Guest WiFi ISO 27001: Guida Introduttiva alla Conformità

ISO 27001 Guest WiFi: una guida di base sulla conformità Podcast Purple Technical Briefing - Script dell'episodio Durata approssimativa: 10 minuti | Voce: inglese britannico, tono da consulente senior --- SEGMENTO 1: INTRODUZIONE E CONTESTO (circa 1 minuto) Benvenuti al Purple Technical Briefing. Sono il vostro presentatore per l'episodio di oggi e approfondiremo un argomento che si colloca all'intersezione tra le operazioni di rete e la governance della sicurezza delle informazioni: il guest WiFi e la conformità allo standard ISO 27001. Se siete un IT manager, un progettista di rete o un lead auditor ISO 27001 presso un gruppo alberghiero, una catena retail, uno stadio o un'organizzazione del settore pubblico, questo episodio è pensato per voi. Non spiegheremo lo standard ISO 27001 da zero - conoscete già lo standard. Quello che faremo è fornirvi una mappa precisa e pratica di come la vostra implementazione di guest WiFi si inserisce nel vostro Sistema di Gestione della Sicurezza delle Informazioni, quali controlli si applicano, cosa deve documentare la vostra valutazione dei rischi e, soprattutto, quali prove dovete produrre quando l'auditor si presenta alla porta. Il guest WiFi è una di quelle aree che le organizzazioni sottovalutano costantemente dal punto di vista della conformità. Sembra un servizio banale - basta collegare alcuni access point, fornire una password e il gioco è fatto. Ma dal punto di vista di un SGSI, si tratta di una risorsa informativa attiva che tocca il perimetro della vostra rete, le relazioni con i vostri fornitori, i vostri obblighi in materia di protezione dei dati e la vostra esposizione legale. Analizziamo questo aspetto nel dettaglio. --- SEGMENTO 2: APPROFONDIMENTO TECNICO (circa 5 minuti) Iniziamo con la mappatura dei controlli. Lo standard ISO 27001:2022 ha ristrutturato i controlli dell'Annex A, e molti di essi si applicano direttamente al guest WiFi. Il gruppo più critico si trova nella sezione Controlli Tecnologici - ovvero la clausola A.8 dell'Annex A. Il Controllo A.8.22 - Segregazione delle Reti - rappresenta il vostro requisito fondamentale. Questo controllo impone che i gruppi di servizi informativi, utenti e sistemi siano segregati sulle reti. Per il guest WiFi, questo si traduce direttamente nell'isolamento della VLAN. La vostra rete ospiti deve essere separata logicamente e, ove opportuno, fisicamente dalla rete aziendale, dall'ambiente di elaborazione dei pagamenti e da qualsiasi segmento IoT o di tecnologia operativa. Se un auditor rileva che il traffico degli ospiti può raggiungere le condivisioni di file interne o le interfacce di gestione, si tratta di una chiara non conformità rispetto al controllo A.8.22. Il Controllo A.8.20 - Sicurezza delle Reti - richiede che le reti siano gestite e controllate per proteggere le informazioni nei sistemi e nelle applicazioni. Per il guest WiFi, ciò significa regole del firewall documentate, liste di controllo degli accessi e una policy di sicurezza di rete che affronti esplicitamente il segmento ospiti. Dovete essere in grado di mostrare all'auditor un diagramma di rete aggiornato con la VLAN ospiti chiaramente etichettata e il set di regole del firewall che disciplina ciò che quel segmento può e non può raggiungere.Il controllo A.8.21 - Sicurezza dei Servizi di Rete - si rivolge ai fornitori di servizi di rete terzi. La maggior parte delle organizzazioni che offrono WiFi per gli ospiti utilizza un managed service provider, una piattaforma di Captive Portal basata su cloud o una soluzione fornita dall'ISP. Ciascuna di queste rappresenta una relazione con un fornitore che deve essere regolamentata. Sono necessari accordi sul livello del servizio che includano i requisiti di sicurezza e prove di revisioni periodiche dei fornitori. È qui che le attestazioni SOC 2 Type II dei fornitori diventano davvero utili - ci torneremo più avanti. Il