SC21: proposta sul miglioramento del controllo dell'integrità del registro

CA/B Forum, l'autorità di regolamentazione del settore SSL, ha approvato la proposta SC21 sul miglioramento del controllo dell'integrità del registro con la maggioranza dei voti. L'obiettivo principale della proposta è finalizzare il documento "Network and Certificate System Security Requirements", approvato il 3 agosto 2012 ed entrato in vigore dal 1° gennaio 2013.

In particolare, gli esperti hanno consigliato di migliorare le funzionalità di monitoraggio automatico e costante delle reti e dei certificati dei sistemi. Nella maggior parte dei casi, le azioni manuali sono meno efficienti del monitoraggio automatico, oltre a richiedere un maggiore impiego di risorse.

La proposta SC21 introduce inoltre determinati requisiti per la gestione rapida delle notifiche ricevute dai sistemi di monitoraggio automatico. Ciò assicura che l'automazione non provochi la presenza di problemi potenziali non comunicati.

Ecco le nuove disposizioni, introdotte nella sezione 3 del documento "Network and Certificate System Security Requirements":

• 3.e. Il monitoraggio dell'integrità dei registri di sistema e dei registri delle applicazioni gestiti viene eseguito tramite controlli e notifiche costanti, oppure ricorrendo all'analisi manuale per assicurare l'efficacia delle registrazioni e il corretto funzionamento del monitoraggio dell'integrità dei registri. Se si ricorre alla verifica manuale e il sistema e collegato a Internet, la procedura deve essere svolta almeno ogni 31 giorni.
• 3.f. Monitoraggio dell'archiviazione dei registri per assicurarsi che tutti i registri vengano archiviati per un periodo sufficiente, conformemente alle prassi aziendali e alle normative legali in vigore.
• 3.g. Se si ricorre al monitoraggio e agli avvisi automatici per le finalità descritte nelle sezioni 1.h o 3.e dei presenti requisiti (https://cabforum.org/wp-content/uploads/CABForum-Network-Security-Controls-1.2.pdf), l'utente è tenuto a rispondere agli avvisi e a sviluppare un piano d'azione per un massimo di 24 ore.

Iscriviti alla nostra newsletter per conoscere le ultime novità del mondo dei certificati SSL e della sicurezza online.