Nessuno può sapere quanto si intensificheranno le difficoltà che l’economia statunitense dovrà affrontare nel 2023. Il consenso generale tra gli economisti è che il Paese si stia avviando verso una recessione. Naturalmente, alcuni analisti hanno previsto un atterraggio morbido per gli Stati Uniti, ma non sono la maggioranza.
Sebbene gli economisti spesso si sbaglino nel prevedere le recessioni, all’inizio di questo mese un indicatore ben più affidabile ha chiaramente lanciato un segnale di allarme: la curva dei rendimenti, ovvero la differenza tra i rendimenti delle obbligazioni a lungo termine e quelle a breve termine. Il divario tra i rendimenti dei titoli di Stato a 10 anni e quelli con scadenza a tre mesi ha raggiunto il livello più elevato dal valore di 2000, segnalando che la crescita futura sarà molto più lenta rispetto a quella attuale.
Tutta questa incertezza mette i dirigenti in una situazione difficile. Devono mantenere la propria agilità — dovendo eventualmente far fronte a budget ridotti, anche nel campo della sicurezza informatica — mentre le pressioni normative e la criminalità informatica continuano ad aumentare. Un periodo di recessione rappresenta un momento difficile per ridurre le spese destinate alla sicurezza e un momento in cui è facile commettere errori che compromettono il livello di preparazione di un’organizzazione.
Per aiutare i CISO a prepararsi a qualsiasi evenienza nel corso del prossimo anno, , referente di , ha contattato alcuni esperti di sicurezza di lunga data che nel corso della loro carriera hanno vissuto in prima persona alti e bassi dell’economia, chiedendo loro quali siano gli errori che i dirigenti della sicurezza tendono a commettere nei periodi di crisi.
Di seguito sono riportati gli errori più comuni che hanno consigliato alle organizzazioni di evitare.
Errore n. 1: Riduzione involontaria delle funzioni di sicurezza
Quando si procede a tagli al personale IT, spesso anche le operazioni di sicurezza finiscono inutilmente nel mirino dei tagli. A farne le spese possono essere attività fondamentali quali l’esecuzione di backup periodici e la garanzia che il personale disponga delle risorse adeguate.
"Un gran numero di aziende include il budget destinato alla sicurezza nel bilancio IT e, in tal senso, alcuni aspetti della sicurezza subiranno delle ripercussioni", afferma Wim Remes, amministratore delegato di Damovo Security Services EMEA.
«È un grave errore procedere a tagli alla cieca e lasciare che siano le persone in prima linea a fare i conti con le conseguenze.»David Elfering, vicepresidente senior e specialista in sicurezza informatica presso Marsh
I tagli possono essere indiscriminati e mal mirati. "È un grave errore procedere a tagli alla cieca e lasciare che siano le persone in prima linea a far fronte alle conseguenze", avverte David Elfering, specialista in sicurezza informatica e vicepresidente senior di Marsh, società globale di intermediazione assicurativa e consulenza in materia di rischi.
Di fronte a tagli al personale e riorganizzazioni, i responsabili della sicurezza dovrebbero comprendere quali funzioni di sicurezza svolgano i dipendenti interessati e assicurarsi che tali funzioni continuino a essere svolte anche a seguito di eventuali cambiamenti.
Errore n. 2: continuare a investire in strumenti obsoleti
Gli investimenti nella sicurezza presentano spesso il peggior tipo di inerzia: gli strumenti obsoleti che non offrono più il valore di un tempo rimangono spesso in bilancio per anni sotto forma di licenze, abbonamenti e contratti di manutenzione ormai superati. Tra questi strumenti possono figurare vecchi scanner di vulnerabilità che sono stati sostituiti da servizi esterni o soluzioni di sicurezza puntuali fornite da suite più recenti.
