Un cybercrime sempre più efficace e parallelamente aziende che, per competere nel nuovo mercato digitale, si sono aperte a IoT, mobility, cloud e vedono i propri ambienti aziendali evolvere con rapidità e diventare più complessi ed eterogenei. Dato questo scenario, quali suggerimenti per impostare una strategia di sicurezza IT efficace ed evitare gli errori più diffusi? Ecco una serie di indicazioni secondo Aldo Di Mattia, Principal System Engineer – Team Leader Centre/South Italy, Fortinet.
Who's Who
Aldo Di Mattia
1) Sul fronte tecnologico è fondamentale tenere presente il concetto di security by design: “L’evoluzione delle tecnologie porta moltissime opportunità alle aziende, ma se non si include la sicurezza in ogni prodotto e progetto innovativo, dalla fase di ideazione a quella di realizzazione, la digital transformation porta con sé una crescita esponenziale dei rischi”, dice Di Mattia; tentare di integrare la security a posteriori con interventi ad hoc, aggiunge, “nel migliore delle ipotesi risolve solo in parte le criticità, nella peggiore può essere un’azione – se gestita velocemente, senza riflettere attentamente – che introduce altre vulnerabilità”. Al concetto del “by design” va affiancato quello di sicurezza “omnicomprensiva” (a cui già abbiamo dedicato un approfondimento): per riuscire ad armonizzare ambienti aziendali complessi ed eterogenei è necessario evitare silos e soluzioni male integrate tra loro; serve una governance completa e centralizzata sui sistemi da proteggere e su tutte le tecnologie di security.
2) Sul fronte normativo si deve cogliere l’opportunità che offre il Gdpr di ripensare il proprio approccio alla sicurezza (anche in termini proprio di security by design), ma è importante che la riflessione non si limiti solo ai dati personali: “Il Gdpr dev’essere l’occasione di andare oltre il perimetro dei dati personali per mettere in sicurezza tutta l’azienda, tutti i dati sensibili, finanziari, legati alla proprietà intellettuale, al core business ecc.; questo spesso non accade, nonostante questo approccio più completo non richieda tendenzialmente investimenti maggiori in termini economici [è possibile sfruttare le stesse tecnologie sia per la protezione dei dati personali che non – ndr]”. Non aiuta da questo punto di vista, sottolinea Di Mattia, che in molte imprese il capitolo Gdpr venga trattato dal Dpo (Data Protection Office) e da un team che si occupa solo della normativa, senza che questi abbiano alcuna responsabilità della sicurezza dell’azienda nel suo complesso.
3) Sul fronte degli skill, infine, Di Mattia sottolinea l’importanza di dotarsi di figure tecniche preparate e assicurare loro una formazione continua per restare al passo con le evoluzioni delle minacce e di un cybercrime “che dispone di attaccanti esperti, con una preparazione altissima e che investe costantemente in ricerca e sviluppo”; non solo: è utile che “i team di sicurezza rispondano direttamente al Ceo perché si generi un interesse maggiore nei vertici e vengano allocati budget adeguati”.
Fortinet supporta le aziende nel far fronte a queste sfide attraverso un impegno consulenziale che si sta sempre più rafforzando (oggi in Fortinet Italia ci sono 16 persone dedicate a supportare i clienti finali nei loro percorsi, guidandoli e facendo formazione, in affiancamento ai partner) e attraverso il suo Fabric, un sistema di sicurezza omnicomprensivo dove tutte le soluzioni di sicurezza si scambiano informazioni sulle minacce rilevate, così da mantenere ogni componente di sicurezza costantemente aggiornata: “La condivisione delle informazioni e gli automatismi previsti dal Fabric sgravano i responsabili della sicurezza da molte azioni che dovrebbero altrimenti essere svolte in modo manuale”; in ambienti aziendali complessi, eterogenei e in costante evoluzione, questo supporto riveste un ruolo essenziale. Sottolinea infine Di Mattia: “Il Fortinet Security Fabric, grazie a questi automatismi e a questo modello di condivisione, rappresenta senza alcun dubbio lo state of the art della sicurezza”.
