIP, comunicazioni automatizzate attraverso servizi web, etc., sono correttamente identificati?

 

L’azienda adotta una bene definita politica di priorità da assegnare a tutte le risorse in uso in funzione di classificazione, criticità e valore per il business dell'organizzazione?

 

All’interno dell’azienda sono stati definiti e resi noti ruoli e le diverse responsabilità inerenti la sicurezza informatica, per tutto il personale e per le eventuali terze parti rilevanti, come fornitori, partner e clienti?

 

 

Identificazione (2)

Sezione 3 di 6

Quali delle seguenti politiche sono chiaramente identificabili e rese note in maniera esplicita? (È possibile indicare più di una risposta)

 

Le politiche, le procedure e i processi per gestire e monitorare i requisiti fondamentali dell’azienda in termini di attività produttiva vengono presi in considerazione nella gestione del rischio relativo alla sicurezza informatica? (È possibile indicare più di una risposta)

 

Se l’azienda ha una chiara visione del rischio informatico relativo all'operatività, le risorse materiali e immateriali (e.g. dispositivi mobili, computer, server, software proprietario, applicativi) e gli individui (e.g. dipendenti, fornitori, clienti), quali delle seguenti attività vengono identificate e correttamente documentate? (È possibile indicare più di una risposta)

 

L’azienda provvede a definire i requisiti, le priorità e le tolleranze relativi al rischio di sicurezza informatica ed utilizza tali informazioni per supportare decisioni operative inerenti la gestione del rischio di sicurezza informatica?

 

 

Protezione

Sezione 4 di 6

L'accesso alle varie risorse aziendali, come sedi, locali, server, dispositivi portatili, etc., è efficacemente limitato al personale, ai processi, ai dispositivi, alle attività ed alle transazioni autorizzate? (È possibile indicare più di una risposta)

 

Il personale viene formato in materia di sicurezza informatica e riceve un'adeguata preparazione, coerente con le politiche, le procedure e la normativa esistente e sono definite e comprese le diverse responsabilità legate alla sicurezza delle informazioni? (È possibile indicare più di una risposta)

 

Al fine di garantire l'integrità, la confidenza e la disponibilità delle informazioni, i dati aziendali sono memorizzati e gestiti in accordo alla strategia di gestione del rischio dell’azienda? Per esempio, i dati sono protetti durante la trasmissione, ne è regolato il trasferimento, è previsto un protocollo per la distruzione dei dispositivi atti alla memorizzazione fisica dei dati stessi.

 

Le politiche di sicurezza, i processi di gestione e le procedure d’utilizzo dei sistemi informativi e dei dati vengono costantemente attuate ed adeguate nel tempo? (È possibile indicare più di una risposta)

 

La gestione e la manutenzione dei sistemi informativi e di controllo industriale è fatta nel rispetto di un determinato protocollo ed in accordo con le politiche e le procedure vigenti?

 

Le diverse soluzioni tecniche sono definite ed applicate per assicurare la sicurezza e la resilienza dei sistemi informativi e delle varie risorse, in accordo con un protocollo e con le relative politiche e le procedure vigenti? (È possibile indicare più di una risposta)

 

 

Rilevazione

Sezione 5 di 6

Le attività anomale (e.g. accessi non consentiti, traffico eccessivo, etc.) sono rilevate e il loro impatto potenziale viene analizzato?

 

I sistemi informativi e le risorse sono monitorati periodicamente per identificare eventi relativi alla sicurezza informatica e per verificare l'efficacia delle misure di protezione adottate? (È possibile indicare più di una risposta)

 

È previsto un protocollo per il monitoraggio degli eventi relativi alla sicurezza informatica e viene attuato, aggiornato e verificato periodicamente, al fine di garantire una tempestiva ed adeguate risposta?

 

 

Resilienza

Sezione 6 di 6

Nel caso si verifichi un incidente legato alla sicurezza informatica (e.g. allagamento sala server, smarrimento dispositivo aziendale, accesso non verificato, furto di dati), è previsto un protocollo che regoli il piano di risposta e viene attuato durante o dopo l’evento?

 

Nel caso esista un protocollo di risposta ad eventi di sicurezza informatica indicare quale/i delle due affermazioni è corretta. (È possibile indicare più di una risposta)

 

A seguito di un evento relativo alla sicurezza informatica, vengono condotte analisi ed approfondimenti per assicurare un'adeguata risposta ed un pronto supporto alla attività di ripristino delle risorse interessate?

 

A seguito di un evento relativo alla sicurezza informatica, vengono messe in atto procedure ed azioni finalizzate al contenimento dell'impatto e alla mitigazione degli effetti?

 

È stato definito un protocollo per il piano di ripristino e viene attuato durante e dopo un evento relativo alla sicurezza informatica?

 

Nel caso esista un protocollo per il ripristino delle risorse interessate dall’evento di sicurezza informatica indicare quale/i delle due affermazioni è corretta. (È possibile indicare più di una risposta)