controllo A.8.15 - Registrazione degli Eventi - richiede che i log degli eventi siano prodotti, archiviati, protetti e analizzati. Per il WiFi per gli ospiti, questo significa registrare gli eventi di connessione, i tentativi di autenticazione e i dati di sessione. Tuttavia, esiste una tensione con il GDPR e i principi di minimizzazione dei dati, in particolare nel Regno Unito e nell'UE. È necessario registrare quanto basta per soddisfare gli obblighi di monitoraggio della sicurezza, ma non al punto da conservare dati personali oltre il necessario. La policy di logging dovrebbe includere esplicitamente l'ambito del WiFi per gli ospiti, definire i periodi di conservazione e documentare la base giuridica per tutti i dati personali acquisiti. Il controllo A.8.23 - Filtro Web - richiede che l'accesso ai siti web esterni sia gestito per proteggere i sistemi dalle infezioni da malware e per impedire l'accesso a risorse web non autorizzate. Per il WiFi per gli ospiti, questo significa solitamente implementare un filtraggio basato su DNS o un proxy web cloud che blocchi i domini dannosi noti, le infrastrutture di comando e controllo e, a seconda del settore di appartenenza, le categorie di contenuti inappropriati. Un gestore di hotel che si rivolge a famiglie ha obblighi di filtraggio diversi rispetto a un centro congressi che ospita delegati aziendali, ma entrambi necessitano di una policy documentata e di prove che dimostrino che il filtraggio è attivo e monitorato. Passando ai Controlli Organizzativi - Allegato A clausola 5 - due controlli sono particolarmente rilevanti. Il controllo A.5.14 - Trasferimento delle Informazioni - disciplina le regole, le procedure e i controlli per il trasferimento delle informazioni. Se gli ospiti utilizzano la rete per trasferire file, accedere a servizi cloud o condurre attività commerciali, è necessaria una Acceptable Use Policy che venga presentata al momento dell'autenticazione - solitamente tramite il Captive Portal - e accettata prima che l'accesso venga concesso. Tale evento di accettazione deve essere registrato come prova. Il controllo A.5.31 - Requisiti Legali, Statutari, Regolamentari e Contrattuali - richiede di identificare e documentare tutti gli obblighi legali e normativi pertinenti. Per il WiFi per gli ospiti, questo include il GDPR o il UK GDPR se si acquisiscono dati personali al momento dell'autenticazione, l'Investigatory Powers Act se ci si trova nel Regno Unito e potrebbe essere richiesto di conservare i dati sulle comunicazioni, e normative specifiche di settore come lo standard PCI DSS se la rete ospiti rientra nell'ambito dei dati dei titolari di carta.Ora, la valutazione del rischio. ISO 27001 è uno standard basato sul rischio, il che significa che non è possibile implementare semplicemente i controlli e considerare il lavoro finito. È necessario documentare una valutazione formale del rischio per l'asset WiFi per gli ospiti. Tale valutazione deve identificare le minacce - accesso non autorizzato ai sistemi interni, propagazione di malware dai dispositivi degli ospiti, intercettazione dei dati sul mezzo wireless, denial of service e danni d'immagine derivanti dall'uso improprio della rete. Per ogni minaccia, si valuta la probabilità e l'impatto, si definisce il trattamento del rischio - che si tratti di mitigare, accettare, trasferire o evitare - e si documenta il rischio residuo. La Dichiarazione di Applicabilità deve fare riferimento alla valutazione del rischio del WiFi per gli ospiti come giustificazione per l'inclusione o l'esclusione di specifici controlli dell'Allegato A. Parliamo di WPA3 e degli standard di autenticazione. Le generazioni di hardware WiFi IEEE 802.11ax e 802.11be supportano WPA3, che fornisce la Simultaneous Authentication of Equals - SAE - in sostituzione del vecchio handshake Pre-Shared Key. Per una rete ospiti in cui si utilizza una passphrase condivisa, WPA3-Personal con SAE garantisce la forward