Lo statunitense National Institute of Standards and Technology (NIST) ha reso pubblico, lo scorso 21 dicembre 2006, un white paper dal titolo "Managing Enterprise Risk in Today’s World of Sophisticated Threats: A Framework for Developing Broad-Based, Cost-Effective Information Security Programs (pdf, 208 K)" a cura di Ron Ross. Il documento descrive in maniera sintetica il NIST Risk Management Framework, con i relativi standard e guideline, utile per la definizione e realizzazione di un security program aziendale completo e coerente. Il documento si sofferma in particolare sulla gestione della sicurezza delle infrastrutture critiche le cui problematiche specifiche nascono dagli aspetti relativi alla loro complessità e connettività.

Indice del documento

• Getting a handle on the problem
• Establishing a comprehensive information security program
• The risk management framework
• The fundamental concepts used in the framework
• Establishing Security Categories for Information Systems
• Minimum Security Requirements for Information Systems
• Tailoring the Baseline Security Controls to Support Operational Requirements
• Supplementing the Tailored Baseline
• Implementing Security Controls and Determining Control Effectiveness
• Putting it all together
• Appendix A: Definitions of Potential Impact for Confidentiality, Integrity, and Availability
• Appendix B: Minimum Security Requirements for Information and Information Systems
• Appendix C: The Golden Rules for Effective Information Security
• Appendix D: References

IsacaRoma Newsletter link

Altri articoli di Alain De Cristofaris:

• NSA: Security Configuration Guide
• NIST: nuova edizione dei "Recommended Security Controls"
• Privacy: maggiori garanzie sul posto di lavoro
• IBM: convegno sul Capability Maturity Model Integration (CMMI)
• SANS: Top twenty degli attacchi in Internet
  
• NIST: Information Security Handbook: A Guide for Managers (parte prima, seconda e terza)
• Intervista a Giampaolo Scafuro, vicepresidente di IISFA, musicista, organizzatore di "SecurPizza"
• Security Manager: il curriculum perfetto
• Security Manager: il curriculum perfetto – parte seconda
• Sicurezza e Compliance: quando il gioco si fa duro