Tim Roemer — CISO dell’Arizona e direttore del Dipartimento per la Sicurezza Interna dell’Arizona — deve risolvere una vasta serie di problemi.
Egli deve proteggere lo Stato dagli attacchi informatici sferrati dalle forze armate nazionali.
Deve difendersi da un’ampia superficie di attacco caratterizzata da vulnerabilità in costante aumento.
E deve farlo in un contesto caratterizzato da un insieme complesso e frammentato di enti e istituzioni.
La sua soluzione? Attuare una strategia statale globale denominata “ ” (si apre in una nuova scheda) in tutto l’Arizona.
Ecco la storia di Roemer.
https://youtu.be/D6yZF506WeM
La sicurezza informatica è parte integrante della sicurezza nazionale
Roemer ha iniziato la sua carriera con «un tirocinio davvero eccellente» presso la CIA. Era un appassionato di antiterrorismo e ha lavorato per 10 anni presso l’agenzia.
Nel corso degli ultimi due anni del suo mandato, ha fornito aggiornamenti in materia di sicurezza nazionale al Presidente, al Vicepresidente e al Consiglio di sicurezza nazionale. Tali incontri gli hanno fatto comprendere la realtà degli attacchi informatici sferrati dagli Stati-nazione e l’importanza della sicurezza informatica.
Roemer ha lasciato la CIA ed è tornato nel suo Stato natale, l’Arizona. «Volevo occuparmi delle questioni di sicurezza che riguardavano amici e familiari proprio qui vicino a casa mia», spiega.
Inizialmente ha ricoperto la carica di vicedirettore del Dipartimento per la Sicurezza Interna dell’Arizona ed è stato successivamente nominato CISO dello Stato e direttore del Dipartimento per la Sicurezza Interna dell’Arizona.
Quando ha assunto tali incarichi, Roemer ha ricevuto dal governatore dell’Arizona Doug Ducey il mandato di potenziare la sicurezza informatica a livello statale e di integrarla nel Dipartimento per la Sicurezza Interna. «Mi ha detto: “La sicurezza informatica è la sicurezza nazionale”», afferma Roemer.
Ecco come Roemer è riuscito a farlo e cosa ha imparato lungo il percorso.
«Nel campo della sicurezza informatica a livello statale e locale, ci si aspetta che respingiamo le forze armate nazionali di tutto il mondo, dotate di risorse illimitate — tutto il giorno, ogni giorno.»
Combattere una battaglia senza confini
Perché la sicurezza informatica è importante per Stati come l’Arizona
Per certi versi, i responsabili della sicurezza informatica dell’Arizona si trovano in una situazione di svantaggio e devono soddisfare una serie di aspettative ben diverse rispetto a quelle dei responsabili della sicurezza fisica.
«Non ci si aspetta in alcun modo che lo Stato dell’Arizona difenda il nostro confine fisico da uno Stato-nazione», spiega. «Se la Russia tentasse effettivamente di invadere il confine meridionale dell’Arizona, non credo che la gente si aspetterebbe che fossimo in grado di respingerla.»
Per quanto riguarda le iniziative dello Stato in materia di sicurezza informatica, vale invece il contrario.
«Nel campo della sicurezza informatica, ci si aspetta che teniamo a bada l’esercito russo, così come quello cinese, nordcoreano, iraniano e chi più ne ha più ne metta», afferma Roemer.
Ciò comporta una serie di pressioni di natura fondamentalmente diversa per Roemer e i suoi team.
«Ecco perché la sicurezza informatica è così importante in questo momento: perché non conosce confini», spiega. «Le persone possono attaccarvi con risorse illimitate provenienti da ogni parte del mondo, e voi dovete difendervi da tutto ciò — tutto il giorno, ogni giorno.»
Per soddisfare tali aspettative — e per proteggere il proprio Stato da una vasta gamma di aggressori globali dotati di ingenti risorse finanziarie — Roemer doveva compiere una mossa audace.
Ecco cosa ha fatto.