Nella sua guida alla pianificazione della sicurezza e dei rischi “ 2023 ” (), la società globale di ricerche di mercato Forrester afferma che è sempre utile ridurre il ricorso a prodotti di sicurezza a funzione singola e agli strumenti legacy on-premises. Tale approccio risulta particolarmente prudente in un periodo di flessione del mercato. Forrester raccomanda alle organizzazioni di ridurre o addirittura evitare l’utilizzo di strumenti specifici quali la prevenzione della perdita di dati, l’analisi comportamentale degli utenti, i fornitori di servizi di sicurezza gestiti e altri controlli di sicurezza tradizionali.
Michael Farnum, direttore tecnico di Set Solutions, aggiunge che, quando i budget sono limitati, non è il momento opportuno per interrompere i rapporti con i fornitori. È invece un’ottima occasione per contattare i fornitori e capire in che modo le loro roadmap di prodotto si allineino alla vostra strategia. «Durante la recessione economica causata dalla pandemia, ho constatato che i fornitori si sono concentrati sulle attività di sviluppo e hanno iniziato a realizzare un numero maggiore di piattaforme», afferma. «Ciò rappresenta un’opportunità per i CISO di consolidare la propria infrastruttura di sicurezza.»
Errore n. 3: Mancata mitigazione delle minacce interne
A causa dell’aumento dell’inflazione, dell’incertezza economica e del crescente numero di licenziamenti, il rischio che i dipendenti si sentano insoddisfatti è maggiore. Infatti, le minacce interne provengono spesso da dipendenti che sono stati licenziati e desiderano vendicarsi.
“Durante le fasi di recessione, spesso si verificano licenziamenti; pertanto, è il momento opportuno per verificare: quando un dipendente lascia l’azienda, i suoi diritti di accesso vengono revocati ovunque?”John Pescatore, responsabile delle tendenze emergenti in materia di sicurezza presso il SANS Institute
A settembre, un amministratore informatico licenziato da una società di servizi finanziari con sede alle Hawaii si è dichiarato colpevole di aver compromesso illegalmente i sistemi del suo ex datore di lavoro per diversi giorni. Secondo il Dipartimento di Giustizia degli Stati Uniti, l’ex amministratore ha utilizzato le sue vecchie credenziali per accedere alle impostazioni di configurazione e impedire l’accesso al sito web e alla posta elettronica dell’azienda.
Minacce interne come queste possono verificarsi in qualsiasi momento, non solo durante le fasi di recessione economica, e possono causare danni incredibilmente gravi. Si considerino casi quali quello di Twitter , un dipendente condannato per aver accettato tangenti al fine di fornire informazioni riservate sugli utenti Twitter al Regno dell’Arabia Saudita, oppure quello dell’ex pilota di elicotteri dell’Esercito degli Stati Uniti e appaltatore civile che ha accettato tangenti dal governo cinese per fornire informazioni sulle aziende appaltatrici del settore della difesa presso cui lavorava.
La mitigazione delle minacce interne durante una fase di recessione dipende in larga misura dalla disponibilità di strumenti in grado di monitorare l’attività degli utenti e di revocare l’accesso qualora la situazione lavorativa dovesse cambiare. "Durante le fasi di recessione, spesso si verificano licenziamenti; pertanto, è opportuno verificare ora: quando un dipendente lascia l’azienda, gli viene revocato l’accesso a tutti i servizi di e, compresi la VPN, il cloud esterno e le app mobili?" chiede John Pescatore, direttore del settore delle tendenze emergenti in materia di sicurezza presso il SANS Institute.
Secondo gli esperti da noi intervistati, le organizzazioni devono inoltre rafforzare la propria capacità di Detect individuare attività anomale nei sistemi e monitorare il flusso di dati sensibili.
Errore n. 4: investire nelle ultime tendenze in materia di sicurezza trascurando al contempo i principi fondamentali della sicurezza
A causa delle risorse limitate, i responsabili della sicurezza cercano spesso di colmare le proprie lacune in materia di sicurezza ricorrendo alle ultime novità tecnologiche più accattivanti. «Durante una fase di recessione, i CISO e le organizzazioni rischiano di perdere di vista l’obiettivo», afferma Martin Fisher, direttore della sicurezza informatica e responsabile della sicurezza informatica presso il Northside Hospital di Atlanta.
