Sostenibilità della cybersecurity significa avere una visione olistica della gestione dei rischi associati agli attacchi informatici. È un dato di fatto che le vulnerabilità della sicurezza hanno un forte impatto sulla continuità operativa delle imprese. I cyberattacchi possono arrivare ad avere ricadute a cascata che possono compromettere la stabilità delle comunità e dei governi. Nel momento in cui le reti degli operatori delle Utilities, delle Telco, del Banking o della Sanità vengono compromesse, la gravità delle interruzioni di servizio o il furto dei dati può essere drammatica. Tuttavia, ci sono altri aspetti legati relativi alla sostenibilità della cybersecurity associati alla corporate responsibility. Che si tratti di collaboratori, dipendenti e clienti, tutti gli utenti devono poter accedere a sistemi ed applicazioni con vincoli di accesso e modalità di utilizzo con policy quanto più possibile intuitive e rapide per non creare stress. Di seguito alcune best practice da seguire.
Spostare in maniera più strategica il focus della sicurezza
Fino a ieri la sicurezza informatica veniva considerata un add on rispetto alla progettazione dei sistemi informativi. L’esplosione del world wide web e la trasformazione digitale del business hanno insegnato alle aziende a guardare alla protezione di dati e applicazioni in modo diverso. Tuttavia, per diversi motivi culturali ed economici, sono ancora poche le aziende che impostano la sicurezza partendo da un approccio nativo. Come sottolineano gli esperti, invece di lavorare alla protezione di ogni singolo computer o sistema, le imprese dovrebbero focalizzarsi sulla protezione delle risorse critiche, ovvero quelle senza cui l’organizzazione non può andare avanti. Così, in caso di violazione, le perdite possono essere ridotte al minimo.
Una polizza assicurativa non è una best practice
Per gestire i rischi informatici le organizzazioni da qualche anno si affidano a varie formule assicurative. Il problema è che nei tribunali i verdetti tendono a pronunciarsi a favore degli assicurati. Di conseguenza, gli assicuratori tendono a restringere l’ambito della copertura delle polizze informatiche. In ogni caso, una polizza assicurative non sostituisce le best practice di una gestione funzionale ed efficiente. Come ribadiscono da tempo i manager HSE, l’approccio compensativo e risarcitorio non è né risolutivo né strategico.
Attenzione al trinomio Safety, Security e Cybersecurity
Dalla progressiva informatizzazione delle aziende alla rivoluzione digitale scatenata dalla pandemia, oltre ai CISO anche gli HSE Manager sono dovuti scendere in prima linea su più fronti. Il tradizionale binomio Safety&Security si è trasformato in un trinomio, includendo tutto l’ecosistema della cybersecurity che impone agli HSE Manager processi di valutazione più olistici rispetto agli ambiti della sorveglianza e della protezione di persone, cose e asset digitali. Dalla gestione dei dati personali alla salvaguardia dei cittadini, tra privacy, normative e compliance, la sicurezza oggi richiede approcci e visioni differenti.
Per proteggere persone, prodotti e processi, oltre alle buone regole di comportamento e di equipaggiamento in base alla pericolosità degli ambienti, le aziende oggi non usano solo sistemi sensorizzati di telecontrollo, antintrusione, antieffrazione. Strumenti e sistemi di protezione aiutano le organizzazioni a contrastare tutte le derive del cybercrime che colpiscono gli utenti in azienda oppure in mobilità, a casa come in automobile, in treno o a piedi.
Presidiare la sicurezza fisica, ambientale e digitale
Chi presta attenzione alla sicurezza digitale ma non controlla gli ambienti fisici in modo coerente, non sarà mai al sicuro. Per questo motivo, le organizzazioni più lungimiranti stanno progettando una convergenza della sicurezza fisica e logica, lavorando su persone, processi e diversi set di tecnologie. L’obiettivo? Condividere le informazioni e migliorare la sicurezza e l’efficienza complessiva di ciascuna organizzazione per una sostenibilità della cybersecurity. Per garantirne la disponibilità continua:
- a livello fisico: apparecchiature e strutture necessitano di una sorveglianza attenta, di una manutenzione regolare e di adeguati controlli ambientali.
- a livello logico: sistemi, applicazioni e informazioni necessitano di politiche di sicurezza, di accesso e di controllo, di analisi e di protezione diversificati.
La raccolta dei requisiti, le revisioni periodiche dell’architettura fisica e digitale, la garanzia della qualità e i controlli degli accessi assicurano che un sistema e le sue applicazioni siano adeguatamente protetti. Scrivere la policy di sicurezza è solo il primo passo. La politica deve poi essere convertita in standard, procedure e linee guida di attuazione tecnica.