L’introduzione di una strategia di sicurezza informatica a livello statale in Arizona
Il governatore dell’Arizona Ducey non ha nominato Roemer semplicemente per garantire il regolare funzionamento delle cose. Ha incaricato Roemer di rivoluzionare l’approccio dello Stato alla sicurezza informatica.
«Il governatore mi ha incaricato di rompere lo status quo e di sperimentare nuove soluzioni», spiega Roemer. E tale processo è iniziato con una valutazione onesta della situazione attuale.
«Sono fermamente convinto che sia necessario conoscere i propri punti di forza e i propri punti deboli», afferma. «Si può puntare sui propri punti di forza, ma gli avversari mirano proprio ai propri punti deboli — e sapevo che avevamo dei punti deboli e delle vulnerabilità che avrebbero potuto sfruttare.»
Come quasi tutti gli Stati, l’Arizona adottava un approccio frammentario alla sicurezza informatica. Ogni agenzia e istituzione utilizzava le proprie procedure e i propri strumenti; le migliori pratiche sviluppate a livello statale non venivano recepite a livello locale e la comunicazione era insufficiente.
Fortunatamente, Roemer aveva una soluzione.
«Ho capito che l’adozione di un approccio globale a livello statale, , sarebbe stato di aiuto a tutti», spiega. «Se i leader statali e locali potessero “unire le forze”, collaborare e iniziare a condividere risorse, informazioni e buone pratiche, ci troveremmo in una posizione migliore.»
Il "Whole-of-state" è una strategia di sicurezza emergente (si apre in una nuova scheda). In tale contesto, i dirigenti a ogni livello dell’amministrazione statale collaborano sulle questioni relative alla sicurezza. La strategia persegue numerosi obiettivi, ma per Roemer il successo del programma dipendeva da un unico fattore: rafforzare il lavoro di squadra.
«La sicurezza informatica è un problema complesso e nessuno possiede tutte le risposte», afferma. «L’approccio a livello statale è importante perché si basa sul lavoro di squadra. “Si tratta di collaborare e di riunire le persone perbene per opporsi ai malintenzionati.”
Ecco come Roemer ha dato vita all’approccio “whole-of-state” in Arizona.
Concretizzare l’approccio “a livello statale”: concentrarsi su quattro elementi chiave
Roemer ha realizzato un programma di successo a livello statale concentrandosi su quattro elementi.
1. Adottate una mentalità flessibile e orientata al lungo termine
«L’approccio a livello statale — e la sicurezza informatica in generale — è un processo in continua evoluzione. Stiamo combattendo una minaccia in continua evoluzione, che cambia ogni singolo giorno. «Il momento in cui pensiamo di aver capito tutto è proprio quello in cui ci ritroveremo nei guai», afferma Roemer.
2. Costruite delle relazioni prima ancora di averne bisogno
«Deve uscire dal Suo ufficio. Dovete entrare in contatto con le persone e instaurare un rapporto di fiducia e collaborazione tale da coinvolgere un numero maggiore di soggetti nel processo — e dovete farlo al più presto. Nel nostro settore si dice sempre: «In caso di emergenza non si può stare lì a distribuire biglietti da visita». «A quel punto, è troppo tardi», afferma Roemer.
3. Stabilire le modalità di finanziamento
«È necessario un programma di sovvenzioni. «Fortunatamente, il governatore Ducey ha compreso le sfide che dovevamo affrontare in materia di sicurezza informatica e abbiamo stanziato 10 milioni di dollari all’anno per aiutare i distretti scolastici, le tribù, le amministrazioni comunali e di contea e tutti gli altri soggetti a rafforzare la propria resilienza informatica», afferma Roemer.
4. Tenete sempre presente la governance
«Abbiamo una task force dedicata alle sovvenzioni nel settore informatico che opera in modo bidirezionale. Ascoltiamo le esigenze della popolazione locale, forniamo loro delle soluzioni e individuiamo il modo per metterle in pratica. «Il nostro comitato e la nostra task force si recano in varie località dello Stato per avviare tali colloqui, per abbinare gli strumenti adeguati alle organizzazioni giuste e per garantire che tali strumenti funzionino», afferma Roemer.
