Procedura operativa standard (SOP) dei protocolli di sicurezza del sito Web WordPress

Misure di sicurezza da considerare quando si gestisce un sito Web WordPress

Nel tuo costante impegno per salvaguardare le risorse digitali e migliorare la sicurezza del sito web, stiamo implementando protocolli di sicurezza completi per la gestione del sito web WordPress. Queste misure sono progettate per proteggere dall'accesso non autorizzato e garantire che il tuo team aderisca alle migliori pratiche in materia di sicurezza digitale.

Introduzione all'autenticazione a due fattori (2FA)

Il protocollo di sicurezza fondamentale è l'uso obbligatorio dell'autenticazione a due fattori (2FA). Questo ulteriore livello di sicurezza garantisce che l'accesso al backend di WordPress sia strettamente controllato e accessibile solo al personale autorizzato. La richiesta di un secondo modulo di verifica può ridurre significativamente il rischio di accesso non autorizzato.

Niente più password nei browser

Per proteggere ulteriormente l'ambiente digitale, è necessario applicare una politica contro il salvataggio delle password del browser. Sebbene conveniente, questa pratica rappresenta un rischio per la sicurezza. Sarebbe meglio incoraggiare l'utilizzo di gestori di password sicuri per archiviare le password, migliorando la sicurezza e la comodità senza compromessi.

Connessioni Web sicure obbligatorie

Riconoscendo le vulnerabilità associate alle connessioni Internet pubbliche, dovresti richiedere a tutti i membri del team di utilizzare connessioni web sicure durante la gestione dei tuoi siti WordPress. Ciò significa utilizzare VPN ed evitare a tutti i costi le reti Wi-Fi pubbliche. Qualsiasi deviazione da questa politica sarà affrontata con severe azioni disciplinari per mantenere i tuoi elevati standard di sicurezza.

Documentazione dettagliata del sito web

Ogni membro del team manterrà un documento dettagliato per ogni sito WordPress che gestisce. Questo documento includerà un elenco completo dei plugin installati, degli utenti attuali e un registro delle scansioni mensili manuali, tra le altre informazioni critiche. Questa iniziativa mira a mantenere la trasparenza e facilitare una gestione efficiente dei tuoi siti web.

Installazione e gestione dei plugin

Nel tuo impegno a mantenere un ambiente WordPress sicuro, l'installazione di nuovi plugin o la rimozione di quelli esistenti richiederà ora un'espressa autorizzazione scritta. Questo criterio impedisce modifiche non autorizzate che potrebbero introdurre vulnerabilità. I plug-in di file manager, noti per i loro rischi per la sicurezza, sono severamente vietati.

Impegnarsi per la sicurezza

Questi miglioramenti del protocollo di gestione dei siti Web WordPress riflettono il tuo impegno incrollabile per la sicurezza. Implementando queste misure, puoi mirare a proteggere i tuoi beni digitali e l'integrità delle informazioni affidate a te, ai tuoi clienti o ai membri del tuo team.

Tenete presente che l'adattamento a questi cambiamenti può richiedere un periodo di adattamento. Tuttavia, i vantaggi a lungo termine, come una maggiore sicurezza, una migliore conformità e un'infrastruttura digitale più solida, superano di gran lunga gli inconvenienti iniziali.

Abbiamo creato una procedura operativa standard (SOP) per il modello di protocolli di sicurezza del sito Web WordPress per te scarica qui in formato PDF .

Di seguito abbiamo anche elencato se si desidera copiare e incollare.

---

Procedura operativa standard (SOP) per i protocolli di sicurezza dei siti Web WordPress

Controllo dei documenti

• Versione: 1.0
• Dattero: 04/08/2024
• Proprietario del documento:
• Approvazione:

Scopo

Questa SOP delinea i protocolli di sicurezza per la gestione dei siti Web WordPress per proteggerli da accessi non autorizzati e potenziali minacce alla sicurezza. L'obiettivo principale è abilitare l'autenticazione a due fattori (2FA) e impedire che le password vengano salvate nei browser.

Portata

Questa procedura si applica a tutti i membri del personale che gestiscono, mantengono o accedono al back-end del sito Web WordPress.

Responsabilità

• Amministratori del sito web: Responsabile dell'applicazione dei protocolli di sicurezza.
• Team di sicurezza informatica: Fornisce supporto e supervisione nell'attuazione delle misure di sicurezza.
• Tutti gli utenti: Rispetta i protocolli di sicurezza.

