Controllo 11: 

La configurazione iniziale di tutti i sistemi e dispositivi è svolta da personale esperto, responsabile per la configurazione sicura degli stessi. Le credenziali di accesso di default sono sempre sostituite.

Nel #controllo1 si è parlato dell’inventario degli asset aziendali. L’operazione di configurazione iniziale è strettamente collegata all’inventario e può essere facilitata dalla sua presenza. I principi del GDPR sulla privacy by design possono essere traslati alla sicurezza informatica e parlare dunque di cybersecurity by design, ossia pianificare la gestione delle difese informatiche fin dalla progettazione andando a difendere in modo adeguato tutti gli asset.

Entra in gioco in questa fase un consulente esperto di sicurezza informatica che, in accordo con il titolare del trattamento e con il tecnico che ricopre il ruolo di amministratore di sistema, possa accompagnare l’azienda in una gestione corretta e coerente basata sulle effettive necessità. Uno degli aspetti spesso trascurati, sia nella configurazione dei dispositivo di uso comune sia in quelli di rete (router, rete wifi e firewall in primis) è quello della modifica delle credenziali di accesso impostate di default. In rete infatti, sia nei manuali dei vendor che nei forum di “assistenza” è possibile trovare elenchi aggiornati delle password di default dei vari dispositivi, una vulnerabilità spesso utilizzata per accedere alle reti aziendali.

Senza parlare dei veri e propri archivi di password e configurazioni di dispositivi che si possono trovare senza troppa fatica (fonte: https://www.netspotapp.com/hardware/it/default-router-password/), dove è possibile rcuperare user e password dei principali router, firewall e AP, di seguito un esempio per alcuni modelli: