Tra la controversa causa intentata ai sensi della legge “ ” contro SolarWinds, che la scorsa settimana ha suscitato una veemente reazione legale , e le nuove norme che impongono una maggiore trasparenza in materia di sicurezza informatica, la Securities and Exchange Commission sta mettendo a dura prova i nervi di tutti i CISO Community.
Alcuni CISO (responsabili della sicurezza informatica) di società quotate in borsa sono talmente sconvolti da arrivare persino a pensare di abbandonare la professione. Coloro che stanno resistendo stanno seguendo i consigli degli esperti e adottando misure per proteggersi.
L’intensificazione dei controlli da parte della SEC è iniziata lo scorso luglio quando, con una mossa che molti hanno considerato come una forma di “ ” (un’azione di “ ” troppo severa), l’organismo di regolamentazione ha approvato nuove norme che impongono alle società quotate in borsa di illustrare annualmente in modo dettagliato le modalità di gestione dei rischi.
Con effetto dal mese scorso, le norme prevedono che le aziende:
- Si devono comunicare gli incidenti di sicurezza informatica entro quattro giorni dal momento in cui se ne viene a conoscenza, qualora siano “rilevanti”, ovvero qualora possano incidere sul valore per gli azionisti. La comunicazione avverrebbe tramite un modulo 8-K.
- Nelle proprie relazioni annuali 10-K, l'azienda illustra le proprie procedure per la gestione dei rischi significativi in materia di sicurezza informatica.
- In tali documenti, specifichino con quale frequenza i propri consigli di amministrazione affrontano o riducono al minimo i rischi, nonché le conoscenze e l’esperienza di cui dispongono a tal fine.
L’adozione di tali norme è avvenuta subito dopo che, nel mese di ottobre, la SEC aveva accusato SolarWinds e il suo CISO, Timothy Brown, di aver presumibilmente fuorviato gli investitori in merito allo stato di sicurezza dell’azienda e di non aver adottato le misure di sicurezza di base che avrebbero potuto prevenire il catastrofico attacco informatico Sunburst , denominato “” , verificatosi tra il 2018 e il 2020. Tale attacco ha interessato le catene di approvvigionamento di oltre 30.000 organizzazioni pubbliche e private.
Negando le accuse, SolarWinds ha presentato una mozione ai sensi dell’articolo volta a ottenere il rigetto del procedimento ai sensi dell’articolo 26 gennaio. L’azienda sostiene che la SEC abbia agito al di fuori delle proprie competenze e definisce le accuse «assurde» e «tanto infondate quanto senza precedenti». La mozione ha poi definito “injustificato” e “inspiegabile” il fatto che la SEC avesse preso di mira Brown, sottolineando che non vi erano prove che “suggerissero minimamente” che egli avesse cercato di ingannare gli investitori. Gli stessi CISO hanno espresso opinioni diverse in merito alla causa e alla responsabilità del loro collega responsabile della sicurezza.
Tali accuse rappresentano il primo caso in cui la SEC abbia preso di mira un CISO specifico o ne abbia ritenuto uno personalmente responsabile per azioni relative a una grave violazione. (Il responsabile della sicurezza di Uber, Joe Sullivan, è stato condannato a tre anni di libertà vigilata dopo essere stato riconosciuto colpevole di aver ostacolato un’indagine della Commissione Federale per il Commercio (FTC) relativa a una violazione che ha reso pubblici i dati di 57 milioni di clienti e autisti nel 2016).
Ironia della sorte, la SEC, pur contestando a SolarWinds di non aver fatto abbastanza per rafforzare le proprie reti, è stata a sua volta vittima di un attacco hacker all’inizio di gennaio, dopo che, secondo quanto riferito, il personale IT avrebbe disattivato le protezioni relative all’autenticazione a più fattori .
«Ovviamente, il momento non era dei migliori», afferma l’ex CISO di McDonald’s, Shaun Marion. «Questo dimostra semplicemente che cose del genere possono capitare a chiunque. «La gestione di un programma di sicurezza su larga scala è complessa.»
I CISO sono sotto pressione
Marion afferma che molti dei suoi colleghi CISO “in realtà condividono” gli sforzi della SEC volti a migliorare la trasparenza nei confronti degli azionisti, ma dissentono con forza dalle sue tattiche, che li stanno portando a riconsiderare o addirittura ad abbandonare la propria carriera nel campo della sicurezza informatica – in particolare coloro che operano presso società quotate in borsa. E ciò in un momento in cui i CISO qualificati sono già difficili da trovare.
«Sapere che potrei essere ritenuto personalmente responsabile a causa di una decisione presa da qualcun altro senza coinvolgermi… cavolo, non è questo il lavoro che ho scelto di fare.»Shaun Marion, ex responsabile della sicurezza informatica (CISO) di McDonald’s
Il rischio di essere ritenuti personalmente responsabili di un incidente di sicurezza è particolarmente preoccupante, afferma, poiché i CISO non sono gli unici a essere coinvolti nell’attuazione delle misure di sicurezza o nella comunicazione in materia. I dipendenti di tutte le organizzazioni prendono frequentemente decisioni che incidono sul livello di sicurezza, di cui i CISO non vengono mai a conoscenza, afferma.