Obiettivi e risultati a livello statale dell’Arizona
Roemer sta monitorando attentamente il suo programma a livello statale e ne sta valutando il successo alla luce di una serie di obiettivi e risultati fondamentali. Tra questi figurano:
- non si sono verificati incidenti. «Ciò che desidero davvero dimostrare è che non si verifichi alcun incidente di sicurezza informatica ai danni delle nostre amministrazioni locali.»
- Interventi di riparazione più rapidi. «Intendiamo potenziare la nostra capacità di individuare e risolvere le nostre vulnerabilità.»
- Miglioramento misurabile. «Desideriamo avvalerci di indicatori per illustrare in che modo stiamo aiutando le organizzazioni a proteggersi in modo più efficace rispetto al passato.»
- Pieno utilizzo. «Ci auguriamo che le amministrazioni locali spendano ogni dollaro che lo Stato ci ha concesso».
- Maggiori informazioni sui finanziamenti sono disponibili all’indirizzo. «Il mio obiettivo è partire da quei 10 milioni di dollari, dimostrarne l’efficacia, dimostrare che stiamo ottenendo un buon ritorno sull’investimento e quindi sollecitare ulteriori finanziamenti.»
Il programma statale dell’Arizona ha già prodotto alcuni benefici significativi, in particolare per quanto riguarda la condivisione delle informazioni tra i diversi livelli di governo.
«Non posso proteggere i dati di 7,5 milioni di cittadini dell’Arizona da un malintenzionato di cui non sono a conoscenza», afferma Roemer. «Ma grazie all’approccio a livello statale, ora condividiamo le informazioni in tempo reale. “In qualità di CISO, sono più forte perché so cosa vedono gli altri, e le comunità locali riescono a proteggersi meglio dagli attacchi che stiamo riscontrando a livello statale.”
Insegnamenti tratti: la necessità di una strategia e di una comunicazione chiare
La creazione di un programma a livello statale è stata per Roemer un’esperienza di apprendimento quotidiano.
«Ho semplicemente cercato di assorbire tutto come una spugna e di imparare tutto ciò che potevo», afferma.
Eppure, per Roemer emergono due importanti insegnamenti.
“. È necessario creare uno spirito di squadra all’interno del gruppo”, spiega. «La sicurezza informatica è un settore in cui lavorare in questo momento è molto stressante, e le sfide che presenta sono estremamente ardue. «È fondamentale assicurarsi che l’intero team a livello statale sia consapevole del motivo per cui lo stiamo facendo, di cosa c’è in gioco e di come intendiamo contrastare le minacce».
Per Roemer, la creazione di questo vero e proprio lavoro di squadra dipende da un unico fattore: la comunicazione.
«. È necessario comunicare in modo efficace quale sia la strategia», afferma. «Abbiamo constatato che ogni volta che qualcuno non sosteneva questo programma, era perché non sapeva chi siamo, cosa stiamo facendo, perché lo stiamo facendo, come lo stiamo facendo e quali strumenti mettiamo a loro disposizione».
In definitiva, le due lezioni vanno di pari passo.
«Quando tutti conoscono la vostra strategia — e voi la comunicate in modo efficace — si uniscono al tavolo delle trattative molto rapidamente, e instauriamo solide collaborazioni che garantiscono una maggiore sicurezza», afferma Roemer.
Questa è la prima parte della nostra intervista a Tim Roemer, CISO dell’Arizona e direttore del Dipartimento di Sicurezza Interna dello Stato. Nella parte 2 approfondiremo ulteriori dettagli relativi al programma statale dell’Arizona, illustrando in particolare le modalità di condivisione delle informazioni attraverso un centro di comando centrale e il modo in cui tale programma ha migliorato la risposta agli incidenti.
