IT Baseline Protection Catalogs: differenze tra le versioni

Versione delle 19:17, 7 ott 2010

Versione delle 17:09, 17 ott 2010

Riga 2:

==Approccio==

Con l'approccio tradizionale di [[valutazione del rischio]] si devono prima di tutto identificare le minacce e assegnare loro una probabilità di accadimento. Il risultato di questa analisi viene usato per valutare il rischio (a cui viene assegantoassegnato un valore che tiene conto della probabilità della realizzazione di determinate minacce e del valore del bene minacciato) e quindi selezionare le misure di sicurezza appropriate, in modo da minimizzare il rischio residuale.

L'approccio adottatto nel manuale [[Bundesamt für Sicherheit in der Informationstechnik|BSI]] per la protezione di base invece consiste in un confronto tra le misure raccomandate dal modello e quelle effettivamente attuate dal soggetto che effettua la pianificazione/valutazione del rischio. Le debolezze/criticità nella sicurezza che devono essere eliminate attraverso l'adozione delle misure raccomandate si concretizzano nell'elenco delle misure di sicurezza mancanti e non ancora applicate. Solo quando i requisiti di sicurezza sono significativamente più alti può essere necessario effettuare una analisi ulteriore, pesando il costo effettivo di adozione di misure addizionali rispetto a quelle base elencate nel catalogo del manuale BSI. Tuttavia è generalmente sufficiente aggiungere alle raccomandazioni contenute nel manuale BSI alcune misure appropriate ritagliate sul caso specifico e più stringenti. Le misure di sicurezza elencate nel manuale sono misure standard, cioè misure che andrebbero implementate per i moduli contenuti nel manuale usando le migliori tecnologie per ottenere un ragionevole livello di sicurezza. In qualche caso le misure offrono anche un livello maggiore di protezione rispetto alla protezione base, tuttavia di norma sono le precauzioni minime che è ragionevole adottare nelle aree di competenza.