secrecy, il che significa che anche se la passphrase viene compromessa, il traffico delle sessioni storiche non può essere decifrato. Per le implementazioni aziendali in cui si desidera un'autenticazione per singolo utente, WPA3-Enterprise con IEEE 802.1X ed EAP-TLS fornisce un'autenticazione basata su certificati che si mappa direttamente sui controlli di gestione delle identità ISO 27001. La scelta tra questi due modelli dipende dalla tipologia di utenti e dalla tolleranza alla complessità operativa. Ora, le attestazioni SOC 2 dei fornitori. Se si utilizza una piattaforma WiFi per gli ospiti gestita in cloud - e la maggior parte delle organizzazioni lo fa - il report SOC 2 Type II di tale fornitore rappresenta un elemento critico delle prove di affidabilità del fornitore. Un report SOC 2 Type II copre i Trust Services Criteria: Sicurezza, Disponibilità, Integrità del Trattamento, Riservatezza e Privacy, in un periodo di audit che va tipicamente da sei a dodici mesi. Quando si crea il fascicolo di affidabilità dei fornitori ISO 27001, il report SOC 2 Type II del fornitore, combinato con un questionario sulla sicurezza del fornitore compilato e un accordo sul trattamento dei dati, fornisce un pacchetto di prove difendibile per il controllo A.8.21. Purple, ad esempio, offre un allineamento SOC 2 che supporta direttamente questo requisito ISMS a valle - il che significa che è possibile fare riferimento alla loro attestazione nelle proprie prove di audit anziché condurre una valutazione di sicurezza personalizzata e completa della piattaforma. - SEGMENTO 3: RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE (circa 2 minuti) Permettetemi di presentarvi le quattro decisioni di implementazione che la maggior parte delle organizzazioni sbaglia. Primo: l'ampliamento incontrollato dello scopo nella valutazione dei rischi. Le organizzazioni definiscono lo scopo della rete WiFi ospiti in modo troppo limitato - considerandola fuori scopo perché destinata solo ai visitatori - o troppo ampio, tentando di applicare ogni possibile controllo a prescindere dalla pertinenza. L'approccio corretto consiste nel definirla come un asset informativo incluso nello scopo dell'ISMS, condurre una valutazione dei rischi proporzionata e documentare la logica di selezione dei controlli nella Statement of Applicability. Secondo: un'inadeguata segmentazione della rete. Ho visto VLAN ospiti che sono tecnicamente separate ma condividono una zona firewall con i sistemi interni, o in cui l'interfaccia di gestione del controller wireless è accessibile dal segmento ospiti. La segmentazione deve essere verificata con un penetration test o, come minimo, con una revisione degli accessi di rete, e tale verifica deve essere documentata come evidenza di audit. Terzo: ignorare il Captive Portal come meccanismo di controllo degli accessi. Il Captive Portal non è solo un esercizio di branding. È il punto in cui presentate la vostra Acceptable Use Policy, ottenete il consenso per il trattamento dei dati e create il registro di autenticazione che funge da evidenza per molteplici controlli ISO 27001. Se il vostro Captive Portal non registra gli eventi di accettazione con timestamp e identificativi di sessione, avete una lacuna che un auditor individuerà. Quarto: considerare la conformità dei fornitori come un'attività una tantum. I report SOC 2 scadono. I contratti ISP cambiano. I termini di servizio delle piattaforme cloud vengono aggiornati. Il vostro programma di gestione dei fornitori deve includere una revisione annuale delle certificazioni di sicurezza dei vendor, e tale revisione deve essere documentata. Impostate un promemoria sul calendario per la scadenza del periodo del report SOC 2 di ciascun vendor e richiedete il report aggiornato in modo proattivo. Sulla questione dei timeout di sessione: lo standard ISO 27001 non prescrive valori di timeout specifici, ma la vostra valutazione dei rischi dovrebbe documentare la logica