Politica di gestione delle vulnerabilità

Versione 1.1

Scopo
Lo scopo di questa politica è garantire un livello più elevato di sicurezza alle Risorse informatiche, rete, i
server, i sistemi operativi su pc aziendali, i sistemi operativi dei server dedicati , i server di database, i
database e le applicazioni di osCommerce.name By Synchrosystem Labs.
La presente politica informatica, e tutte le politiche a cui si fa riferimento nel presente documento, si
applicano a tutti i dipendenti di osCommerce.name By Synchrosystem Labs che utilizzano, accedono o
altrimenti impiegano, localmente o da remoto, le Risorse informatiche di osCommerce.name By
Synchrosystem Labs, siano esse controllate individualmente, condivise, autonome o in rete.

Ambito di Questa Politica
Tutta l'infrastruttura di rete, i server, i sistemi operativi su pc aziendali, i sistemi operativi dei server dedicati,
i server di database, i database, applicazioni, sistemi e infrastrutture IT che archiviano ed elaborano Dati dei
Marketplace (Amazon, eBay e Marketplace minori) e di dispositivi offline di osCommerce.name By
Synchrosystem Labs devono essere scansionati in modo e con una pianificazione adeguata al profilo di
rischio delle risorse o alle esigenze normative.

I sistemi con dati ad alto rischio (vedi Dati elettronici e politica di classificazione dei rischi di sistema )
devono essere scansionati per individuare le vulnerabilità almeno mensilmente.
I Tecnici IS di Synchrosystem Labs eseguono regolari scansioni autenticate e non autenticate di reti,
sistemi, database o applicazioni. Le scansioni si limitano alla revisione della configurazione del
sistema e dell'applicazione e non aprono o esaminano il contenuto di e-mail, documenti, fogli di
calcolo, database o qualsiasi altra applicazione.

Le vulnerabilità della sicurezza identificate tramite scansioni o identificate dai fornitori devono essere
corrette/controllate come descritto di seguito.

Passaggi della procedura
Per rispettare questa procedura devono essere seguite le seguenti fasi:

Fase di scoperta
Le vulnerabilità sono identificate sulle Risorse IT La rilevazione e scansione delle vulnerabilità deve
essere effettuata seguendo queste linee guida:
 

*( O ad ogni rilascio di nuova Versione Applicativo se rilasciato in un tempo inferiore ai 180 giorni )


I seguenti strumenti possono essere utilizzati per valutare le vulnerabilità dei sistemi o della Nostra applicazione:
intruder.io
PHP Mess Detector
Kali Linux
OWASP ZAP
sqlmap
nmap

Fase di priorità, pianificazione e Bonifica
Le vulnerabilità e le risorse scoperte vengono riviste, assegnate le priorità e valutate utilizzando i
risultati dei rapporti tecnici e sui rischi. I Tecnici IT, IS e Sviluppatori di osCommerce.name By
Synchrosystem Labs devono eseguire una o più delle seguenti operazioni:
- Distribuire il controllo di mitigazione
- Distribuire la / le patch
- Aggiornamento
- Rimuovere e interrompere l'utilizzo della Risorsa IT se risulta compromessa o pericoloso lo stato di
compromissione nell’immediato.
- Distribuire le modifiche della configurazione

Le Criticità sono Valutate, pianificate e Bonificate secondo la seguente Tabella:

Fase di convalida
Le misure correttive di successo sono determinate dall'analisi successiva.
Distribuire la valutazione della gestione del rischio.
I Tecnici IS e Sviluppatori, devono confermare che la vulnerabilità non è più presente nello strumento
di rilevamento.
Quindi procedere di nuovo a Scansione con tutti gli strumenti identificati in Fase di Scoperta.
Se è stata eseguita la riparazione e la modifica non si riflette in una scansione di convalida o si ritiene
non applicabile al sistema, il tecnico IS, IT o Sviluppatore è responsabile di informare il proprietario di
osCommerce.name By Synchrosystem Labs via e-mail all'indirizzo assistenza@oscommerce.name
(ad es. cosa è stato implementato, la vulnerabilità è un falso positivo, etc).
A seconda della natura del sistema operativo o dell'applicazione implementata, si possono sfruttare
strumenti o metodologie di valutazione alternativi per determinare le vulnerabilità.

Informazioni sull'implementazione di questo documento.

Frequenza di revisione: Annuale
Persona responsabile: Responsabile IS, operazioni di sicurezza informatica
Approvato da: Direttore della sicurezza informatica (CISO)
Data di approvazione: 4 marzo 2022