Trasparenza di CyberProva
Come CyberProva valuta la sicurezza
Comprendere le osservazioni automatizzate di CyberProva, la revisione delle prove, i punteggi e le limitazioni della valutazione.
Definire l'ambito
Una valutazione CyberProva combina osservazioni tecniche selezionate con controlli aziendali che richiedono prove. Un tenant di Microsoft 365 connesso, un sito Web verificato e i documenti caricati coprono ciascuno una parte diversa di tale ambito.
- Controlla l'organizzazione, il tenant connesso e i domini prima di interpretare i risultati.
- Esamina le esclusioni, i requisiti di licenza, le lacune nelle autorizzazioni e la data di valutazione.
Controlli automatizzati
CyberProva legge le informazioni sulla configurazione e sulle attività disponibili tramite Microsoft Graph e fonti tecniche pubbliche selezionate. Ciascun rilievo identifica la verifica, la modalità ed il risultato disponibile.
- Alcune osservazioni stabiliscono una configurazione specifica; altri identificano qualcosa che il tuo team IT deve rivedere.
- Una lettura non riuscita, un'autorizzazione mancante, una licenza mancante o dati incompleti vengono segnalati come non disponibili o che richiedono una revisione, anziché essere dedotti come risultato conforme.
- Un risultato descrive le informazioni disponibili al momento della valutazione; non stabilisce una protezione continua.
Controlli basati sull'evidenza
L'organizzazione o il provider IT fornisce documenti di supporto per i controlli che non possono essere stabiliti solo da Microsoft 365. Un revisore dell'area di lavoro autorizzato decide se accettare le prove.
- Utilizzare prove datate che ne identifichino l'ambito, il proprietario e il risultato.
- CyberProva distingue le prove fornite, l'accettazione del revisore e le osservazioni automatiche.
- CyberProva non certifica in modo indipendente l'autenticità o i fatti sottostanti delle prove caricate.
Punteggi e priorità
Leggi i risultati dietro ogni punteggio. La valutazione principale assegna punteggi ai controlli selezionati, comprese le prove accettate e le osservazioni tecniche; le valutazioni avanzate riportano la propria valutazione e copertura.
- Un punteggio è un riepilogo dei controlli selezionati, non una probabilità di evitare un attacco.
- Il risultato di una revisione può contribuire a un punteggio pur necessitando comunque del giudizio umano.
- Leggi le lacune nelle prove e i controlli non disponibili insieme al punteggio, quindi concorda i proprietari e le azioni successive.
Cosa non fa CyberProva
CyberProva supporta la valutazione, la raccolta delle prove e il follow-up. Non garantisce che un'organizzazione sia sicura o che non si sia verificato un incidente.
- Nessun test di penetrazione o indagine sugli incidenti.
- Nessuna certificazione indipendente delle prove caricate.
- Nessuna certificazione Cyber Essentials; Cyber Essentials è uno schema del Regno Unito amministrato attraverso il proprio processo di certificazione.
- Nessuna modifica automatica alla configurazione di Microsoft 365.
- Il monitoraggio programmato è periodico e dipendente dal piano, piuttosto che una sorveglianza in tempo reale.