Catalogo di controlli
NIST SP 800-53 Rev. 5
Catalogo per trasformare decisioni di rischio in protezioni verificabili.
In questa pagina
Scopo, ambito e autorità
Selezionare e adattare, senza implementare tutto. 800-53B tratta le basi, 800-53A la valutazione. NIST include release 5.2.0 accanto a Rev. 5: registrare il catalogo usato oltre al PDF iniziale. [1]
Principi e logica operativa [1]
1. Struttura e parametri
Leggere controllo, estensioni e discussione; risolvere frequenze, ruoli e scelte. Non ogni estensione è obbligatoria.
2. Funzionalità e affidabilità
Verificare protezione e prove tramite politiche, configurazioni, osservazioni e test.
3. Responsabilità ed eredità
Distinguere controlli comuni, specifici e ibridi; assegnare implementazione, gestione e valutazione.
4. Esempi
AC-2 account; AC-6 minimo privilegio; AU-6 analisi log; CM-2 configurazione; CP-4 test di continuità; IR-4 incidenti. Non è una base sufficiente.
Le 20 famiglie di controlli [1]
| ID | Le 20 famiglie di controlli | Domanda gestionale |
|---|---|---|
| AC | Accesso | Chi accede a cosa e chi lo verifica? |
| AT | Consapevolezza e formazione | Le persone sanno svolgere i compiti di sicurezza? |
| AU | Audit e responsabilità | Si può ricostruire e verificare l’attività? |
| CA | Valutazione, autorizzazione e monitoraggio | Chi prova e accetta il rischio? |
| CM | Configurazione | Quale stato è approvato e come gestire deviazioni? |
| CP | Contingenza | Le funzioni essenziali possono riprendere? |
| IA | Identificazione e autenticazione | Come verificare l’identità? |
| IR | Risposta agli incidenti | Chi coordina gestione ed escalation? |
| MA | Manutenzione | Come controllare anche gli interventi remoti? |
| MP | Supporti | Come gestire, trasportare e cancellare supporti? |
| PE | Protezione fisica e ambientale | Come proteggere locali e servizi essenziali? |
| PL | Pianificazione | Sicurezza e privacy sono documentate? |
| PM | Gestione del programma | Chi dirige risorse e supervisione? |
| PS | Personale | Come adattare accessi ai cambi lavorativi? |
| PT | Dati personali e trasparenza | Perché trattare dati e come informare? |
| RA | Rischio | Quali minacce e impatti orientano priorità? |
| SA | Acquisizione | I requisiti seguono acquisto e sviluppo? |
| SC | Sistemi e comunicazioni | Come proteggere confini e scambi? |
| SI | Integrità | Come trattare difetti, attività malevole e integrità? |
| SR | Catena di fornitura | Come valutare dipendenze di fornitori e prodotti? |
Applicazione · raccomandazioni editoriali
Scheda proposta: identificatore/versione, applicabilità, parametri, responsabile, eredità, prove, risultato e scadenza. Verificare l’account privilegiato dall’approvazione alla rimozione.
Prove per il CISO · dossier proposto
Stato approvato e deriva, prove di ripristino e correzioni, log utilizzabili e revisione. Documentare eccezioni nel processo di rischio.
Errori e limiti
Politica non equivale a implementazione; una mappatura non prova equivalenza. Le 20 famiglie ed esempi non sostituiscono tutti i controlli ed estensioni.
Fonti ufficiali e percorso di lettura
Sezioni da leggere nella fonte: Chapter 2; Chapter 3 control families; official release notes.
Commento originale, non riproduzione integrale. Consultare la fonte per ogni requisito, estensione, condizione ed eccezione. L’applicabilità dipende dall’organizzazione e dai suoi obblighi.