Tuttavia, a differenza di quei dirigenti di alto livello , molti CISO non sono in realtà considerati dirigenti, osserva. Pertanto, circa un CISO statunitense su tre (34%) non beneficia della copertura assicurativa per amministratori e dirigenti (D&O), secondo un’indagine condotta da Heidrick & Struggles dal titolo “ ”.
«Questo mi ha portato a riconsiderare il mio lavoro», ammette Marion. «Ho intrapreso questa professione perché ero un appassionato di inventiva. Mi piaceva verificare fino a che punto potessi spingermi in materia di sicurezza. Ho sempre cercato di fare la cosa giusta. «Ma sapere che potrei essere ritenuto personalmente responsabile a causa di una decisione presa da qualcun altro senza coinvolgermi… cavolo, non è certo questo il lavoro che avevo in mente.»
Non date tutta la colpa alla SEC
In che modo, quindi, dovrebbero reagire i CISO che intendono continuare a esercitare la professione a seguito della denuncia presentata alla SEC? Le risposte stanno nel comprendere di cosa si tratta.
«. I CISO non potranno più nascondere completamente le proprie politiche e pratiche di sicurezza informatica per tenere gli hacker all’oscuro.»
Secondo gli esperti, in sostanza, tali accuse dovrebbero essere considerate in una prospettiva più ampia rispetto a quella di un singolo ente governativo che persegue una singola società o un singolo individuo. Sostengono invece che i CISO dovrebbero considerare questo episodio come il primo di una serie di interventi simili da parte delle autorità di regolamentazione, volte a richiedere una maggiore trasparenza in materia di sicurezza informatica. Non dovrebbe avere importanza se si tratti della SEC, della FCC, del DHS, del CFPB o di qualsiasi altra agenzia con un acronimo di tre o quattro lettere; d’ora in poi, diventeranno tutte nomi intercambiabili nell’ambito di una repressione governativa in corso , affermano.
«Sarei sorpreso se ciò non dovesse ripetersi», afferma Frank Dickson, analista di sicurezza informatica presso IDC. «Se non negli Stati Uniti, quasi certamente accadrà di nuovo in Europa .»
[Leggi anche: In che modo i CISO possono contrastare il burnout e prolungare la propria carriera]
Il punto fondamentale, afferma, è che i CISO non potranno più tenere completamente nascoste le proprie politiche e pratiche in materia di sicurezza informatica per mantenere gli hacker all’oscuro. Continueranno ad essere richieste ulteriori informazioni, e i CISO dovranno accettarlo.
Si impegni a garantire la coerenza nella comunicazione
Analogamente, secondo gli esperti, i CISO non potranno più permettersi di presentare internamente una versione dei fatti riguardo alla situazione di sicurezza della propria organizzazione e rilasciare dichiarazioni diverse all’esterno. Una delle accuse principali contenute nell’azione legale della SEC è che SolarWinds e Brown fossero a conoscenza di specifiche carenze nelle pratiche di sicurezza informatica di SolarWinds e dei rischi sempre più elevati a cui l’azienda era esposta – e lo abbiano ammesso nelle comunicazioni interne. Tuttavia, secondo quanto sostiene l’agenzia , l’azienda avrebbe presentato un “quadro fuorviante” attraverso dichiarazioni errate, omissioni e manovre volte a nascondere le proprie “scadenti pratiche di sicurezza informatica” e ad aumentare il rischio.
Questa maggiore enfasi sulle comunicazioni interne ed esterne potrebbe avere un “effetto dissuasivo” sulle comunicazioni del CISO, afferma Dickson.
«Il ruolo del CISO è cambiato radicalmente negli ultimi cinque anni», afferma. «I CISO non sono più semplici professionisti della sicurezza, ma vengono considerati architetti della sicurezza aziendale che forniscono consulenza attiva sia ai dirigenti che ai clienti. Se ciò che affermano o scrivono non fosse sempre coerente con i fatti, potrebbero trovarsi di fronte a persone o enti che sostengono che stiano fornendo informazioni fuorvianti, il che è l’ultima cosa che la maggior parte dei CISO desidera.”
Dickson raccomanda ai CISO di continuare a comunicare, ma sottolinea che dovrebbero prestare particolare attenzione e agire con ponderatezza ogni volta che parlano delle proprie priorità e delle proprie azioni in materia di sicurezza informatica. Per scongiurare potenziali rischi legali, Dickson aggiunge che i CISO dovrebbero inoltre sottoporre le comunicazioni interne ed esterne pertinenti al vaglio dei propri consulenti legali interni.
Prenda appunti come un matto
Allo stesso tempo, sebbene la maggior parte degli avvocati aziendali consiglierebbe il contrario, gli esperti di sicurezza raccomandano ai CISO di conservare appunti dettagliati di tutte le conversazioni cruciali con i dirigenti di alto livello, in particolare quelle in cui potrebbero aver segnalato problemi di sicurezza informatica o raccomandato misure per affrontarli.