«La verità è che, nell’ultimo quinquennio, la maggior parte delle aziende ha investito troppo poco nella sicurezza — e di gran lunga.»Wim Remes, amministratore delegato di Damovo Security Services EMEA
«Anziché concentrarsi sulle competenze chiave di cui il loro programma ha bisogno — che di solito sono elementari, noiose e poco accattivanti, ma fondamentali — in qualche modo ritengono di poter superare i problemi di bilancio puntando sulle “ultime novità di tendenza”», afferma Fisher. Ad esempio, implementano un nuovo pacchetto software open source dotato di una nuova funzionalità che apporta un certo valore aggiunto, ma poi dedicano meno tempo agli aspetti fondamentali, quali le esercitazioni teoriche o lo svolgimento di revisioni relative alla risposta agli incidenti nell’ambito dell’ . Fisher ritiene che i periodi di recessione siano spesso momenti in cui le organizzazioni si espongono involontariamente al rischio di prendere decisioni errate.
Pescatore, della SANS, sostiene che in contesti economici difficili sia necessario garantire che gli elementi fondamentali siano in atto. Oltre al monitoraggio dei comportamenti anomali della rete e alla gestione efficace dell’assegnazione e della revoca dell’accesso alle risorse, altre aree di interesse includono la sicurezza delle endpoint la sicurezza, la gestione delle configurazioni, la gestione delle vulnerabilità dei dispositivi e la gestione della superficie di attacco — tutte attività in grado di ridurre i rischi per un’organizzazione.
Errore n. 5: Perdere di vista la strategia di sicurezza
I responsabili della sicurezza sono spesso talmente concentrati a risolvere i problemi quotidiani da trascurare la strategia di sicurezza complessiva.
"Le organizzazioni commettono spesso il grave errore di non avere sempre un quadro chiaro delle proprie spese in materia di sicurezza", afferma Elfering di Marsh. «Non sanno dove finiscano i fondi, a cosa servano, né cosa sia essenziale e in linea con la strategia aziendale.»
È importante poter adeguare rapidamente il bilancio, poiché non si sa mai quando vi verrà chiesto di individuare soluzioni per migliorare. "Di cosa potete fare a meno?" chiede Elfering. «È una decisione che dovrebbe essere sempre pronto a prendere.»
Naturalmente, secondo Forrester, non si tratta solo di tagli, nemmeno in tempi di austerità. La società di ricerca raccomanda di aumentare gli investimenti nella sicurezza della catena di approvvigionamento, nel rilevamento endpoint, nella risposta agli incidenti e nella gestione della superficie di attacco.
Nel proprio rapporto, la società ha inoltre raccomandato alle organizzazioni di prestare particolare attenzione alla protezione delle aree a contatto con i clienti che generano ricavi e di assicurarsi di continuare ad aggiornare nel tempo il programma di sicurezza attraverso iniziative quali l’approccio “zero trust”.
In molte organizzazioni, la sicurezza non dovrebbe, a ragione, subire tagli. "Purtroppo, la realtà dei fatti è che negli ultimi cinque anni la maggior parte delle aziende ha investito troppo poco nella sicurezza — e di gran lunga", afferma Remes di Damovo Security Services EMEA. "Attualmente osserviamo aziende che, ad esempio, hanno registrato per diversi anni una spesa inferiore del 15% rispetto al previsto, e molte di esse stanno ora riducendo ulteriormente la propria spesa." Remes afferma che l’esito è relativamente prevedibile per queste sfortunate aziende: «Verranno vittime di un attacco informatico».
Sebbene sia improbabile che la spesa per la sicurezza subisca l’intero peso dei tagli di bilancio qualora dovesse verificarsi una recessione, i responsabili della sicurezza dovrebbero essere pronti a prendere alcune decisioni difficili. In definitiva, quando le aziende lesinano sulla sicurezza, trascurano un aspetto fondamentale che è essenziale per il loro successo futuro.