Procedimento

1. Autenticazione a due fattori (2FA)
   
   • Implementazione:
     1. Install and activate a 2FA plugin, such as “Two Factor Authentication” or “Wordfence Security”.
     2. Vai alle impostazioni del plug-in e abilita la 2FA per tutti i ruoli utente.
     3. Scegli il metodo 2FA preferito (ad es. e-mail, SMS, app di autenticazione) e configuralo di conseguenza.
   • Registrazione utente:
     1. Informare tutti gli utenti sui requisiti 2FA attraverso una comunicazione ufficiale.
     2. Fornisci una guida passo passo o una sessione di formazione sulla configurazione della 2FA.
     3. Imposta una scadenza per tutti gli utenti per abilitare la 2FA sui propri account.
   • Monitoraggio della conformità:
     1. Controlla regolarmente gli account utente per assicurarti che la 2FA sia abilitata.
     2. Risolvi tempestivamente eventuali problemi di conformità o difficoltà degli utenti.
2. Nessuna password salvata nei browser
   
   • Istruzioni:
     1. Educare gli utenti sui rischi del salvataggio delle password nei browser.
     2. Incoraggia l'uso di un gestore di password sicuro per archiviare le password.
     3. Implementare soluzioni tecniche per bloccare il salvataggio delle password nei browser, se possibile.
   • Conformità:
     1. Condurre audit periodici per garantire la conformità a questa politica.
     2. Fornisci supporto e alternative agli utenti per una gestione sicura delle password.

Ulteriori best practice

• Aggiornamenti regolari: Assicurati che il core, i temi e i plugin di WordPress siano aggiornati regolarmente.
• Password complesse: Imporre l'uso di password complesse per tutti gli account.
• Limita i tentativi di accesso: Installa un plug-in per limitare i tentativi di accesso e bloccare gli indirizzi IP dopo ripetuti tentativi falliti.
• Gestione dei ruoli utente: Assegnare le autorizzazioni minime necessarie agli utenti per svolgere le proprie mansioni.
• Certificato SSL: Utilizza un certificato SSL per crittografare i dati trasmessi da e verso il tuo sito web.
• Backup del sito web: Pianifica backup regolari del tuo sito web e archiviali in modo sicuro.
• Audit di sicurezza: Condurre audit periodici di sicurezza e test di penetrazione per identificare e risolvere le vulnerabilità.

Requisito di documentazione del sito web

• Dichiarazione sulla politica: Ogni membro del team è tenuto a mantenere un documento dettagliato per ogni sito WordPress che gestisce. Questo documento funge da record completo che include, a titolo esemplificativo ma non esaustivo, le seguenti informazioni:
  • Plugin: Un elenco di tutti i plugin installati, il loro scopo e la data dell'ultimo aggiornamento. Questa sezione dovrebbe anche indicare eventuali personalizzazioni o impostazioni specifiche rilevanti per il funzionamento del plugin.
  • Utenti attuali: Un elenco aggiornato di tutti gli utenti con accesso al backend di WordPress, inclusi i loro ruoli e la data in cui sono stati aggiunti. Dovrebbero essere condotti controlli regolari per garantire che solo gli utenti autorizzati abbiano accesso.
  • Misure di sicurezza: Eventuali misure di sicurezza specifiche implementate sul sito, comprese le configurazioni 2FA, i certificati SSL e le regole del firewall personalizzate.
  • Scansioni mensili manuali: Un registro delle scansioni mensili manuali condotte utilizzando Immunify o uno strumento simile, inclusa la data della scansione e qualsiasi risultato o azione intrapresa di conseguenza.
  • Registro delle modifiche: Un registro dettagliato delle modifiche di eventuali aggiornamenti, modifiche o azioni significative intraprese sul sito, inclusa la data e la persona responsabile.

Installazione e gestione dei plugin

• Dichiarazione sulla politica: In nessun caso alcun membro del team installerà, aggiornerà o rimuoverà i plug-in senza l'espressa autorizzazione scritta di un'autorità designata all'interno dell'organizzazione. Questo criterio è in vigore per impedire modifiche non autorizzate che potrebbero compromettere la sicurezza o la funzionalità del sito.
  
