Negli ultimi anni, le molteplici compromissioni da attacchi persistenti e i numerosi incidenti di sicurezza informatica aziendale hanno fatto emergere come le tradizionali misure di security non siano più sufficienti a proteggere le organizzazioni.
Secondo The State of Email Security Report 2020 di Mimecast, il 31% delle organizzazioni ha subito una perdita di dati a causa della mancanza di preparazione alla resilienza informatica. Questa capacità, invece, è fondamentale poiché aiuta un’organizzazione nella protezione dai rischi informatici, nella difesa e limitazione della gravità degli attacchi e a garantire la propria sopravvivenza nonostante un attacco cyber.
Infatti, non sempre le aziende sanno organizzare correttamente persone, processi e mezzi nell’ottica di una strategia che punti alla resilienza. Analizziamo, quindi, quali devono essere i passi più appropriati e le azioni per avere una corretta cyber resilience.
Indice degli argomenti
La resilienza come base della sicurezza informatica aziendale
Nonostante i crescenti rischi per la sicurezza informatica aziendale, estesi anche in funzione dello smart working, molte imprese sono ancora impreparate. Secondo l’ultimo rapporto del Ponemon Institute “The State of Email Security Report 2020” nel 2019, solo il 49% dei leader aziendali si dichiarava dotato della capacità di rilevare una minaccia alla sicurezza informatica aziendale e contenerla.
Lo sviluppo della resilienza informatica non è limitato all’adozione dei soli strumenti di risposta agli incidenti.
Infatti, il problema non sembra essere solo tecnologico, ma è anche relativo alle persone, tanto che spazia dal divario di competenze alla resistenza interna, dall’organizzazione ai processi. Possono essere “forza lavoro” o “risorse” se e solo se si abbattono gli ostacoli che impediscono di organizzare correttamente le persone, i processi e la tecnologia al fine di concepire una solida strategia di resilienza informatica in azienda.
Secondo la definizione del MITRE (un’organizzazione senza scopo di lucro che opera nell’interesse pubblico dei governi federali, statali e locali, dell’industria e del mondo accademico), la resilienza cibernetica è “la capacità di anticipare, resistere, riprendersi e adattarsi a condizioni avverse, stress, attacchi o compromissione delle risorse informatiche”.
Queste ultime sono tutte le risorse gestibili separatamente nel cyber spazio, comprese le informazioni in formato elettronico, nonché sistemi informativi, sistemi di sistemi, infrastrutture di rete, servizi condivisi e dispositivi (definizione di risorse informatiche dal NIST SP 800-39).
I vantaggi di un approccio resiliente risiedono nella riduzione di perdite finanziarie, protezione del marchio e della reputazione aziendale, nella soddisfazione dei requisiti legali e normativi (NIS, Network and Information Systems e GDPR, General Data Protection Regulation) e nel miglioramento della cultura e dei processi interni aziendali.
La strategia da perseguire
Per implementare una valida strategia di cyber security volta alla resilienza, il NIST CF (National Institute of Standards – Cybersecurity Framework) indica cinque principali pillar:
- Identificare le risorse, i sistemi e dati critici.
- Proteggere quanto identificato e specialmente dati e asset di infrastrutture critiche.
- Rilevare eventi anomali e sospette violazioni o fughe di dati prima che si verifichino danni gravi mediante monitoraggio continuo.
- Rispondere a una violazione o un errore della sicurezza rilevati che richiede attuazione dei piani e delle procedure di incidenti end-to-end.
- Ripristinare tempestivamente le funzionalità o i servizi interessati dalla compromissione della sicurezza informatica aziendale
In aggiunta ai cinque pillar che definiscono una strategia di base, è ulteriormente necessario:
- Estendere a tutta l’azienda la cultura alla sicurezza informatica e alla resilienza divulgando la politica della sicurezza informatica aziendale, le procedure e le prassi, favorendo collaborazione e condivisione delle informazioni in favore della Cyber hygiene e della prevenzione.
- Formare, educare e far crescere i talenti della sicurezza per mantenerne skill e motivazione.
- Coinvolgere i membri del board con strumenti di analisi di rischio e valutazioni di impatti per verificare la situational awareness e le politiche di sicurezza almeno una volta al mese. Ciò al fine di controllare il livello di robustezza dell’intera organizzazione e della sua postura alla sicurezza con l’obiettivo di rispondere e gestire qualsiasi minaccia in ottica resiliente.
Sicurezza informatica aziendale: passare all’azione
Per passare all’azione, sempre seguendo le indicazioni del NIST CF, e in particolare la Special Publication 800-160, Volume 2 che include quattordici tecniche per migliorare la resilienza informatica, è necessario anzitutto effettuare un assessment interno per identificare, valutare e gestire i rischi associati alla rete e ai sistemi informativi, compresi quelli lungo la catena di fornitura, individuando la migliore protezione delle informazioni e dei sistemi da attacchi informatici, errori di sistema e accessi non autorizzati al fine di ridurre i rischi identificati.
Come seconda azione di un programma di resilienza informatica è necessario introdurre il monitoraggio continuo della rete e dei sistemi informativi per rilevare anomalie e potenziali incidenti di sicurezza informatica aziendale prima che possano causare danni significativi.
Il monitoraggio dovrebbe poter essere effettuato verso l’interno, mediante valutazione delle vulnerabilità e controlli degli apparati anche IoT interni, introducendo sistemi di correlazione degli eventi di sicurezza. Inoltre, dovrebbe esser svolto al di fuori dell’organizzazione mediante implementazione di sistemi di threat intelligence capaci di sondare la rete in OSINT, Deep e Dark Web, per cercare tracce e indizi di intenzioni di attacco finalizzati all’allertamento e alla predisposizione di azioni preventive di difesa.
Nella terza fase, l’implementazione di un programma di gestione della risposta agli incidenti e di misure per garantire la continuità aziendale potrà supportare la continuità operativa anche durante l’eventuale occorrenza di un attacco informatico, permettendo il ritorno alla normalità nel modo più rapido ed efficiente possibile.
Affinché queste azioni siano sempre allineate alle strategie aziendali e siano visibili dai board decisionali, come componente ultima della strategia di resilienza, è opportuno introdurre dashboard di controllo, anche un centro unico di controllo cyber, ma soprattutto indicatori di tenuta sotto controllo e KPI che possano essere supervisionati dai vertici dell’organizzazione e integrati con il business.
In questo modo la sicurezza informatica aziendale e la sua gestione rimarrà allineata agli obiettivi di business e ai budget di investimento, mentre la governance dell’azienda potrà essere considerata finalmente omnicomprensiva includendo nel modo corretto e commisurato la sicurezza informatica aziendale.
Contributo editoriale sviluppato in collaborazione con Cerbeyra