alla base di qualsiasi valore scegliate. Un timeout di sessione di otto ore è comune nel settore alberghiero, ma un centro congressi che ospita un evento di un giorno potrebbe impostare un timeout più breve per garantire che le credenziali non vengano condivise tra i partecipanti. Il principio chiave è che la policy di timeout sia documentata, giustificata dal rischio e implementata in modo coerente. La piattaforma di Purple, ad esempio, consente di configurare e applicare le policy di timeout di sessione in modo centralizzato, con lo stato della configurazione esportabile come evidenza di audit. - SEGMENTO 4: DOMANDE E RISPOSTE RAPIDE (circa 1 minuto) Esaminiamo le domande che ricevo più frequentemente dai responsabili IT che si preparano per la certificazione ISO 27001. La rete WiFi ospiti deve essere inclusa nello scopo del nostro ISMS? Se elabora, memorizza o trasmette informazioni che rientrano nello scopo del vostro ISMS, sì. Se gli ospiti si autenticano utilizzando dati personali, o se la rete si collega a sistemi inclusi nello scopo, deve essere inclusa. Possiamo escludere il WiFi per gli ospiti dalla Dichiarazione di Applicabilità? È possibile escludere i controlli, ma è necessario documentarne la giustificazione. L'esclusione del controllo A.8.22 (Segregazione delle reti) per una distribuzione di WiFi per gli ospiti richiederebbe un'argomentazione molto convincente che difficilmente l'auditor accetterà. Qual è il pacchetto minimo di prove valide per un audit sul WiFi per gli ospiti? Diagramma di rete che mostra la segregazione della VLAN, set di regole del firewall, configurazione del Captive Portal con il testo della politica di utilizzo accettabile, campione del registro di autenticazione, voce del registro dei rischi e report SOC 2 del fornitore o documento di garanzia equivalente. In che modo il GDPR interagisce con l'ISO 27001 per il WiFi per gli ospiti? Il GDPR è un requisito legale che rientra nel controllo A.5.31. L'informativa sulla privacy, l'accordo sul trattamento dei dati con il fornitore della piattaforma WiFi e la politica di conservazione dei dati sono tutti elementi di prova per l'ISO 27001 oltre a essere artefatti di conformità al GDPR. Svolgono una duplice funzione. - SEGMENTO 5: RIEPILOGO E PROSSIMI PASSI (circa 1 minuto) Per riassumere: il WiFi per gli ospiti non è una preoccupazione secondaria per il vostro ISMS - è un confine di rete attivo con un'esposizione reale ai rischi e un insieme chiaro di controlli ISO 27001:2022 applicabili. I controlli che contano di più sono A.8.22 per la segregazione delle reti, A.8.20 per la gestione della sicurezza delle reti, A.8.21 per la garanzia dei fornitori, A.8.15 per la registrazione, A.8.23 per il filtraggio web, A.5.14 per l'uso accettabile e A.5.31 per la conformità legale. I vostri prossimi passi immediati: in primo luogo, confermare che il WiFi per gli ospiti sia esplicitamente incluso nella dichiarazione di scopo del vostro ISMS. In secondo luogo, aggiungere una voce relativa al WiFi per gli ospiti nel registro dei rischi con minacce, probabilità, impatto e decisioni di trattamento documentate. In terzo luogo, creare il pacchetto di prove - diagramma di rete, regole del firewall, configurazione del Captive Portal, politica di registrazione e report SOC 2 del fornitore. In quarto luogo, pianificare una verifica annuale di garanzia del fornitore per il provider della vostra piattaforma WiFi. Se state implementando o aggiornando la vostra infrastruttura WiFi per gli ospiti, la piattaforma Purple è integrata tenendo conto di questi requisiti di conformità - allineata a SOC 2, con gestione centralizzata delle politiche e prove di configurazione esportabili che alimentano direttamente la documentazione del vostro ISMS. Grazie per aver partecipato al briefing tecnico di Purple. Per la guida scritta completa, i diagrammi di architettura e gli esempi pratici, visitate il centro risorse di Purple. Alla prossima.