Conformità
Il suo partner di fiducia per la sicurezza e la conformità.
ISO/IEC 27001:2022
La ISO/IEC 27001:2022 è lo standard internazionale per la creazione e il miglioramento continuo di un Sistema di gestione della sicurezza delle informazioni (ISMS), con particolare attenzione ai controlli basati sul rischio, alla governance degli accessi e alla tracciabilità end-to-end negli ambienti ibridi e cloud. Questa pagina presenta una mappatura dei controlli ISO 27001 allineata a casi d'uso aziendali reali, mostrando come le funzionalità dei prodotti Devolutions supportino direttamente l'accesso remoto sicuro, la gestione degli accessi privilegiati e delle credenziali, la governance delle identità e la responsabilità verificabile.
5. Controlli organizzativi
Controlli ISO27001
Funzionalità Devolutions
Prodotti associati
5.3 Separazione dei compiti
"I compiti e le aree di responsabilità in conflitto tra loro devono essere separati."
Separazione dei ruoli, RBAC
5.9 Inventario delle informazioni e degli altri asset associati
"Deve essere sviluppato e mantenuto un inventario delle informazioni e degli altri asset associati, compresi i relativi proprietari."
Inventario di accessi, identità e sessioni
5.15 Controllo degli accessi
"Devono essere stabilite e attuate regole per controllare l'accesso fisico e logico alle informazioni e agli altri asset associati, sulla base dei requisiti di business e di sicurezza delle informazioni."
Controllo degli accessi logici, PAM, autorizzazioni granulari
5.16 Gestione delle identità
"Deve essere gestito l'intero ciclo di vita delle identità."
Integrazione con AD, Azure AD, SCIM, SSO
5.17 Informazioni di autenticazione
"L'assegnazione e la gestione delle informazioni di autenticazione devono essere controllate mediante un processo di gestione, che comprenda l'informazione del personale sulla corretta gestione delle informazioni di autenticazione."
Cassaforte crittografata, rotazione delle password, MFA
5.18 Diritti di accesso
"I diritti di accesso alle informazioni e agli altri asset associati devono essere assegnati, riesaminati, modificati e rimossi in conformità alla politica specifica e alle regole dell'organizzazione in materia di controllo degli accessi."
Gestione del ciclo di vita degli accessi
5.23 Sicurezza delle informazioni per l'uso di servizi cloud
"I processi per l'acquisizione, l'uso, la gestione e l'uscita dai servizi cloud devono essere stabiliti in conformità ai requisiti di sicurezza delle informazioni dell'organizzazione."
Gestione degli accessi al cloud, gestione dei segreti, tunneling sicuro
5.24 Pianificazione e preparazione della gestione degli incidenti relativi alla sicurezza delle informazioni
"L'organizzazione deve pianificare e prepararsi alla gestione degli incidenti relativi alla sicurezza delle informazioni definendo, stabilendo e comunicando i processi, i ruoli e le responsabilità per la gestione degli incidenti relativi alla sicurezza delle informazioni."
Traccia di audit, registrazione dei log, preparazione agli incidenti
5.25 Valutazione e decisione sugli eventi relativi alla sicurezza delle informazioni
"L'organizzazione deve valutare gli eventi relativi alla sicurezza delle informazioni e decidere se classificarli come incidenti relativi alla sicurezza delle informazioni."
Rilevamento/analisi tramite log
5.26 Risposta agli incidenti di sicurezza delle informazioni
"Gli incidenti di sicurezza delle informazioni devono essere gestiti in conformità alle procedure documentate."
Azioni di correzione (rotazione dei segreti), gestione degli incidenti
5.27 Apprendimento dagli incidenti di sicurezza delle informazioni
"Le conoscenze acquisite dagli incidenti di sicurezza delle informazioni devono essere utilizzate per rafforzare e migliorare i controlli di sicurezza delle informazioni."
Cronologia di audit per guidare i miglioramenti
5.28 Raccolta delle prove
"L'organizzazione deve stabilire e implementare procedure per l'identificazione, la raccolta, l'acquisizione e la conservazione delle prove relative agli eventi di sicurezza delle informazioni."
Registrazione delle sessioni, log con marca temporale
6. Controlli relativi alle persone
Controlli ISO 27001
Funzionalità Devolutions
Prodotti associati
6.7 Lavoro da remoto
"Devono essere attuate misure di sicurezza quando il personale lavora da remoto, per proteggere le informazioni consultate, elaborate o archiviate al di fuori delle sedi dell'organizzazione."
Accesso remoto sicuro, MFA, tunnel sicuri
7. Controlli fisici
Controlli ISO 27001
Funzionalità Devolutions
Prodotti associati
7.10 Supporti di memorizzazione
"I supporti di memorizzazione devono essere gestiti lungo tutto il loro ciclo di vita, dall'acquisizione all'utilizzo, al trasporto e allo smaltimento, in conformità allo schema di classificazione e ai requisiti di trattamento dell'organizzazione."
Sostituzione dell'archiviazione locale con una cassaforte centrale crittografata
8. Controlli tecnologici
Controlli ISO 27001
Funzionalità Devolutions
Prodotti associati
8.1 Dispositivi endpoint degli utenti
"Le informazioni memorizzate, elaborate o accessibili tramite i dispositivi endpoint degli utenti devono essere protette."
