L'attacco informatico alla catena di approvvigionamento di SolarWinds nel 2020 è stato a dir poco grave. L’incidente ha portato alla divulgazione di dati sensibili relativi a 100 aziende dell’ , nonché ad agenzie governative, provocando un crollo delle azioni della società di gestione della rete. Ma ciò che colpì l’azienda in seguito fu altrettanto preoccupante — e personale.
Gli investitori, rappresentati d , hanno citato in giudizio , nonché gli ex e attuali membri del consiglio di amministrazione di novembre 2021, sostenendo che essi non avessero adeguatamente monitorato i rischi legati alla sicurezza informatica che hanno portato all’attacco hacker.
La causa legale ha rappresentato un campanello d’allarme per i membri del consiglio di amministrazione che si limitano a stare a guardare e a delegare la supervisione della sicurezza informatica ai dirigenti aziendali. I nuovi requisiti legali e normativi, tra cui le nuove norme in materia di governance del consiglio di amministrazione e di rendicontazione , attualmente all’esame della SEC, stanno rendendo tale approccio non interventista obsoleto quanto affidarsi ai firewall per la sicurezza aziendale.
Attualmente, la supervisione da parte del consiglio di amministrazione in materia di sicurezza informatica è deludente. Infatti, secondo un recente sondaggio condotto dal consorzio Cybersecurity at MIT Sloan (CAMS) e pubblicato su *Harvard Business Review* (), molti consigli di amministrazione non sono preparati ad affrontare un attacco informatico: il 23% degli intervistati afferma che non esistono piani o strategie del consiglio di amministrazione in materia di sicurezza informatica.
E sebbene il 88% dei consigli di amministrazione consideri una violazione della sicurezza un rischio aziendale di grande entità, solo il 12% dispone di un comitato per la sicurezza informatica a livello di consiglio di amministrazione , secondo quanto riportato da Gartner
.
Tra le questioni emerse: la mancanza di competenze tecniche tra i membri del consiglio di amministrazione — un problema che le norme proposte dalla SEC mirano a risolvere. La scarsa familiarità con le tecnologie di sicurezza rende difficile comprendere appieno i briefing destinati ai dirigenti, spesso ricchi di gergo tecnico e acronimi.
A peggiorare la situazione, spesso i membri del consiglio di amministrazione non sanno quali domande porre per valutare la sicurezza della rete aziendale e delle sue risorse di fronte alle minacce informatiche.
Ecco una domanda che si pongono, subito dopo una vulnerabilità che ha fatto scalpore come quella descritta in “ Log4j”: siamo protetti da questo? Anche se la risposta fosse affermativa, la domanda non coglie il punto: i malintenzionati, sempre alla ricerca di nuove vulnerabilità e intenti a mettere a punto strategie sempre più efficaci, agiscono con una rapidità tale che non si fa nemmeno in tempo a dire “trasferimento in bitcoin”.
Quando si parla di sicurezza informatica, è come giocare sempre a “Whac-A-Mole”. È così che lo descrivo ai membri del consiglio di amministrazione che incontro e che sono desiderosi di imparare come impegnarsi e dare il proprio contributo. Avendo trascorso la mia carriera nel settore della sicurezza informatica a contrastare i malintenzionati, di cui circa 21 anni presso Wells Fargo, posso dirvi che ogni volta che si presenta un problema, i professionisti della sicurezza di ogni settore sono pronti a spendere ingenti somme per un nuovo “martello”. Ma quel martello funziona solo con una talpa simile che esce dallo stesso tipo di buco.
Quali domande, quindi, dovrebbero porre i membri del consiglio di amministrazione ? Di seguito sono riportati i sei aspetti che ritengo più utili per i consigli di amministrazione che intendono migliorare la gestione della spesa, la pianificazione e la governance in materia di sicurezza della propria azienda.
1. Quali beni stiamo proteggendo?
Asset La visibilità è una questione fondamentale, ma cruciale. Dopotutto, non si può proteggere ciò che non si vede.
«: quando si tratta di sicurezza informatica, è come giocare sempre a “Whac-A-Mole”. È così che lo descrivo ai membri del consiglio di amministrazione che incontro e che sono desiderosi di imparare come impegnarsi e dare il proprio contributo.”
Tuttavia, secondo un sondaggio condotto dalla società di ricerche IDG Connect, solo il 30% dei professionisti IT si dichiara molto sicuro della propria capacità di monitorare in qualsiasi momento oltre il 85% degli endpoint della propria organizzazione .
Quanti dispositivi hardware sono collegati alla rete aziendale e quali software sono in esecuzione su tali dispositivi? In che modo i responsabili della sicurezza acquisiscono le conoscenze di cui dispongono? I dati precisi non saranno significativi per i membri del consiglio di amministrazione, ma questi ultimi potranno approfondire la questione per verificare che i dirigenti aziendali dispongano di sistemi affidabili di individuazione delle risorse e di inventario .
2. In che modo stiamo proteggendo i nostri “gioielli della corona”?
Esempi di “gioielli della corona” di un’azienda: il codice sorgente dei prodotti chiave; le chiavi di crittografia e le strategie di sicurezza; le discussioni riservate di natura finanziaria, legale e normativa. I membri del consiglio di amministrazione devono comprendere appieno i controlli che l’azienda ha messo in atto per garantire la sicurezza dell’accesso a questi e ad altri dati altamente sensibili.
Ad esempio, quanto sono sicure le piattaforme cloud di ? L’azienda è a conoscenza di quali dipendenti dispongano di un accesso privilegiato a determinati dati?
Con quale frequenza un’organizzazione effettua valutazioni delle minacce ed esegue test di penetrazione per individuare le vulnerabilità nei dati di maggior valore, e ha messo in pratica le conoscenze acquisite
da tali test?
