WithSecure Co-Monitoring Service – Rilevamento delle minacce 24 ore su 24, 7 giorni su 7, risposta agli incidenti, componente aggiuntivo EDR

Cosa comprende il servizio di co-monitoraggio di WithSecure?

Monitoraggio dei rilevamenti 24 ore su 24, 7 giorni su 7 – WithSecure monitora costantemente i rilevamenti ad alto rischio provenienti da Elements EDR.
Opzione fuori orario – Il monitoraggio può coprire solo le ore serali, i fine settimana e i giorni festivi.
Convalida umana delle minacce – Gli analisti confermano se un rilevamento corrisponde a un incidente reale.
Escalation a un referente designato – Gli incidenti confermati vengono inoltrati alle persone autorizzate ad agire.
Indicazioni per la risoluzione – Consigli quali l’isolamento degli host o l’arresto dei processi dannosi.
Importante – WithSecure fornisce istruzioni, ma non esegue azioni di risposta.

Quali sono i principali vantaggi del servizio di co-monitoraggio WithSecure?

Il servizio WithSecure Co-Monitoring è un’estensione di WithSecure Elements EDR in cui il team di rilevamento e risposta del fornitore esamina i rilevamenti di rischio grave e indica al personale come gestirli. Viene fornito tramite la console cloud di Elements già in uso, dal fornitore precedentemente noto come F-Secure Business.

Copertura notturna senza necessità di assumere personale – Colma il vuoto quando non c’è nessuno in turno.
Meno falsi allarmi – Gli analisti risolvono i falsi positivi prima che vi raggiungano.
Risposta più rapida agli incidenti – Un verdetto convalidato elimina la prima ora di congetture.
Team di assistenza europeo – Il team di rilevamento e risposta opera all’interno dell’Europa.
Escalation compatibile con gli MSP – Gli attacchi confermati possono essere inoltrati al vostro fornitore di servizi.
Percorso verso la risposta agli incidenti – I casi possono essere inoltrati ai servizi di risposta agli incidenti di WithSecure.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove si ferma la protezione di base degli endpoint e perché sono necessari, in aggiunta, il rilevamento e la revisione umana.

Per aziende di quali dimensioni è adatto il servizio di co-monitoraggio di WithSecure?

Il fattore decisivo non è il numero di dipendenti, ma se all’interno della vostra organizzazione c’è qualcuno che monitora i rilevamenti alle tre del mattino. Le aziende che già utilizzano Elements EDR ma non dispongono di turni di lavoro sono i destinatari ideali.

Il servizio di co-monitoraggio di WithSecure soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione previsto dalla legge riveduta sulla sicurezza dell’informazione si applica ai gestori di infrastrutture critiche, non a tutte le aziende svizzere; pertanto, la maggior parte delle PMI non ne è direttamente interessata. Le organizzazioni interessate devono segnalare un attacco informatico all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla scoperta. La parte difficile di tale scadenza è proprio la scoperta stessa: un conto alla rovescia che inizia il venerdì sera termina prima del lunedì, e il servizio Co-Monitoring affronta proprio questo problema facendo sì che un analista esamini i rilevamenti a rischio elevato durante la notte e nei fine settimana e inoltri un incidente confermato a un referente designato. Ciò che il servizio non fa è presentare la segnalazione, redigerne il contenuto o valutare se la vostra organizzazione rientri o meno nell’ambito di applicazione dell’obbligo. Inoltre, non rileva nulla al di fuori della portata dell’agente Elements EDR, pertanto le apparecchiature di rete, i sistemi OT e le piattaforme SaaS rimangono non monitorati. Il presente testo descrive le funzionalità del prodotto e non costituisce una consulenza legale; se avete bisogno di certezze in merito ai vostri obblighi, fatevalli valutare da un avvocato qualificato.

Il servizio WithSecure Co-Monitoring soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto rende un’organizzazione conforme alla direttiva NIS 2, poiché la direttiva riguarda la governance, i processi documentati e la responsabilità del management almeno quanto la tecnologia. La NIS 2 richiede misure relative all’analisi dei rischi e alle politiche di sicurezza, alla gestione degli incidenti, alla continuità operativa e al backup, alla sicurezza della catena di fornitura, alla gestione delle vulnerabilità, alla “cyber igiene” e alla formazione, alla crittografia e al controllo degli accessi, compresa l’autenticazione a più fattori. Il Co-Monitoring contribuisce direttamente a una sola di queste categorie, ovvero la gestione degli incidenti, fornendo una revisione continua dei rilevamenti, un giudizio umano sul fatto che un evento costituisca un vero e proprio incidente e un percorso di escalation documentato verso una persona responsabile. Non apporta alcun contributo al backup e alla continuità operativa, alla gestione delle vulnerabilità, alla formazione del personale, alla crittografia, al controllo degli accessi o alla governance dei fornitori, né produce il registro degli incidenti o i testi di notifica previsti dalla direttiva. Consideratelo come una componente all’interno di un processo di gestione degli incidenti che deve comunque essere documentato e gestito internamente.

