Metodologia Octave

La metodologia Octave (Operationally Critical Threat, Asset and Vulnerability Evaluation) è una delle principali metodologie di analisi del rischio utilizzate attualmente.

Oggigiorno proteggere i sistemi informatici ed essere in grado di conoscere i principali pericoli che essi corrono è senza dubbio diventata una priorità. Le politiche di sicurezza (Security Policy) adottate a tal fine rappresentano l'insieme di regole e procedure che hanno come finalità la sicurezza di un sistema. Per un sistema informatico le security policy indirizzano infatti tutte quelle procedure finalizzate alla protezione dei dati, alla corretta gestione del flusso informativo per il personale autorizzato, alla restrizione di accessi al sistema dall'esterno.

Octave è un sistema di strategie basate sul rischio e di tecniche di pianificazione per la Sicurezza Interna Aziendale, realizzato dal CERT (Computer Emergency Response Team). È particolarmente indicato per tutte le aziende che desiderano conoscere fino in fondo quali siano i propri bisogni di sicurezza.

Le sue caratteristiche

Octave possiede alcune caratteristiche che lo rendono affidabile e allo stesso tempo utilizzabile con profitto dalla maggior parte delle aziende:

• Auto-Regolato:

è frutto della collaborazione tra manager esperti nel ramo degli affari e informatici della stessa azienda. Il gruppo, inoltre, sfrutta la conoscenza e l'esperienza di molti impiegati per definire lo stato della sicurezza, i rischi per i beni principali dell'azienda, e per pianificare quindi le dovute strategie;

• Flessibile:

può essere adattato alle esigenze di numerose aziende diverse;

• Diverso dalle tipiche Metodologie Concentrate sulla Tecnologia:

si focalizza sul rischio organizzativo e strategico e su argomenti di interesse pratico.

Le fasi di Octave

Octave agisce attraverso tre fasi:

Fase 1

• Tracciare profili delle minacce rivolte ai beni:

In questa fase, che riguarda l'azienda nella sua totalità, ci si propone di identificare gli "Asset" (le risorse, i beni) principali dell'azienda, le minacce a queste risorse e in che misura esse vadano protette. Si cerca anche di comprendere quali strategie di protezione l'azienda stia mettendo in atto al momento in cui quest'analisi viene compiuta, e quali siano i punti deboli di tali strategie.

Fase 2

• Identificare i punti Deboli delle Infrastrutture Informatiche:

Questa fase si configura come un esame delle Principali Componenti Operative dei Sistemi Informatici, per evidenziarne eventuali pericolose Debolezze.

Fase 3

• Sviluppare Piani e Strategie di Protezione:

In questa ultima fase vengono analizzati i Rischi. Le informazioni raccolte nelle due precedenti fasi sono analizzate per identificare quali siano gli effettivi Rischi per l'azienda, e per valutare l'impatto che tali rischi potrebbero avere sulla “mission” dell'azienda. Inoltre, vengono sviluppate delle Strategie di Protezione e dei Piani di Ammortizzamento nei confronti dei rischi più elevati.

Voci correlate

• Internet Security Policy

Collegamenti esterni

• (EN) CERT, su cert.org.