Intensificare la collaborazione tra CISO e HSE manager
Gestire la sicurezza aziendale presuppone una capacità di presidio bimodale: on line e off line. Serve un approccio a “3°”: Olistico, Organizzato e Operativo. L’operatività richiede aggiornamenti continui rispetto alla sofisticazione delle minacce e all’evoluzione delle contromisure di protezione associate allo sviluppo di tecnologie di contrasto sempre più mirate e performanti. Le imprese devono anche attuare strategie di monitoraggio e controllo includendo il risk management pre e post evento disastroso. In sintesi, gli HSE Manager fungono da focal point, lavorando con i CISO, il CdA, le HR e gli addetti al facility management, i team di esperti legali ed enti certificatori, il garante della Privacy e le autorità preposte.
Cybersecurity e sostenibilità: come e perché serve un cambio di prospettiva
La pressione del consiglio di amministrazione e degli stakeholder sulla governance ambientale, sociale e aziendale (ESG), tende a concentrarsi sull’ambiente e sulla giustizia sociale, mentre la sicurezza informatica è lasciata alle autorità di regolamentazione e al settore assicurativo da affrontare. Un quadro standard per la misurazione del rischio informatico aiuterebbe le organizzazioni e le autorità di regolamentazione a comprenderlo e gestirlo come parte della loro strategia ESG.
Cosa significa sostenibilità della cybersecurity
La sostenibilità consiste nell’utilizzare le risorse in un modo da evitare di esaurirle per soddisfare strategicamente i bisogni dell’oggi, in vista anche dei bisogni del domani. La sostenibilità ambientale, ad esempio, mira a preservare le risorse naturali, come l’acqua, le foreste e la fertilità dei terreni, in modo che le generazioni future possano a loro volta prosperare.
La sostenibilità nella cybersecurity si raggiunge quando si dedicano tempo, attenzione e capitali per mitigare i rischi, minimizzare i costi e massimizzare l’efficacia delle procedure intraprese oggi e domani. Per mettere in pratica questi obiettivi, gli aspetti di sostenibilità devono essere calati in quelli che sono i tre pilastri della sicurezza: persone, processi e tecnologia.
#1 Sostenibilità della cybersecurity e persone
La maggior parte delle aziende richiede una formazione annuale sulla consapevolezza della sicurezza come parte dei propri programmi di conformità e gestione del rischio. Quello che succede nella maggioranza dei casi è che su questo aspetto le organizzazioni fanno il minimo indispensabile: ad esempio richiedere ai dipendenti di visualizzare passivamente brevi video informativi. Questi esercizi di controllo difficilmente riescono a coinvolgere le persone in modo attivo e significativo.
La sostenibilità della cybersecurity richiede un cambio di prospettiva e di comportamento delle persone per generare un ROI continuo. È fondamentale spiegare agli utenti la gravità del rischio informatico e l’importante ruolo che ognuno di loro può svolgere per arginarlo. Fornendo alle persone le giuste competenze per riconoscere potenziali minacce e gli strumenti per segnalarle, i leader della sicurezza possono contare su nuove risorse sul campo. Una forza lavoro impegnata e istruita, infatti, è la prima linea di una sicurezza informatica sostenibile.
#2 Sostenibilità della cybersecurity e processi
I processi sono il collante che lega le persone alle tecnologie. Le organizzazioni in genere codificano i processi di sicurezza tramite politiche documentate, avvalendosi dell’ausilio di automatismi che spesso richiedono l’intervento umano. Il caso più emblematico sono le politiche delle password che, com’è noto, possono creare frustrazione negli utenti e risorse IT nel risolvere le password dimenticate con un impatto sulla sostenibilità della cybersecurity.
Un processo di ripristino rigoroso e macchinoso, che richiede uno sforzo eccessivo di utenti clienti, diventa rapidamente costoso e difficile da sostenere. Quando un utente aziendale tenta due volte di accedere ad un account ma non riesce e il sistema lo blocca automaticamente, è necessario chiamare il personale dell’help desk e gestire i tempi di attesa finché un agente si renda disponibile per reimpostare l’account.
Questo è un processo inefficiente e insostenibile che brucia tempo, energia e attenzione, probabilmente senza ridurre proporzionalmente il rischio informatico. Un processo migliore può ridurre l’attrito e migliorare la sostenibilità della cybersecurity. Invece di bloccare un utente dopo due accessi non riusciti, ad esempio, ci sono più opzioni di processo in base al rischio come, ad esempio:
- aumentare la soglia a cinque
- implementare l’analisi del comportamento e dell’entità dell’utente sul back-end per tenere sotto controllo più da vicino ciò che l’utente sta facendo
- bloccare l’account se l’utente esegue attività rischiose, atipiche o non autorizzate
È possibile alleggerire ulteriormente l’onere dell’help desk automatizzando la reimpostazione della password per gli account a basso rischio. Il risultato finale: maggiore produttività degli utenti, tempi di attesa ridotti per l’help desk e minor burnout degli agenti. Sempre e comunque, i CISO devono sviluppare una serie di processi per mantenere, formare, testare e gestire i rischi aziendali e per garantire che i sistemi ridondanti e il personale alternativo siano disponibili se e quando necessario.