3. Chi rappresenta esattamente il rischio maggiore per la nostra sicurezza?
I membri del consiglio di amministrazione devono individuare i potenziali aggressori dell’azienda, al di là dei generici “soliti sospetti” quali la Russia, la Cina, la Corea del Nord e l’Iran.
Un approccio fondamentale per raggiungere questo obiettivo è la consulenza avversaria, un percorso di analisi che va oltre la semplice domanda «chi potrebbe attaccarci» e si chiede: «Come ci vede un aggressore e in che modo potrebbe sferrare un attacco?»
Questo approccio contribuisce in modo significativo a stabilire se l’organizzazione sia adeguatamente protetta dalle tattiche, dalle tecniche e dalle procedure ben note utilizzate da eventuali malintenzionati. Detto questo, tra le minacce possono figurare gli hacktivisti intenzionati a provocare il caos, i concorrenti che cercano di sottrarre proprietà intellettuale e, la minaccia che al momento fa più scalpore, le bande di autori di ransomware alla ricerca di lauti riscatti.
Una discussione aperta e onesta sui rischi deve includere anche le minacce interne. Secondo Verizon, il 20% delle violazioni è riconducibile a negligenza o dolo da parte dei dipendenti.
Gli amministratori dovrebbero informarsi sui protocolli in vigore volti a sensibilizzare i dipendenti in merito alle più recenti tattiche di phishing , alle tecniche di phishing e ad altre vulnerabilità, al fine di garantire che l’azienda integri la strategia “zero trust” nel proprio quadro di sicurezza.
4. Qual è il livello di fiducia che nutriamo nelle nostre strategie di mitigazione del rischio?
Sì, la “fiducia” è un parametro soggettivo, ma è importante che i membri del consiglio di amministrazione interroghino i dirigenti in merito ai livelli di fiducia, al fine di valutare se il team di sicurezza ritenga di disporre di risorse e sostegno adeguati per affrontare le sfide che l’azienda deve affrontare. Se i dirigenti aziendali dichiarano che il loro livello di fiducia in una determinata tecnologia o in un determinato approccio è prossimo al 100% o inferiore al 20%, è opportuno che si accendano i campanelli d’allarme.
«Sì, la “fiducia” è un parametro soggettivo, ma è importante che i membri del consiglio di amministrazione interpellino i dirigenti al riguardo.»”
A prescindere dai dati precisi, i migliori dirigenti di alto livello presenteranno al consiglio di amministrazione i dati a sostegno delle loro stime, quali: il numero di vulnerabilità critiche, il numero medio di giorni necessari per applicarne le patch e la percentuale di soggetti terzi sottoposti a valutazione negli ultimi 12 mesi, rappresentati graficamente su diversi trimestri.
I dati più significativi comprendono indicatori basati sul valore e allineati ai risultati aziendali, quali una riduzione del 70% dei costi di ripristino in seguito a attacchi ransomware o una riduzione del 50% delle interruzioni non programmate legate a vulnerabilità non corrette, secondo quanto emerso da una recente presentazione tenuta in occasione di una conferenza da Paul Proctor, vicepresidente e analista di spicco di Gartner.
5. Quali misure proattive sono state adottate per prepararsi a un’eventuale violazione della sicurezza?
I membri del consiglio di amministrazione tendono ad affrontare la questione della sicurezza informatica con un approccio difensivo. Tuttavia, dato il numero in forte aumento degli attacchi informatici, i dirigenti aziendali dovrebbero prevedere in modo proattivo scenari specifici in caso di violazione. A tal fine, un’azienda deve disporre di un team di risposta agli incidenti di sicurezza informatica (CSIRT) ben definito. Deve inoltre disporre di piani documentati di risposta agli incidenti.
Tra le iniziative strategiche che i responsabili della sicurezza aziendale possono mettere in atto vi sono le simulazioni di attacchi informatici volte a mettere alla prova tali piani. In questo modo si metteranno in luce i punti deboli, rivelando in modo proattivo i punti ciechi. In alcune aziende, come Mastercard, i membri del consiglio di amministrazione partecipano a simulazioni di attacchi, che possono contribuire a trasformare le loro conoscenze teoriche in esperienze concrete.
6. Qual è il ruolo del consiglio di amministrazione in caso di incidente?
Sebbene la maggior parte delle aziende disponga di piani di risposta agli incidenti da attuare in caso di attacco informatico, i membri del consiglio di amministrazione dovrebbero porre domande fondamentali sul proprio ruolo, nonché su chi, all’interno dell’organizzazione, sia “responsabile” dei piani critici di risposta e di ripristino in caso di incidente.
È possibile che l’azienda paghi un riscatto? È legale farlo? (È opportuno predisporre una procedura di emergenza nel caso in cui non sia possibile convocare il consiglio con breve preavviso.) Chi contatta le autorità in caso di attacco ransomware?
Altre domande sono: in che modo i membri del consiglio di amministrazione comunicheranno tra loro qualora le reti aziendali dovessero subire un blocco? Chi si occuperà di comunicare con i dipendenti, i clienti e i fornitori in caso di una grave violazione della sicurezza? Esiste una strategia di pubbliche relazioni per la comunicazione con la stampa?
Non è sufficiente limitarsi a garantire l’esistenza di un piano: i membri del consiglio di amministrazione dovrebbero esaminare il piano a livello generale e discutere il proprio ruolo al suo interno prima che si verifichi una violazione. In definitiva, dovrebbero rimanere vigili e pronti. Solo così potranno sperare di evitare di diventare il prossimo bersaglio di un’azione legale simile a quella intentata contro SolarWinds.
