Oggigiorno le organizzazioni parlano costantemente di iniziative di trasformazione digitale o si dedicano attivamente a tali iniziative. E perché no? Tali iniziative possono portare a una maggiore efficienza, a una maggiore agilità e a una migliore esperienza del cliente — solo per citare alcuni dei vantaggi.
Il problema è che molte aziende si lanciano in processi di trasformazione senza considerare realmente le implicazioni di tali iniziative in termini di sicurezza informatica e conformità normativa.
Certamente, le organizzazioni implementano ogni tipo di strumento e servizio di sicurezza — e questo rappresenta un aspetto importante nella creazione di programmi di sicurezza e conformità. Tuttavia, non riflettono a sufficienza su come sia necessario modificare i processi, le procedure e le strutture organizzative. Affinché un’azienda possa trasformarsi realmente e consolidare tale trasformazione, è necessario che modifichi la propria cultura.
Il cambiamento non è mai facile, soprattutto quando le persone sono soddisfatte di come vengono gestite le cose attualmente. Ciò vale certamente per i CISO, i CIO, i CTO e gli altri responsabili della sicurezza informatica e della conformità, nonché per gli utenti finali. Tuttavia, l’implementazione di tutte le tecnologie di sicurezza disponibili senza apportare le modifiche necessarie ai processi, alle procedure e alle strutture organizzative comporterà probabilmente frustrazione e, nel peggiore dei casi, un fallimento dal punto di vista della difesa e della conformità.
Di seguito sono riportati alcuni dei cambiamenti che le organizzazioni dovranno prendere in considerazione in questi ambiti.
Processi/Procedure
Per rafforzare la sicurezza, sarà necessario modificare numerosi processi aziendali e procedure di sicurezza.
Un aspetto fondamentale che necessita di miglioramenti è la protezione dell’identità degli utenti. Si tratta di uno dei vettori più sfruttati. Basta che un utente di cada vittima di un attacco di phishing, e gli autori dell’attacco avranno già messo un piede dentro. A quel punto, sanno di poter iniziare a cercare privilegi di livello superiore.
È proprio in questo ambito che l’autenticazione a più fattori (MFA) dovrebbe rappresentare il requisito minimo indispensabile per l’accesso degli utenti alle reti e alle altre risorse. Sebbene questi metodi non siano perfetti, rendono l’impresa talmente ardua per gli aggressori che questi potrebbero rinunciare e cercare un altro obiettivo.
L'autenticazione a più fattori (MFA) rende molto più difficile la compromissione degli account. Dovrebbero inoltre smettere di imporre il cambio della password ogni mese e di imporre agli utenti un onere eccessivamente complesso. Come minimo, i team addetti alla sicurezza dovrebbero incoraggiare l’uso delle “frasi di accesso”, che sono più facili da ricordare poiché consistono essenzialmente in una frase, molto più difficile da indovinare e da violare.
Le organizzazioni dovrebbero inoltre ridurre il numero di account dotati di diritti amministrativi e avvalersi di un sistema di accesso privilegiato, in cui gli utenti possano richiedere privilegi elevati per uno scopo e un periodo di tempo determinati, che vengano poi automaticamente revocati al termine di tale periodo.
Molte persone rimangono sorprese nello scoprire di disporre di centinaia di account con diritti amministrativi, poiché tali account avrebbero dovuto essere temporanei, ma non sono mai stati rimossi.
Anziché creare “immagini golden”, la cui creazione e gestione richiedono molto tempo, si raccomanda di utilizzare un’immagine di base del sistema operativo e pacchetti applicativi, in modo da ridurre il carico di lavoro relativo agli aggiornamenti e alla manutenzione. Per completare la trasformazione, implementi un catalogo software e un client self-service, in modo che gli utenti non debbano disporre di diritti di amministratore locale per installare le applicazioni.
Un’altra buona pratica dal punto di vista dei processi è qualcosa che molte organizzazioni stanno già cercando di mettere in atto: automatizzare il maggior numero possibile di attività. L'automazione delle attività di routine riduce gli errori umani e consente al personale di dedicare più tempo a progetti di maggiore rilevanza.
