Ripensate a quando è scoppiata la pandemia e, apparentemente da un giorno all’altro, il mondo intero ha iniziato ad adottare le videoconferenze. È stata una vera manna dal cielo per mettere in contatto persone di ogni tipo in occasione di incontri di ogni genere, ma più le aziende, le scuole, gli enti governativi e, in sostanza, praticamente tutti facevano affidamento sulle videoconferenze e su altri software di collaborazione , più le piattaforme diventavano vulnerabili. Gli utenti non applicavano le misure di sicurezza di base , quali l’autenticazione a più fattori, e l’implementazione irregolare della crittografia ha messo a rischio la privacy. Con l'aumento delle videoconferenze, sono aumentati anche i rischi per la sicurezza informatica.
Per Michael Adams, responsabile della sicurezza informatica (CISO) di Zoom, azienda pioniera nel boom delle videoconferenze, la pandemia ha posto la sua azienda di fronte a un problema inaspettato che non sembrava affatto tale: la crescita improvvisa ed esponenziale della propria base clienti. Sebbene gli amministratori delegati possano nutrire tali aspirazioni, Adams aveva compreso che la crescita di Zoom avrebbe richiesto un approccio nuovo e diverso alla sicurezza informatica.
E un passo fondamentale in tale nuovo approccio è stato il potenziamento del sistema di valutazione dei rischi informatici “ ”.
Prima della pandemia, Zoom disponeva di un piccolo team addetto alla sicurezza. «Hanno svolto un ottimo lavoro e hanno gettato le basi per l’azienda», afferma Adams, che è entrato a far parte di Zoom nel agosto 2020 in qualità di consulente legale del Direttore operativo e del Responsabile della sicurezza informatica (CISO); lo scorso anno ha assunto la carica di CISO.
Con l’affermarsi del lavoro da remoto , l’azienda ha compiuto un passo avanti verso quella che egli definisce la loro “versione 2,0 ” della sicurezza informatica. È stata un’occasione per potenziare e migliorare i sistemi di sicurezza già in atto, ampliando l’attuale programma di sicurezza di Zoom al fine di far fronte a potenziali rischi emergenti. A tal fine era necessario individuare quali fossero i nuovi rischi e quindi adattare il proprio programma e il proprio approccio a tali rischi, soprattutto alla luce della loro evoluzione (che continua tuttora) nel corso del tempo.
«Dobbiamo adottare una visione d’insieme del panorama delle minacce e dei rischi, per poi approfondire l’analisi al fine di [comprendere] i nostri obblighi specifici nei confronti dei nostri clienti.”Michael Adams, responsabile della sicurezza informatica (CISO), Zoom
Nello specifico, la valutazione del rischio ha fatto la differenza nel quadro di sicurezza dell’azienda in ambiti quali la gestione delle vulnerabilità, in cui è necessario rispettare determinati obblighi di conformità o nei confronti dei clienti, e la gestione dei rischi legati a terze parti, un ambito specifico che, per vari motivi, non ha ricevuto la stessa priorità di altri settori in questo periodo in cui le videoconferenze erano in forte aumento. Grazie all’utilizzo dei punteggi di rischio, Zoom è riuscita a individuare potenziali problemi che altrimenti sarebbero sfuggiti all’attenzione, lasciando il marchio esposto al rischio di attacchi da parte di bande di hacker specializzate nell’ , di hacker adolescenti spinti dal gusto dello scherzo e di minacce interne . Zoom ha invece reindirizzato i propri investimenti verso la creazione di un programma di sicurezza ancora più completo.
«Sapevo che dovevamo investire e destinare le risorse necessarie», afferma Adams. Hanno inoltre dovuto approfondire l’analisi, aggiunge, per individuare con precisione il rischio effettivo e decidere come orientare gli elementi chiave per affrontarlo.
I risultati di questa analisi dei rischi informatici sono costituiti la base per una nuova strategia di sicurezza e per una serie di priorità programmatiche per l'anno fiscale 2020.
È una lezione che vale per tutte le imprese, senza eccezioni. Molte organizzazioni hanno una discreta comprensione dei rischi a cui sono esposte, ma troppe di esse non hanno istituito un sistema formale per individuare e monitorare tali rischi.
Come avviare un programma di valutazione del rischio informatico
Risk La valutazione inizia con l’identificazione degli indicatori di rischio rilevanti per la vostra impresa. Esistono numerosi indicatori di rischio informatico da prendere in considerazione (ad esempio il numero di attacchi informatici andati a buon fine o tentati, la rapidità e la tempistica della gestione delle patch, i tempi di risposta agli incidenti informatici e così via). Adams ha seguito il Cybersecurity Framework (CSF) dell’ NIST e ISO 27001 per sviluppare una serie di indicatori di rischio che hanno aiutato il team di sicurezza a monitorare, ogni trimestre, l’esposizione dell’azienda a rischi specifici.
«Per difenderlo, è necessario sapere di cosa si dispone.”»Adams
Ad esempio, spiega Adams, il liquido cerebrospinale (CSF) svolge cinque funzioni . Tra queste, la funzione “identify” aiuta le organizzazioni a censire le proprie risorse fisiche e software per gettare le basi di una soluzione completa di gestione delle risorse .
«La gestione del “Asset ” è una componente fondamentale di qualsiasi programma di sicurezza informatica», afferma Adams. «Per difenderlo, è necessario sapere di cosa si tratta.» Analizzando la questione più approfonditamente, Adams si è proposto di rispondere alle seguenti domande:
- Dispongo di un inventario significativo delle risorse ?
