Charles Denyer ha lavorato per il Dipartimento della Difesa e per 17 agenzie di intelligence statunitensi e internazionali, sia direttamente che in qualità di consulente, per gran parte della sua carriera professionale.
Ecco perché nutre scetticismo nei confronti delle recenti direttive federali dell’ che impongono alle agenzie statunitensi di correggere immediatamente le vulnerabilità software note, come il recente attacco hacker a Log4j. Le direttive prevedono che l'applicazione delle patch avvenga nel giro di poche settimane o mesi.
Denyer, che fornisce consulenza ai dirigenti aziendali in materia di sicurezza informatica, pratiche di “cyber igiene” e questioni di conformità, afferma che le agenzie federali “sono più difficili [rispetto alle imprese private] da correggere e gestire”. «Il processo di approvazione degli strumenti e delle soluzioni di sicurezza, così come quello di implementazione, è estremamente lento e burocratico.»
A peggiorare la situazione, le agenzie federali stanno attraversando una fase di fuga di cervelli nel settore della sicurezza informatica, perdendo personale qualificato a favore di ruoli meglio retribuiti nel settore privato. (Secondo una stima, 36.000 posti di lavoro nel settore della sicurezza informatica nel settore pubblico rimangono vacanti, di cui 1.700 solo presso il Dipartimento per la Sicurezza Interna.) Ciò significa un numero inferiore di esperti in grado di gestire la complessa infrastruttura di rete del governo e gli strumenti e i sistemi legacy, spesso obsoleti e . Da anni ormai gli organismi di controllo assegnano voti insufficienti a questi sistemi.
«Non sono sicuro che i vertici comprendano il problema», afferma Nichoel Brooks, direttore del settore dei servizi federali presso la società di consulenza Optiv Security ed ex colonnello dell’Esercito degli Stati Uniti che ha guidato il processo di modernizzazione dei servizi di intelligence. «Tutto si riduce alla capacità di visualizzare quel problema. «Il risultato, per le agenzie federali, è un numero insufficiente di persone per portare a termine tutto il lavoro, anche nelle circostanze più favorevoli».
Mentre le agenzie riorganizzano le proprie strategie di assunzione e snelliscono i propri stack tecnologici, possono adottare fin da subito tre misure di “cyber igiene” per ottenere una maggiore visibilità e proteggere le proprie reti.
1. Si assicuri di poter monitorare ed eseguire la scansione dell’intero ambiente IT
Ogni agenzia federale è unica. Tuttavia, tutte presentano lo stesso tallone d’Achille: un ambiente IT eterogeneo, composto da sistemi nuovi e obsoleti, distribuiti tra piattaforme on-premise e basate sul cloud. Inoltre, con il massiccio passaggio al lavoro da casa, si è assistito a un proliferare di endpoint non gestiti. Ciò, a sua volta, ha compromesso la visibilità della rete. Dopotutto, è impossibile gestire e proteggere ciò che le organizzazioni non riescono a vedere.
«Le agenzie federali [dispongono] di un numero insufficiente di personale per portare a termine tutto il lavoro, anche nelle circostanze più favorevoli.»Nichoel Brooks, ex colonnello dell’Esercito degli Stati Uniti e direttore del servizio federale presso Optiv Security
E molti professionisti della sicurezza informatica e dell’IT stanno procedendo alla cieca. Circa il 75% dei responsabili IT intervistati da PwC nell’ambito del suo rapporto “ ” ( 2022 Global Digital Trust Insights Survey ) segnala un’eccessiva complessità delle proprie tecnologie, dei dati e degli ambienti operativi, che ostacola la loro capacità di monitorare le reti in tempo reale. Un contesto complesso e poco trasparente ostacola gli sforzi dell’agenzia nel rispetto delle direttive federali.
La scansione in tempo reale delle reti e degli endpoint, e di conseguenza un miglioramento dei sistemi di rilevamento delle minacce alla sicurezza, richiede ben più che semplici risorse umane incaricate di monitorare gli avvisi. «Nessun essere umano è in grado di farlo», afferma Andrew Plato, pioniere nel settore della sicurezza da 25 anni e direttore del reparto di servizi professionali ( CEO ) presso la società Zenaciti. «È un compito assolutamente impossibile, sia per una sola persona che per un centinaio.» «È al di là delle capacità cognitive degli esseri umani».
L’integrazione dell’automazione e dell’intelligenza artificiale nel monitoraggio “ ” può rivelarsi utile: grazie a un software in grado di individuare modelli di comportamento anomali, e non solo le firme esistenti di attacchi e vulnerabilità noti, è possibile avvisare il personale del centro operativo di sicurezza dell’organizzazione.