#3 Sostenibilità della cybersecurity e tecnologia
Gli esseri umani sono molto più intelligenti dei computer, ma i computer sono molto più bravi in tutte le attività ripetitive e ad alta richiesta di tempo. Pertanto, l’uso di SIM e SIEM che integrano il monitoraggio, l’applicazione, la risposta, la misurazione e il reporting dei controlli di sicurezza sono tutti candidati ideali per l’automazione.
Ma attenzione: la sostenibilità della sicurezza informatica a volte si sovrappone alla sostenibilità ambientale, soprattutto quando si tratta della scelta di determinate tecnologie. I controlli tecnologici creano efficienza e fanno risparmiare tempo, ma funzionano attraverso consumi ed emissioni. Quindi attenzione a gestire bene gli inventari per non ridondare inutilmente i carichi di lavoro. Rispetto alle best practice legate a una sostenibilità della cybersecurity i punti di attenzione devono essere declinati sui seguenti 6 domini.
- Rete: usare determinate tecnologie applicata alle reti la rende più intelligenti. Network security significa proteggere informazioni e applicazioni archiviate o in transito da insider non autorizzati e dai cybercriminali ragionando ben oltre il perimetro aziendale.
- Database: crittografa i campi di database sensibili, idealmente con uno strumento coordinato a livello aziendale. È necessario mantenere controlli rigorosi sui database attivando il monitoraggio delle attività, la gestione degli accesi e delle vulnerabilità, l’uso degli strumenti di crittografia quando necessario.
- Sistemi e applicazioni: mappare, monitorare e securitizzare sistemi e applicazioni prevede anche di presidiare costantemente aggiornamenti e gestire con attenzione le patch. Per ridurre le superficie di attacco alle applicazioni Web è importante implementare tecnologie di analisi del codice sorgente e un Web Application Firewall di ultima generazione.
- Endpoint: proteggere la prima linea di difesa. Gli endpoint includono desktop, laptop e dispositivi mobili ma anche stampanti, totem e lavagne interattive, tavoli intelligenti e smart mirror. I sistemi endpoint senza patch vengono infettati e introducono malware negli ambienti di lavoro. Distribuire tecnologie come antivirus, antispam, crittografia del disco, gestione della configurazione, firewall/IPS e autenticazione avanzata aiutano a proteggere i collegamenti in rete più vulnerabili.
- Messaggistica e contenuti: I CISO devono garantire che le informazioni sensibili siano crittografate e che il traffico Web, e-mail e IM in entrata e in uscita sia filtrato in base alla conformità con le politiche aziendali.
- Crittografia dei dati: la semplice crittografia dei dati non fornirà una protezione adeguata. Una strategia di crittografia a livello aziendale con criteri di autorizzazione rigorosi è la chiave per mantenere la sicurezza dei dati, indipendentemente dal fatto che i dati siano inattivi, in uso o in transito.
Anche i partner tecnologici devono essere sostenibili
Un altro modo importante per supportare la sostenibilità della cybersecurity è di collaborare con fornitori a loro volta sostenibili, che dimostrano di avere direttive ESG. Nel caso dei fornitori di cloud, ad esempio, i candidati più virtuosi sono quelli che alimentano i loro data center con energia rinnovabile.
Nel caso dei vendor, la scelta dovrebbe orientarsi vero le aziende che riciclano in modo responsabile server, laptop e altri dispositivi quando raggiungono la fine del loro ciclo di vita. Ci sono poi dei punti di attenzione ESG anche a livello di servizio. Ad esempio, scegliere come partner i fornitori che supportano il diritto alla riparazione, soprattutto quando si tratta di batterie. Per i dispositivi alimentati a batteria, inclusi laptop, tablet, telefoni e dispositivi IoT, la batteria è spesso la prima cosa che si guasta o si consuma.
Se un intero dispositivo deve essere scartato solo a causa di una batteria esaurita, un’enorme quantità di buona tecnologia ancora funzionante va sprecata. I provider che consentono alle organizzazioni di sostituire le batterie usurate e riparare piccoli problemi nell’hardware supportano la sostenibilità, portando risparmi anche alle aziende loro clienti.
Adottare un approccio dall’alto verso il basso
La sicurezza è un’attività complicata, ma agli utenti deve risultare un’attività semplificata. Invece di focalizzarsi sulla valutazione dei prodotti offerti dai vendor le aziende devono valutare il valore di ogni prodotto su persone, processi e il resto delle tecnologie utilizzate in azienda. Il che significa avere in mente una lista di esigenze e di requisiti che i vendor devono rispettare.
Identificare e segnalare le vulnerabilità in base alla definizione delle priorità è fondamentale non solo per tenere traccia del proprio rendimento e valutare l’efficacia del proprio programma di sicurezza. Triangolando persone, processi e tecnologie finalizzati a potenziare la sostenibilità della cybersecurity, le organizzazioni possono dotarsi di una cabina di regia importante che le aiuta a monitorare, misurare e ricevere segnalazioni efficaci e funzionali preservando la salute degli ambienti e delle persone che interagiscono con dati, applicazioni e infrastrutture.