- Vi sono delle lacune?
- Quali programmi “ ” gestiscono il software in esecuzione su tali risorse?
- Come dovrei affrontare la gestione delle vulnerabilità per garantire che tali elementi siano sempre aggiornati?
- Quali sono i miei obblighi di conformità al riguardo?
«Si tratta di un singolo esempio, ma dobbiamo adottare una visione d’insieme del panorama delle minacce e del panorama dei rischi, per poi approfondire l’analisi al fine di definire con precisione quali siano i nostri obblighi specifici nei confronti dei nostri clienti», afferma. Entrambe le prospettive sono necessarie in quanto forniscono informazioni su due ambiti distinti: le minacce, ovvero gli eventi dannosi che si verificano a seguito dello sfruttamento di vulnerabilità; e il rischio, ovvero la perdita o il danno che potrebbero verificarsi in caso di incidente informatico.
In prospettiva, i parametri di riferimento per la valutazione del rischio — ovvero gli indicatori che mettono a confronto il contesto di un’organizzazione con quello dei suoi concorrenti — aiutano Adams e il suo team di sicurezza ad assicurarsi di coprire tutte le aree chiave e contribuiscono a stabilire le priorità nell’allocazione delle risorse. Gli indicatori chiave di rischio forniscono i parametri necessari per individuare le risorse interessate e per Detect eventuali anomalie. Gli indicatori di rischio sono suddivisi per area funzionale e vengono monitorati.
«Riteniamo che una strategia di sicurezza efficace debba avvalersi dei principali framework di sicurezza e di un sistema di valutazione del rischio su misura per le specificità dell’azienda», ha affermato Adams. «È proprio grazie a questa combinazione che siamo in grado di concentrare al meglio le nostre risorse, il nostro tempo e le nostre energie e di garantire la sicurezza che i nostri clienti e la nostra azienda si aspettano da Zoom.»
Adams lavora inoltre a stretto contatto con un comitato per i rischi legati alla sicurezza informatica composto da tre persone, formato da membri del consiglio di amministrazione dell’azienda . L’istituzione di tale comitato contribuisce in modo significativo all’attuazione delle strategie di buona governance delineate dalla Securities and Exchange Commission (SEC) degli Stati Uniti in una nuova serie di norme proposte lo scorso anno e attualmente in fase di finalizzazione. Il comitato per la gestione dei rischi di Zoom si riunisce trimestralmente per discutere la strategia relativa al prossimo anno fiscale, e Adams approfitta di questa occasione per presentare le principali priorità e gli obiettivi del programma complessivo di sicurezza informatica, in conformità con le linee guida riportate su NIST e ISO .
Il vantaggio più importante (e inaspettato) della valutazione del rischio informatico
Il vantaggio più significativo della valutazione del rischio informatico è probabilmente anche il più sottile: la capacità di mettere in luce rischi di cui non si era consapevoli, afferma Adams, segnalando problemi di cui altrimenti non si sarebbe saputo nulla. Disporre di tali informazioni diventa il punto di partenza per una strategia di sicurezza informatica più solida ed efficace. Nel caso di Zoom, ciò ha consentito ad Adams e al suo team di sicurezza di stabilire con maggiore efficacia le priorità tra i propri obiettivi.
«Mi ritengo molto fortunato ad avere un solido team di sicurezza e persone di incredibile talento, dedite al proprio lavoro, che amano ciò che fanno e che lo svolgono con eccezionale competenza», afferma Adams. È inoltre utile che i vertici aziendali, compreso il consiglio di amministrazione, ascolti; i responsabili delle decisioni di Zoom sono fortemente impegnati nella sicurezza informatica, anche attraverso l’introduzione di miglioramenti e l’impiego di risorse.
«Le questioni relative a “Risk ” devono essere affrontate in modo adeguato», aggiunge Adams. Per farlo è necessario un programma di sicurezza strategico e il riconoscimento di una semplice verità: non è possibile risolvere tutto in una volta. Risk La valutazione ha fornito una linea guida ad Adams e al suo team: ha individuato un problema inaspettato causato dalla pandemia, lo ha risolto aiutando l’organizzazione a considerare in modo diverso le proprie questioni di sicurezza e ha offerto una strategia e una tabella di marcia personalizzate per il futuro.
PER SAPERNE DI PIÙ
Scopri altre interviste esclusive con i responsabili della sicurezza nella nostra serie "Storie di successo".
- Joseph Karpenko di Stratascale su…
: DA INFRINGIMENTI DI SICUREZZA A STRATEGIA AZIENDALE - Ken Fishkin, il “paladino della privacy” dello studio Lowenstein Sandler, su…
UN CORSO DI FORMAZIONE SULLA SICUREZZA INFORMATICA NOIOSO - Mike Wilkes, il “supereroe” della Marvel, parla di…
L’UTILIZZO DELL’INTELLIGENZA ARTIFICIALE PER COMBATTERE IL CRIMINE INFORMATICO - "Ash Hunt" di Apex Group su…
PREVEDERE (CON PRECISIONE) IL RISCHIO INFORMATICO CON QUESTA FORMULA - Jeff Aguilar della Contea di LA su…
COME FORMA (E RIFORMA) I LAVORATORI PER COMBATTERE IL PHISHING - Dennis Leber di Honest Medical Group su…
PERCHÉ NON PARLA (MOLTO) DI SICUREZZA INFORMATICA CON IL CONSIGLIO - Stephen Held di Leo A Daly su…
IL ROVESCIO DELLA MEDAGLIA DEL RISCHIO DI TERZE PARTI