“Annoti più cose e si assicuri di documentare tutto in un registro.”Andrew Jaquith, ex responsabile della sicurezza informatica (CISO) presso Covington & Burling
«Prendete più appunti e assicuratevi di documentare tutto in un registro», consiglia Andrew Jaquith, ex CISO dello studio legale Covington & Burling. “Qualora un incidente di sicurezza informatica dovesse essere riesaminato, è importante poter dimostrare di aver fatto tutto il possibile per risolvere il problema alla radice e di averne discusso con i vertici aziendali. «Si assicuri di conservare tutta la documentazione scritta.»
Marion è d'accordo, ma sostiene l'adozione di misure difensive ancora più rigorose.
«Per la mia stessa tutela, mi assicuro di disporre di una documentazione scritta delle decisioni che ho preso, dei motivi per cui le ho prese, di quando ho incontrato resistenze e da parte di chi, poiché devo essere io stesso a difendere i miei interessi», afferma. «Ho intenzione di peccare decisamente per eccesso nella segnalazione degli incidenti di sicurezza informatica, avvalendomi della consulenza del mio legale, poiché non voglio trovarmi nella situazione di omettere di segnalare qualcosa che avremmo dovuto segnalare.» Inoltre, per quanto riguarda i rischi a livello aziendale, intendo adottare un approccio molto più deciso nel comunicarli ai vertici aziendali. , non sarò più l’unica persona a essere consapevole del rischio e a cercare di gestirlo. «Condividerò tale rischio con gli altri.»
Richieda un'assicurazione D&O
Gli esperti di sicurezza sostengono inoltre che sia giunto il momento per i CISO di far sentire la propria voce e di avvalersi dell’azione intrapresa dalla SEC contro SolarWinds e Brown per giustificare la decisione delle loro aziende di fornire loro, finalmente, un’assicurazione D&O e un’assicurazione contro gli errori e le omissioni (E&O), anche se pochi di loro sono considerati veri e propri dirigenti. Come minimo, ciò dovrebbe avvenire nell’ambito delle trattative salariali prima di assumere l’incarico di CISO. Tuttavia, secondo gli esperti, i CISO possono negoziare tali condizioni anche dopo essere stati assunti.
Potrebbe non essere facile, poiché tale copertura è costosa. Infatti, Kirsten Bay, CEO di Cysurance, società specializzata in assicurazioni contro i rischi informatici per le piccole e medie imprese, afferma che tali polizze hanno un costo compreso tra 35.000 e 60.000 dollari all’anno per le organizzazioni di dimensioni più ridotte e raggiungono importi ancora più elevati per le medie e grandi imprese. A quel prezzo, la copertura si estende solitamente a una manciata di agenti. Tuttavia, spesso le aziende riescono a trovare il modo di inserire altri dirigenti, come i CISO, con un po’ di negoziazione, afferma.
Bay ritiene che, dato che la crescente responsabilità personale in caso di incidenti di sicurezza sta diventando una questione sempre più rilevante, gli assicuratori potrebbero iniziare a offrire pacchetti comprendenti polizze di sicurezza informatica, D&O ed E&O, estendendone la copertura ai CISO – proprio come le compagnie assicurative tradizionali raggruppano in un unico pacchetto le polizze sulla casa, sulla vita e sull’auto.
«È opportuno collegarle tra loro, poiché non tutti sanno che le polizze di assicurazione contro i rischi informatici non includono la copertura D&O e E&O», afferma.
In definitiva, esperti come Marion affermano di sperare che l’intervento della SEC si riveli più un punto di partenza per migliorare i processi di rendicontazione a livello di settore che un semplice esercizio volto ad attribuire colpe e infliggere sanzioni.
«Se potessimo riunirci con alcuni responsabili politici di rilievo, la SEC e un consorzio di CISO, potremmo iniziare a sviluppare un quadro di riferimento per la rendicontazione dei rischi e delle aspettative rivolte agli stessi CISO», afferma. «Ciò ci consentirebbe di eliminare ogni ambiguità e di iniziare a fare chiarezza. “Sarebbe una situazione vantaggiosa per tutti.”
PER SAPERNE DI PIÙ
Vi invitiamo a leggere queste interviste esclusive con i CISO e altri responsabili della sicurezza nella nostra serie “Storie di successo”.
- Storia di successo di un CISO – Prevedere (con precisione) gli attacchi informatici di tipo “ Risk ” è più facile grazie alla formula di questo esperto
- Storia di successo del CISO – Come la contea di Los Angeles forma (e aggiorna) i propri dipendenti per contrastare il phishing
- Storia di successo di un CISO – Come instaurare un rapporto di fiducia con il Consiglio di Amministrazione? Non parlate (troppo) di sicurezza informatica
- Storia di successo di un CIO – Uno sguardo al rovescio della medaglia dell’ Riskdi terze parti
- CISO Success Story – How Zoom Achieved Cybersecurity 2,0 With Cyber Risk Scoring
