Non potete proteggere ciò che non conoscete.

No. Fornisce risultati limitati al proprio ambito. Codice, sistemi offline e componenti non raggiungibili richiedono altri metodi di rilevazione.

Una SBOM descrive i componenti software. Una CBOM aggiunge una visione mirata dei componenti crittografici e delle dipendenze rilevanti per la pianificazione della migrazione.

Quali delle vostre applicazioni utilizzano quale cifratura, e chi può modificarla? Rileviamo le dipendenze crittografiche e le associamo ai vostri sistemi e responsabili. L'inventario crea una base verificabile per la pianificazione successiva.

Definire l'ambito dell'indagine e i metodi di rilevazione ammessi Rilevare protocolli, certificati, librerie e utilizzi delle chiavi Riunire i risultati di scansioni, analisi del codice ed esportazioni dai sistemi Contrassegnare le dipendenze e le aree non esaminate Preparare l'aggiornamento continuo dell'inventario e l'esportazione leggibile da macchina

Inventario crittografico con provenienza e copertura Panoramica delle dipendenze per applicazione Procedura per l'aggiornamento della CBOM

Una scansione di rete rileva i servizi raggiungibili, ma non l'intera crittografia di un'organizzazione. Combiniamo metodi di rilevazione ammessi: endpoint, archivi di certificati, librerie, configurazione e colloqui con i responsabili dei sistemi. Anche firme offline, dispositivi mobili e componenti embedded possono essere rilevanti. I risultati distinguono l'utilizzo osservato dalle sole capacità installate. Per ogni riscontro vengono registrate fonte e data, in modo che le decisioni successive non si basino su ipotesi incerte.

Una Cryptography Bill of Materials, abbreviata CBOM, descrive i componenti crittografici e le loro relazioni in forma leggibile da macchina. Decisiva è l'associazione allo scopo d'uso: un certificato può proteggere una connessione oppure garantire una firma verificabile a lungo termine. Rileviamo proprietari, modificabilità e dipendenze dai produttori. I sistemi non raggiungibili o non esaminati restano visibili come lacune. Una grande esportazione di dati senza questa classificazione non costituirebbe una base decisionale solida.

Le modifiche a librerie, certificati e configurazione devono confluire nell'aggiornamento continuo. A tal fine vengono stabiliti i responsabili e gli eventi che richiedono un aggiornamento. Nel collaudo confrontiamo campioni con i sistemi reali e documentiamo l'ambito di indagine raggiunto. Le scansioni in produzione avvengono solo nell'ambito autorizzato e con attenzione ai componenti sensibili.

Rileviamo dove le vostre applicazioni e infrastrutture utilizzano algoritmi crittografici. Il risultato collega i riscontri tecnici con il significato di business, la responsabilità e il percorso attraverso cui una modifica è effettivamente possibile.

I riscontri sono associati a sistemi, utilizzi e responsabili. Le aree non note e i limiti del rilevamento restano visibili. Le modifiche agli asset esistenti possono essere riportate nell'inventario.

Esempio: un'organizzazione conosce i propri certificati web, ma non la libreria di firma di un sistema di archiviazione. L'inventario collega entrambi alla conservazione dei dati e alla responsabilità del produttore. Emerge così che la dipendenza dall'archivio richiede un tempo di preparazione più lungo rispetto alla prossima sostituzione di un web server.

Oltre ai certificati TLS consideriamo librerie, algoritmi di firma, archivi delle chiavi e funzioni integrate nei prodotti. Analisi del codice sorgente, verifica della configurazione e rilevamento tecnico possono integrarsi a vicenda. Nessuno strumento singolo individua tutte le dipendenze; per questo documentiamo espressamente la copertura e le incertezze residue. Ogni riscontro viene associato a un sistema e a un team responsabile. Sono importanti l'algoritmo, l'utilizzo, il componente di supporto e i dati che vengono protetti. Un elenco di algoritmi senza il relativo scopo d'uso è di aiuto limitato per la successiva definizione delle priorità.

Distinguiamo il software sviluppato internamente dai prodotti modificabili solo tramite aggiornamenti del produttore. Rileviamo inoltre i dispositivi con cicli di vita lunghi e i partner di comunicazione esterni. La domanda non è solo cosa viene utilizzato oggi, ma anche chi può avviare e collaudare una conversione. L'inventario viene dotato di un processo di aggiornamento. Il nuovo software e le modifiche rilevanti devono essere registrati, affinché l'inventario non diventi obsoleto dopo pochi mesi. Per i sistemi non accessibili documentiamo le evidenze ancora da fornire e le domande concrete da rivolgere ai fornitori, invece di interpretare la mancanza di visibilità come assenza di crittografia.

Inventario crittografico e fabbisogno di protezione IT, sicurezza delle informazioni, responsabili applicativi, specialista di crittografia di OTOKO® CBOM, fabbisogno di protezione e durata di vita dei dati per sistema, gap analysis rispetto a BSI TR-02102

Roadmap, algoritmi target, fasi di transizione Architettura, sicurezza delle informazioni, gestione della PKI, ufficio acquisti Roadmap di migrazione, policy crittografica, modello target per PKI e HSM, modello operativo