Guida di processo
NIST SP 800-37 Rev. 2
Collegare prove dei controlli e autorizzazione del rischio nel ciclo di vita.
In questa pagina
Scopo, ambito e autorità
Sette passi interattivi per sistemi e controlli comuni, sicurezza e privacy. Il contesto federale non crea obblighi identici per tutti i paesi o sistemi di sicurezza nazionale. [1]
Principi e logica operativa [1]
1. Prepare · Preparare
Definire ruoli, strategia, confini, vincoli e controlli comuni.
2. Categorize · Classificare
Motivare impatti e tipi di informazioni secondo il metodo applicabile, non contare vulnerabilità.
3. Select · Selezionare
Adattare la base, specificare parametri, responsabilità, eredità e monitoraggio.
4. Implement · Implementare
Descrivere funzionamento reale e deviazioni, non solo progetto.
5. Assess · Valutare
Verificare implementazione, funzionamento e risultati; stabilire prove e indipendenza necessaria.
6. Authorize · Autorizzare
Presentare rischio e condizioni all’autorità; il valutatore non diventa automaticamente proprietario del rischio.
7. Monitor · Monitorare
Seguire cambiamenti e difetti, aggiornando piani e decisioni.
Applicazione · raccomandazioni editoriali
Identificare autorità e confine, mantenere tracciabilità fino alla decisione. Provare controlli ereditati e riesaminare cambi di missione, architettura, minaccia ed efficacia.
Prove per il CISO · dossier proposto
Piani sicurezza/privacy, valutazioni, risultati aperti, azioni e scadenze, condizioni di autorizzazione. Distinguere obblighi di fornitore e cliente.
Errori e limiti
Evitare documentazione solo finale, autorizzazioni permanenti e attestazioni accettate automaticamente. Le attività ufficiali dettagliano ulteriori input, risultati e ruoli.
Fonti ufficiali e percorso di lettura
Sezioni da leggere nella fonte: Chapter 3; Appendices D–F.
Commento originale, non riproduzione integrale. Consultare la fonte per ogni requisito, estensione, condizione ed eccezione. L’applicabilità dipende dall’organizzazione e dai suoi obblighi.