La perdita di dati è costosa: in che modo i backup aiutano a evitare le interruzioni di servizio.
Tratta gli aspetti relativi al backup e alla continuità operativa che un servizio di monitoraggio non affronta, compreso il costo effettivo di un’interruzione di servizio.

Il servizio di co-monitoraggio di WithSecure è d’aiuto per i questionari sulla sicurezza dei grandi clienti?

Sì, per una serie ristretta ma frequente di domande. Fornisce una risposta sostenibile in merito al monitoraggio degli avvisi di sicurezza al di fuori dell’orario di lavoro, alla verifica da parte di personale qualificato anziché tramite regole automatizzate, all’esistenza di un percorso di escalation definito verso un responsabile designato e alla disponibilità di competenze in materia di risposta agli incidenti. Non risponde invece a nessuna delle domande relative ai test di penetrazione, alla gestione delle patch e delle vulnerabilità, ai test di backup e ripristino, alla crittografia dei dispositivi, al controllo degli accessi e all’autenticazione a più fattori, alla formazione sulla consapevolezza della sicurezza o al proprio stato di certificazione. Inoltre, non genera direttamente i documenti probatori, pertanto i report da allegare provengono comunque dalla console di Elements e dai propri registri. Se un questionario dovesse richiedere azioni di risposta documentate e un tempo di risposta contrattuale anziché un monitoraggio consultivo, la soluzione più economica consiste solitamente nel passare, all’interno della stessa famiglia di prodotti, a WithSecure Elements MDR piuttosto che aggiungere un secondo fornitore accanto al proprio EDR esistente.

Qual è la differenza tra il Co-Monitoring e WithSecure Elements MDR?

La differenza fondamentale sta in chi interviene sul sistema. Con il Co-Monitoring, WithSecure conduce le indagini e poi vi fornisce le istruzioni, il che significa che qualcuno da parte vostra deve essere reperibile e autorizzato ad agire in base a tali istruzioni a qualsiasi ora. Con Elements MDR, il team di rilevamento e risposta esegue il contenimento per conto vostro, e WithSecure garantisce un tempo di risposta supportato da SLA di 60 minuti nel 90% dei casi. Il Co-Monitoring può anche essere acquistato solo come copertura fuori orario, il che è adatto a un team che monitora la propria console durante la giornata lavorativa.

Quali limitazioni è necessario conoscere prima dell'acquisto?

Si tratta di un componente aggiuntivo, non di un prodotto autonomo: senza WithSecure Elements Endpoint Detection and Response come base, gli analisti non hanno nulla da monitorare. Il suo campo di applicazione è limitato ai rilevamenti generati dall'agente EDR di Elements, pertanto un dispositivo privo dell'agente, un firewall, un sistema di controllo industriale o un servizio cloud di terze parti non produce alcun segnale su cui il servizio possa intervenire. L’ambito del servizio riguarda i rilevamenti di rischio grave piuttosto che ogni singolo evento, il che riduce il rumore di fondo ma significa che i risultati di bassa gravità rimangono di competenza del proprio team. Poiché WithSecure fornisce consigli anziché intervenire, il valore del servizio crolla se al momento dell’escalation non c’è nessuno raggiungibile e autorizzato ad agire; pertanto, il servizio di reperibilità è un prerequisito e non un’opzione aggiuntiva. Nella documentazione del fornitore non sono state riscontrate restrizioni di disponibilità relative a paesi specifici, e il team di rilevamento e risposta è descritto come operante in Europa, il che è rilevante se la sede di trattamento dei dati rientra nei vostri criteri di approvvigionamento.

Domande frequenti sul servizio di co-monitoraggio di WithSecure

È possibile limitare il servizio alle ore al di fuori dell’orario d’ufficio?

Sì. WithSecure offre il monitoraggio 24 ore su 24 oppure solo al di fuori dell’orario di ufficio; pertanto, un team che monitora i propri rilevamenti durante la giornata lavorativa può acquistare la copertura solo per la sera, la notte e i fine settimana.

Funziona anche se il nostro ambiente è gestito da un fornitore di servizi IT?

Sì. Gli attacchi confermati vengono segnalati al partner che gestisce l’ambiente o a un referente di reperibilità presso il cliente; per questo motivo i fornitori di servizi lo utilizzano per estendere la propria copertura senza dover ricorrere a personale per il turno notturno.

Cosa succede se un incidente è di entità superiore a quella che il servizio è in grado di gestire?

Il servizio può essere esteso in modo che un caso venga trasferito ai servizi di risposta agli incidenti di WithSecure. Tale trasferimento costituisce un incarico separato, tramite un contratto di assistenza o su richiesta, e non è incluso nel monitoraggio stesso.