Nessun segreto in locale; iniezione delle credenziali
8.2 Diritti di accesso privilegiato
"L'assegnazione e l'uso dei diritti di accesso privilegiato devono essere limitati e gestiti."
PAM completo, registrazione delle sessioni
8.3 Restrizione dell'accesso alle informazioni
"L'accesso alle informazioni e ad altri asset associati deve essere limitato in conformità alla politica specifica stabilita in materia di controllo degli accessi."
RBAC, segmentazione
8.4 Accesso al codice sorgente
"L'accesso in lettura e scrittura al codice sorgente, agli strumenti di sviluppo e alle librerie software deve essere gestito in modo appropriato."
Archiviazione sicura dei segreti DevOps e CI/CD
8.5 Autenticazione sicura
"Devono essere implementate tecnologie e procedure di autenticazione sicura sulla base delle restrizioni di accesso alle informazioni e della politica specifica in materia di controllo degli accessi."
MFA, FIDO2, OTP, push
8.7 Protezione dal malware
"Deve essere implementata una protezione dal malware, supportata da un'adeguata consapevolezza degli utenti."
Riduzione del phishing tramite l'iniezione delle credenziali
8.9 Gestione della configurazione
"Le configurazioni, comprese quelle di sicurezza, di hardware, software, servizi e reti devono essere stabilite, documentate, implementate, monitorate e riesaminate."
Standardizzazione delle connessioni e degli accessi
8.11 Mascheramento dei dati
"Il mascheramento dei dati deve essere utilizzato in conformità alla politica specifica dell'organizzazione in materia di controllo degli accessi e ad altre politiche specifiche correlate, nonché ai requisiti di business, tenendo conto della legislazione applicabile."
Iniezione delle credenziali (il segreto non viene mai rivelato), RBAC
8.12 Prevenzione della fuga di dati
"Devono essere applicate misure di prevenzione della fuga di dati ai sistemi, alle reti e a qualsiasi altro dispositivo che elabora, archivia o trasmette informazioni sensibili."
Cassaforte + proxy di sessione, RBAC
8.13 Backup delle informazioni
"Copie di backup delle informazioni, del software e dei sistemi devono essere mantenute e sottoposte a test periodici in conformità alla politica specifica concordata in materia di backup."
Backup crittografati DVLS/Devolutions Cloud
8.15 Registrazione degli eventi
"I log che registrano attività, eccezioni, anomalie e altri eventi rilevanti devono essere prodotti, conservati, protetti e analizzati."
Traccia di audit completa
8.16 Attività di monitoraggio
"Le reti, i sistemi e le applicazioni devono essere monitorati per rilevare comportamenti anomali e devono essere intraprese azioni appropriate per valutare potenziali incidenti di sicurezza delle informazioni."
Monitoraggio + registrazione delle sessioni
8.18 Uso di programmi di utilità privilegiati
"L'uso di programmi di utilità in grado di eludere i controlli dei sistemi e delle applicazioni deve essere limitato e rigorosamente controllato."
PAM, restrizioni sugli strumenti di amministrazione
8.22 Segregazione delle reti
"I gruppi di servizi informativi, utenti e sistemi informativi devono essere segregati all'interno delle reti dell'organizzazione."
Segmentazione tramite Devolutions Gateway
8.24 Uso della crittografia
"Devono essere definite e attuate regole per l'uso efficace della crittografia, compresa la gestione delle chiavi crittografiche."
Crittografia AES-256, TLS 1.2+
8.25 Ciclo di vita di sviluppo sicuro
"Devono essere stabilite e applicate regole per lo sviluppo sicuro di software e sistemi."
Gestione dei segreti di sviluppo/test/produzione
8.29 Test di sicurezza in fase di sviluppo e accettazione
"I processi di test di sicurezza devono essere definiti e implementati nel ciclo di vita dello sviluppo."
Segreti di test protetti
8.31 Separazione degli ambienti di sviluppo, test e produzione
"Gli ambienti di sviluppo, test e produzione devono essere separati e protetti."
Separazione logica tramite casseforti / RBAC
8.32 Gestione dei cambiamenti
"I cambiamenti apportati alle strutture di elaborazione delle informazioni e ai sistemi informativi devono essere soggetti a procedure di gestione dei cambiamenti."
Audit e tracciabilità dei cambiamenti
8.33 Informazioni di test
"Le informazioni di test devono essere selezionate, protette e gestite in modo appropriato."
Protezione dei segreti di test
Risorse
Scopra altre analisi e strumenti per restare sempre al passo con la sicurezza IT.
Blog di Devolutions
Come Devolutions aiuta le organizzazioni a soddisfare i principali controlli IAM della norma ISO/IEC 27001:2022
Leggi gli articoli
Conveyor Devolutions
Accesso centralizzato alla documentazione legale e alle certificazioni di conformità di Devolutions.
Scopri di più
Documentazione Devolutions
Il pulsante Sicurezza, note legali & privacy la reindirizza al nostro sito web, dove può accedere a tutte le risorse pertinenti
Consulta la documentazione
Ha bisogno di aiuto per orientarsi nella conformità?
Il nostro team di esperti può aiutarla a capire come le soluzioni Devolutions soddisfano i suoi requisiti di conformità e guidarla lungo tutto il processo.