  • Processo di eccezione: Le richieste di installazione o aggiornamento dei plug-in devono essere presentate per iscritto all'autorità designata, includendo una giustificazione della richiesta e una valutazione di eventuali implicazioni per la sicurezza.
  • Plugin vietati: L'utilizzo di plug-in di file manager o di qualsiasi plug-in noto per presentare vulnerabilità di sicurezza è severamente vietato. Ciò include, a titolo esemplificativo ma non esaustivo, i plug-in che consentono la manipolazione diretta dei file all'interno della dashboard di WordPress.

Conformità e applicazione

• Monitoraggio e audit: Verifiche periodiche garantiranno la conformità a questa SOP. Ciò include la revisione della documentazione del sito Web per verificarne la completezza, la verifica dell'autorizzazione dei plug-in installati e la garanzia che le scansioni manuali vengano eseguite come richiesto.
• Non conformità: Eventuali deviazioni da questa SOP saranno affrontate immediatamente. Il mancato rispetto può comportare azioni disciplinari, tra cui la revoca dei privilegi di accesso al sito Web e la potenziale cessazione del rapporto di lavoro.

Formazione e sensibilizzazione

• Formazione regolare: Tutti i membri del team riceveranno una formazione regolare su questa SOP, inclusa l'importanza della sicurezza nella gestione del sito Web, il processo per le richieste di installazione dei plug-in e come condurre scansioni manuali efficaci.
• Sensibilizzazione: Le campagne di sensibilizzazione in corso rafforzeranno l'importanza di seguire i protocolli di sicurezza e di conservare una documentazione dettagliata delle attività di gestione del sito web.

Requisito di connessione Web sicura

Dichiarazione politica

Per garantire il massimo livello di sicurezza e proteggersi da accessi non autorizzati e potenziali violazioni della sicurezza, tutti i membri del team devono accedere al backend di WordPress o condurre qualsiasi attività di gestione del sito Web tramite una connessione web sicura. Le connessioni Internet pubbliche, che sono intrinsecamente insicure e vulnerabili all'intercettazione, sono severamente vietate.

Linee guida per la connessione sicura

• Uso VPN: Quando accedono al sito Web da remoto, gli utenti devono utilizzare una rete privata virtuale (VPN) per garantire che la loro connessione sia sicura e crittografata. Il reparto IT può fornire consigli per i servizi VPN approvati.
• Sicurezza Wi-Fi: Per coloro che accedono al sito da casa o da reti private, assicurarsi che la rete Wi-Fi sia protetta con crittografia WPA2 o WPA3 e che la password di rete sia forte e univoca.
• Divieto di rete pubblica: In nessun caso un membro del team deve utilizzare una rete Wi-Fi pubblica (ad esempio, caffetterie, biblioteche, hotel) per accedere alla dashboard di WordPress, eseguire aggiornamenti o gestire i contenuti. Ciò include il tethering tramite reti Wi-Fi pubbliche.

Conformità e applicazione

• Monitoraggio e rilevamento: Il team di sicurezza IT implementerà soluzioni di monitoraggio per rilevare e avvisare di eventuali tentativi di accesso agli strumenti di gestione del sito Web da reti non sicure o pubbliche.
• Azioni disciplinari: Qualsiasi membro del team che violi questa politica dovrà affrontare un'azione disciplinare immediata, fino alla cessazione del rapporto di lavoro. Questa applicazione rigorosa è necessaria per proteggere l'integrità e la sicurezza dei nostri asset digitali.

Responsabilità dell'utente e reportistica

• Responsabilità personale: Tutti gli utenti sono personalmente responsabili di garantire la sicurezza della loro connessione web durante l'accesso al backend del sito web. L'ignoranza della politica o le sfide tecniche non saranno considerate scuse valide per la mancata conformità.
• Segnalazione degli incidenti: Gli utenti sono incoraggiati a segnalare incidenti in cui i protocolli di connessione Web sicura potrebbero essere stati violati, intenzionalmente o meno. La segnalazione tempestiva può aiutare a mitigare i potenziali rischi per la sicurezza.

Formazione e sensibilizzazione

• Formazione continua: L'organizzazione fornirà formazione e risorse continue a tutti i membri del team sulla sicurezza della connessione Internet, sui rischi associati alle reti pubbliche e su come utilizzare le VPN in modo efficace.
• Campagne di sensibilizzazione alla sicurezza: Regular awareness campaigns will be conducted to reinforce this policy’s importance and keep all team members updated on best practices for maintaining a secure web connection.

---