Vai al contenuto principale
Virtik

Firmataria del CISA Secure by Design Pledge

Secure by Design in Virtik

Virtik USA, Inc. è firmataria ufficiale del Secure by Design Pledge della U.S. Cybersecurity and Infrastructure Security Agency.

Il nostro impegno pubblico riflette un approccio tecnico e operativo incentrato su controlli di identità più solidi, architettura sicura, riduzione delle vulnerabilità, resilienza, trasparenza e miglioramento continuo.

Verifica su CISA.govArchitettura di sicurezza

Perché conta

Sicurezza decisa in fase di progettazione, non aggiunta dopo

Secure by Design chiede ai produttori di software di assumersi la responsabilità dei risultati di sicurezza dei clienti invece di scaricare il lavoro a valle. L'onere della sicurezza dovrebbe stare in capo al fornitore che può correggere un'intera classe di difetti una volta sola, non a ogni cliente costretto a configurare una soluzione di ripiego.

Qui conta più del solito. Virtik viene acquistata dalle persone responsabili della sicurezza fisica di aeroporti, utility, campus e sedi pubbliche. Una piattaforma di sicurezza che non sia essa stessa difendibile è un rischio con l'etichetta sbagliata, quindi la nostra postura deve reggere lo stesso esame che aiutiamo i nostri clienti ad applicare a tutto il resto.

Virtik utilizza i principi CISA Secure by Design come quadro di riferimento per rafforzare le proprie pratiche di cybersicurezza, l'architettura di prodotto e la postura di sicurezza operativa. Virtik si è impegnata pubblicamente a portare avanti gli obiettivi del CISA Secure by Design Pledge.

Aree di attenzione

Quattro ambiti che reggono il lavoro

Ciascuno è illustrato qui sotto con la formazione svolta e il suo contributo.

Cybersicurezza difensiva

Rilevare, analizzare e rispondere alle minacce, riducendo la probabilità che lo stesso incidente si ripeta.

5 corsi

Architettura Zero Trust

Mai fidarsi, verificare sempre: l'accesso viene autenticato, autorizzato e valutato di continuo anziché presunto dalla posizione in rete.

6 corsi

Governance degli asset critici

Individuare ciò che conta di più, valutarne il rischio e monitorarlo di continuo.

3 corsi

Sicurezza di infrastrutture e reti

L'esposizione wireless e di rete è una via d'ingresso frequente e si governa separatamente dalla sicurezza applicativa.

1 corso

Il pledge

A che cosa si è impegnata Virtik

Il pledge della CISA fissa sette obiettivi per i produttori di software.

  • Autenticazione a più fattori
  • Password predefinite
  • Riduzione di intere classi di vulnerabilità
  • Aggiornamenti di sicurezza
  • Politica di segnalazione delle vulnerabilità
  • CVE
  • Tracce di intrusioni

Il pledge è un impegno a dimostrare progressi misurabili verso questi obiettivi, non una dichiarazione che tutti e sette siano raggiunti. La descrizione autorevole di ciascun obiettivo è pubblicata dalla CISA; la pagina delle dichiarazioni di sostegno raccoglie le parole dei partecipanti stessi.

15 corsi completati

Formazione completata, per ambito

I nomi dei corsi sono riportati esattamente come rilasciati. Questa sezione descrive le competenze del team: per ciò che è attivo nel prodotto si veda la sezione successiva.

Cybersicurezza difensiva e gestione degli incidenti

La cybersicurezza difensiva e la gestione degli incidenti sono le parti di un programma di sicurezza che danno per scontato che prima o poi qualcosa passerà. La formazione qui sotto copre il ciclo dal primo indicatore al riesame post-incidente.

  • Cyber Defense Analyst — Incident Response

    • Comprendere il ciclo di vita di un incidente dal rilevamento alla risoluzione
    • Identificazione di minacce e incidenti
    • Coordinamento della risposta e delle comunicazioni
    • Analisi post-incidente per ridurre le recidive

  • Cyber Defense Analyst — Indicators of Compromise

    • Individuare i segnali di compromissione
    • Usare strumenti per rilevare gli Indicators of Compromise
    • Analisi dei registri eventi e delle firme malevole
    • Attuazione di misure correttive proattive

  • Cyber Defense Analyst — SIEM

    • Usare strumenti SIEM per la raccolta e l'analisi dei log
    • Aggregazione e correlazione degli eventi di sicurezza
    • Rilevamento in tempo reale delle attività sospette
    • Reportistica e allertamento per una migliore visibilità sulle minacce

  • Cyber Defense Analyst — Vulnerability Assessments

    • Comprendere le metodologie di valutazione delle vulnerabilità
    • Individuazione di vulnerabilità in sistemi e applicazioni
    • Uso di strumenti di scansione delle vulnerabilità
    • Raccomandare correzioni e applicare le buone pratiche

  • Cybersecurity Training for Defense of Internet-Accessible Systems

    • Protezione dei servizi accessibili dall'esterno
    • Simulazione e risposta agli attacchi in ambienti controllati
    • Attuazione di meccanismi difensivi avanzati

Zero Trust e architettura sicura

A differenza dei modelli perimetrali, Zero Trust presuppone che ogni tentativo di accesso debba essere autenticato, autorizzato e valutato di continuo. Ridurre la fiducia implicita restringe la superficie di attacco e limita quanto lontano può arrivare un'intrusione.