Inoltre, si raccomanda di applicare le patch e gli aggiornamenti software il prima possibile. Attendere 90 giorni o più per “verificare” un aggiornamento al fine di assicurarsi che non vi siano ripercussioni negative sui sistemi non ha senso — soprattutto quando il tempo che intercorre tra la scoperta di una vulnerabilità e il suo sfruttamento è di circa 22 giorni. Esiste un compromesso tra il rischio di un’eventuale interruzione del servizio e quello di una violazione della sicurezza, ma spesso è possibile ridurre il periodo di convalida con un rischio minimo.
Tenete presente che eventuali modifiche ai processi e alle procedure potrebbero suscitare il malcontento di alcune persone. Ad esempio, nel settore dell’istruzione, molti insegnanti non desiderano che il reparto IT implementi l’autenticazione a più fattori (MFA), sostenendo che gli studenti non la accetterebbero mai. In realtà, gli studenti non hanno problemi ad accettare l’MFA come parte della procedura di accesso, poiché vi sono abituati già dall’accesso al proprio conto bancario online e persino al proprio account Facebook.
Le persone che si attengono alle modalità operative consolidate oppongono resistenza al cambiamento. I team IT e di sicurezza dovrebbero ignorare gli scettici e collaborare per attuare i cambiamenti ovunque siano necessari.
Strutture organizzative
Anche le strutture organizzative devono essere adeguate per contribuire a sostenere la nuova cultura. Innanzitutto, le aziende devono abbattere eventuali barriere informative esistenti tra i diversi reparti che dovrebbero collaborare tra loro.
Il CSO o il CISO non può permettersi di attendere che il reparto IT, il reparto operativo o qualche altra unità all’interno dell’organizzazione fornisca informazioni e approfondimenti preziosi sulle minacce o sulle vulnerabilità che potrebbero contribuire a prevenire una violazione.
Dal punto di vista organizzativo, molte aziende presentano ancora compartimenti stagni che impediscono ai vari soggetti interessati di collaborare come dovrebbero sulle questioni relative alla sicurezza e alla conformità. Inoltre — e forse ciò è ancora più grave — permangono ancora lotte interne che possono impedire alle diverse fazioni di collaborare in modo coeso per tutelare l’organizzazione nel suo complesso.
Le migliori organizzazioni comunicano e condividono spesso informazioni tra i vari reparti. Tuttavia, per garantire un livello davvero ottimale in termini di sicurezza e conformità, la maggior parte delle organizzazioni più lungimiranti ha appiattito la struttura organizzativa al fine di eliminare i silos e le lotte di competenza e garantire che le diverse funzioni tecnologiche e aziendali operino all’unisono.
Un altro elemento importante che contribuisce alla creazione dei compartimenti stagni sopra menzionati è costituito dalle strutture gerarchiche dei massimi responsabili della sicurezza e della conformità, come ad esempio il CISO, al quale fa capo. Idealmente, il responsabile della sicurezza dovrebbe fare riferimento all’ CEOe, al CFO, al CTO o ad altri dirigenti aziendali di alto livello. Ciò può contribuire a eliminare i livelli burocratici, in particolare in ambiti quali l’approvazione dei bilanci.
Il fatto che il CISO o altri dirigenti responsabili della sicurezza facciano parte del C-suite e riferiscano ai vertici aziendali garantisce che la sicurezza informatica e la conformità siano considerate priorità assolute per l’organizzazione.
Avere un leader forte è fondamentale, ma, in definitiva, la sicurezza informatica dovrebbe rientrare nelle responsabilità di ciascuno. Ci sarà sempre un certo compromesso tra la sicurezza e la libertà di innovare. Tuttavia, adottando una nuova mentalità in materia di sicurezza, le organizzazioni possono davvero avere successo nella trasformazione digitale.
Scoprite in che modo “ Tanium ” può aiutarvi a definire le priorità in materia di sicurezza informatica e conformità nell’ambito della trasformazione digitale. Scoprite oggi stesso la potenza dell’ di Tanium (si apre in una nuova scheda).
