Cosa è successo, cosa ho deciso e cosa è cambiato. Senza nomi dove non si possono fare, con i numeri dove ci sono.
Certificazione e NIS2 volontaria in un gruppo industriale
Gruppo industriale italiano con tre sedi, oltre cento cantieri attivi e reti OT; clienti grandi che verificano la sicurezza dei propri fornitori.
Servivano una certificazione riconosciuta e risposte credibili agli audit dei clienti; la NIS2 non era obbligatoria per il gruppo.
Un unico sistema di controlli ed evidenze che servisse insieme la ISO/IEC 27001, le misure NIS2 e gli audit dei clienti, invece di tre cantieri separati; maturità misurata sul NIST Cybersecurity Framework.
Certificazione ISO/IEC 27001 ottenuta; misure NIS2 adottate volontariamente a livello Tier 3 (Repeatable); le stesse evidenze sono alla base degli audit di sicurezza condotti dai clienti sul gruppo, tra cui un grande gruppo industriale internazionale.
Acquisizione forense di un tenant cloud
Un'azienda doveva conservare in modo difendibile i dati di un ambiente cloud aziendale.
Una copia qualsiasi non vale come prova: serviva un'acquisizione che reggesse una contestazione.
Acquisizione secondo ISO/IEC 27037, con catena di custodia documentata e un accordo sul trattamento dei dati (art. 28 GDPR) prima di toccare qualsiasi cosa.
Evidenze acquisite e verificabili, con la documentazione consegnata al cliente.
Governare un MDR e pagarlo il giusto
Circa 300 endpoint da coprire con un servizio di rilevamento e risposta gestito, con un mandato preciso della direzione: spendere il meno possibile senza scendere di livello.
L'offerta iniziale era fuori scala rispetto al mandato.
Definito il perimetro davvero necessario e il livello di servizio, poi negoziato il contratto; il servizio resta sotto la mia direzione, con tuning della rilevazione ed escalation.
-45% sul costo annuo, al livello di servizio più alto del fornitore.