  • Zero Trust Basic Principles for Federal Agencies

  • Zero Trust Architecture: Choosing a Model Based on the Task

  • CyberStat Workshops — Pillar 1: Identity, Parts 1 and 2

  • CyberStat Workshops — Pillar 3: Networks

  • CyberStat Workshops — Pillar 4: Applications and Workloads

  • CyberStat Workshops — Pillar 5: Data

Competenze chiave acquisite

  • Rafforzare l'autenticazione a più fattori e la gestione degli accessi privilegiati
  • Concetti di micro-segmentazione per ridurre i movimenti laterali
  • Controllo degli accessi granulare e basato sul rischio
  • Concetti di cifratura per i dati in transito e a riposo
  • Monitoraggio continuo dell'attività applicativa

Che cosa apporta

  • Le pratiche Zero Trust possono ridurre la fiducia implicita, restringere le superfici di attacco e rafforzare la sicurezza di identità e dati.

Governance e gestione degli asset critici

  • Overview of High Value Assets (HVA)

  • A Leader's Approach to Assessment and Authorization (A&A)

  • CDM Dashboard: Auto-creation of API keys

Competenze chiave acquisite

  • Definizione e individuazione degli High Value Asset
  • Valutazione del rischio e dell'impatto potenziale
  • Sviluppo di strategie di protezione
  • Principi di gestione del rischio
  • Concetti di monitoraggio continuo e gestione automatizzata degli accessi

Che cosa apporta

  • Rafforzare la resilienza contro le minacce informatiche
  • Sostenere le attività di conformità in materia di cybersicurezza
  • Migliorare le capacità di gestione degli incidenti

Mettere in sicurezza infrastrutture e reti

  • Cyber Defense Infrastructure Support Specialist — Wi-Fi Security

Che cosa apporta

  • Sostenere una sicurezza Wi-Fi interna più solida
  • Ridurre il rischio di intrusioni wireless
  • Contribuire a pratiche di cybersicurezza più ampie

Formazione e prodotto

Che cosa è attivo, a differenza di ciò che è noto

Completare un corso su SIEM non significa che Virtik gestisca un SIEM. Completare workshop su Zero Trust non significa che ogni controllo Zero Trust sia attivo in produzione. Sono affermazioni diverse con evidenze diverse e le teniamo separate deliberatamente.

La sezione qui sopra riguarda le competenze del team. Qui sotto c'è l'elenco più breve dei controlli che sono proprietà della piattaforma in funzione. È breve di proposito: contiene solo ciò che regge quando chi valuta chiede di vederlo.

  • Isolamento tra clienti a livello di dati

    Gli accessi sono applicati nel database con la row-level security, non solo nell'interfaccia, così un difetto lato client non può diventare una fuga di dati tra clienti diversi.

  • Doppio controllo di ruolo e diritti

    Ciò che una persona può fare viene verificato due volte e in modo indipendente: rispetto al ruolo operativo e rispetto ai diritti commerciali della sua organizzazione.

  • Esecuzione dell'IA governata

    Le azioni dell'IA operano in modalità esplicite, con politiche per organizzazione, budget per utente applicati e un confine di autorizzazione degli strumenti definito per classe di rischio.

  • Azioni operative tracciate

    Le azioni con conseguenze vengono registrate come eventi verificabili, così il debriefing lavora sul registro e non sui ricordi.

  • Integrazioni delimitate e con credenziali proprie

    Le integrazioni ricevono credenziali per singola organizzazione e sono governate dallo stesso modello di diritti del resto della piattaforma.

  • Controlli di autenticazione

    L'autenticazione a più fattori è disponibile e le superfici amministrative sono separate da quelle operative, così l'uso quotidiano non richiede privilegi elevati.

Sono gli stessi controlli descritti nella pagina sull'architettura di sicurezza, enunciati una volta e qui richiamati anziché ripetuti con parole diverse.

Progressi misurabili e ciò che non stiamo ancora affermando

Il pledge chiede progressi dimostrabili. Pubblicare metriche di progresso prima di averle misurate ne tradirebbe il senso, quindi questa pagina non ne riporta. Ciò che possiamo dichiarare oggi è l'architettura già in essere, la formazione completata e il canale di segnalazione già aperto.

Virtik non possiede alcuna certificazione di sicurezza rilasciata da terzi. Non esiste un report SOC 2, né un certificato ISO 27001, né un'autorizzazione FedRAMP, e la pagina sulla conformità indica quali non sono possedute invece di lasciarlo intuire.

Già attivo

Un canale di segnalazione delle vulnerabilità è uno dei sette obiettivi del pledge ed è già attivo: chiunque può segnalare una vulnerabilità sospetta e vedere a che cosa ci impegniamo in cambio.

Segnala una vulnerabilitàTrust Center

Riferimenti

Fonti ufficiali e letture correlate

Lo stato di firmataria è verificabile presso la CISA. Nulla qui vi chiede di crederci sulla parola.

cisa.gov

Firmatari del Secure by Design Pledge

L'elenco della CISA delle organizzazioni che hanno firmato.

cisa.gov

Dichiarazioni di sostegno

Le dichiarazioni pubblicate dai partecipanti sull'iniziativa.

virtik.ai

Architettura di sicurezza

Dove risiedono i controlli nel sistema in funzione.

virtik.ai

Trust Center

Postura, governance e documentazione, compreso ciò che è in preparazione.

virtik.ai

IA responsabile

Come l'esecuzione dell'IA viene delimitata e attribuita.

virtik.ai

Segnalazione di vulnerabilità

Come segnalare un problema e a che cosa ci impegniamo.

State esaminando la postura di sicurezza di Virtik?

Questionari di sicurezza, revisioni dell'architettura e sessioni tecniche arrivano allo stesso punto. Avrete una risposta netta su ciò che è in essere e ciò che non lo è.

Contatta il team sicurezzaTrust Center