«È necessario implementare tecnologie e sistemi di automazione in grado di effettuare scansioni in tempo reale e fornire risultati di rilevamento, in modo che il personale possa poi riesaminare il materiale», spiega Plato. Ciò richiede comunque un numero sufficiente di persone disposte a rispondere all’appello, il che significa che le agenzie federali devono impegnarsi a formare, trattenere e premiare il personale.
2. Consolidare i dati in piattaforme ed ecosistemi
I sistemi legacy si basano su un numero eccessivo di soluzioni puntuali isolate tra loro. Non sempre collaborano efficacemente né condividono la stessa visione della rete.
“La proliferazione incontrollata degli strumenti” affligge le organizzazioni. In un sondaggio, il 55% dei responsabili delle decisioni in ambito IT ha dichiarato di utilizzare 20 o più strumenti tra sicurezza e operazioni, mentre il 70% ha affermato che tali strumenti non sono pienamente integrati. Una profusione di soluzioni puntuali , tra loro debolmente integrate , comporta costi e complessità aggiuntivi che finiscono per ostacolare la capacità di un’organizzazione di Detect e di reagire alle violazioni.
Le organizzazioni devono unificare le operazioni fondamentali del team e le capacità di sicurezza all’interno di un’unica piattaforma. Questa piattaforma deve offrire a ogni membro del team la stessa visione completa e in tempo reale del proprio ambiente e ampliare le proprie funzionalità attraverso un ecosistema di soluzioni ottimizzate che interagiscono efficacemente tra loro.
Una norma federale, la “ : Managing Information Security” ( Risk , NIST SP 800-39), richiede “un programma integrato a livello organizzativo per la gestione dei rischi per la sicurezza delle informazioni che gravano sulle operazioni organizzative… sui beni dell’organizzazione, sulle persone, su altre organizzazioni e sulla nazione, derivanti dal funzionamento e dall’uso dei sistemi informativi federali”. Una gestione efficace del rischio, si afferma, richiede un approccio di ampio respiro, che tenga conto di tre livelli di rischio: la missione e le strategie di un’organizzazione, i suoi processi aziendali e i suoi singoli sistemi informatici.
Consolidando i propri strumenti specializzati in piattaforme e creando ecosistemi interoperabili, i team possono ridurre il numero di strumenti necessari, con conseguente diminuzione dei costi, della complessità e dei rischi. Possono inoltre ridurre il numero di interfacce utilizzate per le loro funzioni di sicurezza e ridurre al minimo la complessità, i costi generali e gli attriti tra i team che devono collaborare per garantire la sicurezza dell’organizzazione. In questo modo, creano un’unica fonte completa e attendibile di informazioni sulla propria rete, migliorano l’utilizzo e l’efficacia dei propri strumenti e aumentano il ritorno sugli investimenti.
3. Integrare l’approccio “zero trust” nell’intera infrastruttura IT
Infine, le organizzazioni devono attuare una strategia “zero-trust” , che rappresenta forse l’aspetto più complesso delle direttive federali. "Il modello Zero Trust non è solo una tecnologia", afferma Platone di Zenaciti. «Non si può prendere un’architettura obsoleta e applicarvi il modello “zero trust” a tutti i costi: si finisce per mandare tutto all’aria», afferma. «Non è certo qualcosa che la squadra meglio retribuita dell’ Google e riuscirà a fare in 90 giorni.»
«Non si può prendere un’architettura obsoleta e applicarvi il modello “zero trust” a tutti i costi: si finisce per mandare tutto all’aria.»Andrew Plato, CEO, Zenaciti
Il modello "zero trust" rappresenta un'architettura completamente nuova e un nuovo approccio alla gestione dell'infrastruttura IT. «Non basta semplicemente acquistare un prodotto zero-trust», afferma Plato. È necessario integrare tale approccio in ogni ambito, il tutto in un contesto in cui le agenzie non sempre collaborano in modo efficace e insistono nell’utilizzare «i propri integratori di sistemi e le proprie piattaforme».
La maggior parte delle organizzazioni che eccellono nell’approccio “zero trust” finiscono per rendersi conto che non si tratta di uno stato di perfezione. La sicurezza è piuttosto una meta. È un processo. È un obiettivo a cui aspirare.
Ma è un obiettivo che il governo può raggiungere. «Il motivo per cui ritengo che il decreto esecutivo abbia ottime possibilità di essere varato è che rientra in gran parte nell’ambito di loro competenza», afferma Eric Noonan, CEO di CyberSheath Services ed ex CISO di BAE Systems. «Non si tratta di una novità giuridica.»
Noonan afferma che le direttive potrebbero non essere attuate entro i tempi previsti dall’amministrazione. Al contrario, «sono tutte volte a portare avanti la questione», afferma.
In definitiva, le agenzie che agiscono con urgenza per mettere in atto i sistemi e le strategie adeguati riusciranno molto meglio a tenere lontani i malintenzionati dai sistemi e dai dati governativi sensibili.
