Questo caso di studio illustra l’applicazione dello standard minimo TIC in un progetto concreto. I nostri casi di studio offrono uno sguardo su progetti reali e mostrano come funzionano le nostre soluzioni nella pratica: in modo comprensibile, scalabile e affidabile. Descriviamo la situazione iniziale, i requisiti e l’implementazione, rendendo visibile il valore aggiunto attraverso risultati concreti. Offriamo così un’immagine autentica dell’impiego di moderne soluzioni informatiche e di sicurezza in organizzazioni diverse. Ringraziamo i nostri clienti per la fiducia e per la disponibilità a condividere pubblicamente le loro esperienze.
Con Lamprecht Transport AG mostriamo come un operatore logistico svizzero protegge sistematicamente gli accessi privilegiati e si tutela in modo mirato dagli attacchi interni. Il quadro di riferimento è lo standard minimo TIC della Confederazione. Il progetto comprende il passaggio a un modello Tiered Admin e il Privileged Access Management con rotazione automatica delle password. Prevede inoltre il monitoraggio completo delle azioni degli utenti, sia per gli amministratori interni sia per quelli esterni. Illustriamo anche come i metadati raccolti confluiscono, tramite Syslog, nelle analisi del fornitore SOC. Infine, mostriamo come le misure si collegano ai requisiti di ISO/IEC 27001 e della LPD riveduta.
Profilo di Lamprecht
Lamprecht Transport AG, con sede principale a Basilea, è un’impresa familiare svizzera indipendente, oggi guidata dalla terza generazione. Dalla fondazione nel 1945 fornisce servizi di trasporto e logistica su misura. Conta oltre 300 collaboratori, filiali a Basilea, Zurigo, Ginevra, Ramsen e San Gallo e il centro logistico Wannenboden a Pratteln. La sua offerta comprende trasporto aereo, marittimo e stradale, servizi doganali, trasporti di progetto e soluzioni logistiche. Proprio nel trasporto aereo e nelle catene di approvvigionamento internazionali, la disponibilità, l’integrità e la riservatezza dei sistemi informatici sono fattori di successo decisivi. Gli accessi ai sistemi critici per l’attività devono quindi essere controllati, tracciabili e documentabili in qualsiasi momento.
Situazione iniziale & motivazioni
L’impulso è venuto dalla volontà della stessa Lamprecht di rafforzare la sicurezza informatica là dove il potenziale di danno è maggiore: negli account privilegiati. Chi dispone di diritti amministrativi può infatti aggirare i meccanismi di sicurezza, sottrarre dati o manipolare sistemi. L’azienda intendeva quindi proteggersi efficacemente dagli attacchi interni, sia da parte dei propri collaboratori sia da fornitori esterni con accesso amministrativo. Parallelamente, tutte le azioni degli utenti nelle sessioni privilegiate dovevano risultare monitorabili e tracciabili. Il passaggio a un modello Tiered Admin ha creato il quadro strutturale, separando rigorosamente gli account amministrativi per livello di sistema. Per definire le misure, Lamprecht ha scelto come riferimento lo standard minimo TIC della Confederazione. Oggi curato dall’Ufficio federale della cibersicurezza (UFCS), questo quadro raccomanda misure per migliorare la resilienza TIC. Basato sul NIST Cybersecurity Framework, tratta la gestione di autorizzazioni e credenziali, il privilegio minimo e il monitoraggio di collaboratori e fornitori esterni.
Simon Löschke
CISO
La sfida
Quattro requisiti centrali guidavano il progetto:
- Proteggere gli account privilegiati dagli attacchi interni: gli account amministrativi di collaboratori interni e fornitori esterni presentano il maggiore potenziale di abuso. Password statiche note a più persone aumenterebbero ulteriormente questo rischio.
- Applicare il modello Tiered Admin: per ogni livello Tier, gli amministratori possono utilizzare soltanto gli account previsti. Questa regola doveva quindi essere imposta tecnicamente, anziché affidata alla disciplina quotidiana.
- Monitorare le azioni degli utenti e integrare il SOC: le attività nelle sessioni privilegiate dovevano essere interamente tracciabili. Inoltre, i relativi metadati dovevano confluire nelle analisi del fornitore SOC esterno.
- Documentare l’attuazione dello standard minimo TIC: le misure su autorizzazioni, credenziali e monitoraggio dovevano essere chiaramente riconducibili al quadro riconosciuto. La loro attuazione doveva inoltre risultare dimostrabile in qualsiasi momento.
Le sole regole organizzative sono difficili da far rispettare nella pratica. I log di sistema tradizionali, inoltre, mostrano che un account ha effettuato l’accesso. Non indicano però chi lo abbia realmente utilizzato né che cosa sia accaduto nella sessione.
Obiettivi
La soluzione
Nell’ambito del passaggio al modello Tiered Admin, Lamprecht ha introdotto Syteca con rotazione automatica delle password. Da allora, la piattaforma gestisce centralmente le credenziali privilegiate in forma cifrata. Inoltre, le rende disponibili in base ai ruoli per ciascun livello Tier e le modifica automaticamente a intervalli regolari. Gli amministratori interni ed esterni accedono ai sistemi di destinazione tramite le funzioni PAM di Syteca. Parallelamente, la piattaforma registra ogni sessione privilegiata e la arricchisce con dati contestuali. Syteca inoltra poi i metadati raccolti al fornitore SOC tramite Syslog. Nasce così un ciclo di controllo continuo che unisce gestione degli accessi, monitoraggio e rilevamento. Tale ciclo copre sul piano tecnico misure chiave dello standard minimo TIC.
Perché Syteca per lo standard minimo TIC?
Integrare il PAM in modo fluido nel modello Tiered Admin
Controlli tecnici e prove per lo standard minimo TIC
Il ruolo di TECHWAY GmbH
TECHWAY GmbH ha accompagnato Lamprecht dall’analisi dei requisiti secondo lo standard minimo TIC fino alla progettazione e alla messa in esercizio di Syteca. L’analisi comprendeva anche il confronto tra diversi produttori. Al centro del progetto vi era l’allineamento dell’architettura PAM al nuovo modello Tiered Admin. Insieme ai responsabili della sicurezza delle informazioni e dell’esercizio IT, TECHWAY ha definito ruoli e autorizzazioni per ciascun livello Tier. Ha inoltre configurato la rotazione automatica delle password e integrato amministratori interni e fornitori esterni nel percorso di accesso controllato. Parallelamente, ha implementato l’inoltro dei metadati di Syteca al fornitore SOC tramite Syslog. Le attività privilegiate confluiscono così senza soluzione di continuità nel monitoraggio di sicurezza esistente. Le misure non sono quindi state soltanto implementate sul piano tecnico, ma anche ancorate sul piano organizzativo nel concetto di sicurezza di Lamprecht.
Conclusioni
Con Syteca, Lamprecht applica tecnicamente il modello Tiered Admin e protegge efficacemente gli account privilegiati dagli abusi interni. La rotazione automatica delle password, gli accessi controllati per amministratori interni ed esterni e il monitoraggio completo delle azioni degli utenti attuano misure chiave dello standard minimo TIC. Grazie al collegamento Syslog, inoltre, le attività privilegiate entrano a far parte del monitoraggio continuo della sicurezza svolto dal fornitore SOC. Lamprecht dispone così di una base solida per trasparenza, controllo e verificabilità nella gestione degli accessi privilegiati. Questa base potrà evolvere di pari passo con i futuri requisiti normativi.
FAQ
Che cos’è lo standard minimo TIC e che cosa raccomanda per gli accessi privilegiati?
Lo standard minimo TIC è una raccomandazione della Confederazione per migliorare la resilienza TIC. Elaborato dall’Approvvigionamento economico del Paese, è oggi curato dall’Ufficio federale della cibersicurezza (UFCS). Si basa sul NIST Cybersecurity Framework e si rivolge in particolare ai gestori di infrastrutture critiche. Tuttavia, si presta come quadro di riferimento per qualsiasi impresa. Per gli accessi privilegiati sono rilevanti la gestione di autorizzazioni e credenziali (PR.AC-1), il privilegio minimo e la separazione dei compiti (PR.AC-4). Si aggiungono le registrazioni di audit e log (PR.PT-1) e il monitoraggio di collaboratori e fornitori esterni (DE.CM-3, DE.CM-6). Syteca attua tecnicamente queste misure e ne rende dimostrabile l’applicazione, ad esempio nei confronti di auditor interni ed esterni.
Che cos’è un modello Tiered Admin e come Syteca ne supporta l’applicazione?
Un modello Tiered Admin separa gli account amministrativi per livello di sistema. Di norma, il Tier 0 comprende l’infrastruttura delle identità, il Tier 1 server e applicazioni, il Tier 2 i client. Le credenziali privilegiate di un livello superiore non vengono mai utilizzate sui sistemi di un livello inferiore. In questo modo, gli aggressori non possono carpirle su tali sistemi e sfruttarle per estendere i propri privilegi. Syteca rende disponibili a ciascun amministratore solo gli account previsti per il suo ruolo e il suo livello. Inoltre, rende tracciabile ogni sessione privilegiata.
In che modo la rotazione automatica delle password protegge dagli attacchi interni?
Le password statiche degli account privilegiati sono spesso note a più persone e restano valide a lungo. Ciò vale anche dopo un cambiamento di ruolo o la conclusione di un mandato di servizio. Syteca modifica queste password automaticamente secondo una pianificazione, su comando oppure, facoltativamente, dopo ogni restituzione di una password prelevata. Se inoltre le credenziali vengono inserite al momento della connessione, gli amministratori non devono nemmeno conoscerle. Di conseguenza, l’abuso di credenziali divenute note risulta molto più difficile.
Come confluiscono nel SOC i dati raccolti da Syteca?
Syteca inoltra metadati delle sessioni, allarmi e voci del log di audit alle piattaforme SIEM e SOC tramite Syslog. Utilizza i formati standard CEF o LEEF e, su richiesta, la cifratura TLS. Il fornitore SOC può così correlare le attività privilegiate con altre fonti di eventi e valutare più rapidamente le anomalie. Inoltre, il link al Session Player incluso nei messaggi permette di verificare le segnalazioni direttamente nel contesto della rispettiva sessione.
Il monitoraggio delle sessioni privilegiate è compatibile con la LPD riveduta?
In linea di principio sì, purché sia configurato correttamente. Il monitoraggio serve infatti alla sicurezza delle informazioni e riguarda in modo mirato le attività privilegiate sui sistemi critici. Non riguarda invece il comportamento generale dei collaboratori. Sono determinanti uno scopo chiaramente definito, la trasparenza nei confronti delle persone interessate, un’impostazione proporzionata e un accesso rigorosamente limitato alle registrazioni. Syteca supporta questi requisiti, tra l’altro, con autorizzazioni basate sui ruoli e con il mascheramento dei dati sensibili nelle registrazioni.