La nostra nuova cultura del lavoro da casa ha generato un’enorme complessità per le organizzazioni odierne.
Si pensi ai miliardi di dispositivi — laptop, tablet, PC, stampanti, scanner — che i lavoratori hanno portato in fretta a casa all’inizio della pandemia per svolgere le proprie mansioni, oppure che i team IT, oberati di lavoro e alle prese con l’adeguamento alla nuova situazione, hanno successivamente spedito loro per posta. Le sfide legate alla gestione e alla protezione di questi endpoint sono innumerevoli. La maggior parte di essi non è più limitata alla rete di un’organizzazione, ma è distribuita su connessioni a banda larga e Wi-Fi disponibili in commercio e senza restrizioni.
Per farsi un’idea di questa rete in continua espansione, si consiglia di consultare lo studio annuale “ : Cybersecurity Workforce Study” redatto da (ISC)2, un’associazione che riunisce i professionisti della sicurezza informatica. In un sondaggio globale condotto su 3.790 professionisti della sicurezza, il 30% degli intervistati ha dichiarato che la propria organizzazione è passata a un modello di lavoro da remoto nel giro di un solo giorno, mentre un altro 47% ha potuto permettersi il relativo lusso di impiegare una settimana. Come sottolinea il rapporto, tale cambiamento improvviso “ha sottoposto i professionisti della sicurezza informatica a una pressione senza precedenti per quanto riguarda la migrazione e la messa in sicurezza degli ambienti remoti”.
L’opinione comune tra i CISO come me è che questa crescente complessità della rete comporti sfide costose e dispendiose in termini di tempo per la gestione e la sicurezza dell’ endpoint . Nel mio ruolo presso Tanium, sento dire questo continuamente. Il mio compito consiste nell’aiutare altri dirigenti dei settori della sicurezza e dell’IT ad affrontare i rischi informatici, a gestire le operazioni IT e a migliorare la resilienza aziendale. Sono inoltre responsabile della protezione dei sistemi e dei dati dell' Tanium .
Quello che ho imparato è che la complessità non deve necessariamente essere in contrasto con la sicurezza di un’organizzazione. In effetti, ritengo che vi sia un uso improprio del termine “complessità” stesso. Nella maggior parte dei casi, quando si parla di complessità, ciò a cui ci si riferisce in realtà è la diversità aziendale e tecnologica. Si riferiscono a una combinazione di esigenze aziendali e casi d’uso eterogenei, nonché all’infrastruttura tecnologica e alle applicazioni necessarie a supportarli, tra cui implementazioni ibride e multi-cloud, applicazioni SaaS e personalizzate, oltre a un universo in continua espansione di dispositivi per accedere a tali risorse. Un’organizzazione può sfruttare la diversità a proprio vantaggio, rendendo più agevole la distribuzione di un maggior numero di applicazioni per la gestione dei dispositivi in un numero maggiore di luoghi. Il mondo degli affari e quello della tecnologia assumono una reale complessità solo quando l’IT non dispone di visibilità e controllo su di essi.
Terminologia a parte, ecco cinque modi in cui qualsiasi organizzazione può affrontare la complessità e trarne vantaggio.
Abbandonare il modello “hub-and-spoke”
Da decenni, i team IT basano la gestione della sicurezza di rete sul modello hub-and-spoke. Hanno implementato le funzionalità di sicurezza in un data center; tutti i dipendenti dell’ufficio erano collegati ad esso. Quel modello è stato completamente stravolto. In un mondo in cui si lavora da remoto, esistono troppi punti di strozzatura nell’accesso a tali ambienti.
Supponiamo che la vostra sia una grande società di servizi finanziari con 32.000 dipendenti che cercano di connettersi alle applicazioni di rete nei vostri data center tramite una connessione VPN legacy. Quella stessa connettività viene utilizzata per i servizi di sicurezza. Ciò crea un punto di strozzatura per le reti aziendali. Molte aziende finiscono per scendere a compromessi in materia di sicurezza poiché devono garantire il funzionamento delle applicazioni aziendali.
La prima cosa che dobbiamo fare è eliminare la dipendenza da potenziali punti di strozzatura. Se tutti lavorano da casa utilizzando una connessione via cavo o DSL, garantire la sicurezza solo a livello di rete non sarà sufficiente. Con una forza lavoro distribuita, quel livello di rete diventa obsoleto. Ciò significa che è necessaria la sicurezza presso l’ endpoint. Ed è importante garantire la sicurezza dei propri servizi, siano essi SaaS o " IaaS", nel cloud.
Individuare ogni endpoint
Non è possibile gestire e proteggere ciò che non si vede. Ad esempio, collaboro con numerosi CISO e CIO che utilizzano una soluzione per la gestione delle risorse, una per la gestione delle vulnerabilità e una per la gestione delle patch. L'utilizzo di più sistemi per la gestione e la protezione dei dispositivi comporta lacune nella visibilità. Questi strumenti funzionano tutti in modi diversi. Alcuni funzioneranno su Windows. Alcuni funzioneranno su Linux. Alcuni funzioneranno su Mac. La frammentazione degli strumenti rende incredibilmente difficile valutare correttamente la propria esposizione.
«Non è possibile gestire e proteggere ciò che non si vede.»Chris Hodson
Conosco alcuni CISO che affermano: «Ebbene, nell’ultimo trimestre siamo riusciti a raggiungere il 97% di implementazione delle patch critiche». «È un record aziendale.» Tutti stanno applaudendo e si danno il cinque. Tuttavia, quella stessa CISO ha implementato quell’agente di applicazione delle patch solo nel 75% delle proprie infrastrutture tecnologiche. Lei non riesce a vedere il resto, quindi quella parte non verrà corretta. Si ottengono quindi indicatori davvero distorti.
La mancanza di visibilità risulta ancora più marcata in un contesto di lavoro da remoto. Tuttavia, se disponete di un piano di gestione, ovvero di un’unica dashboard che vi consenta di identificare e accedere ai vostri endpoint, otterrete maggiore visibilità e controllo.
Adottate l’approccio “zero trust”
Avvicinare la sicurezza all’ endpoint e — e allontanarla dal data center — è fondamentale per salvaguardare le attività aziendali distribuite di oggi e la continuità operativa. I dipendenti utilizzano dispositivi che non consentono al CISO e al team di sicurezza di redigere rapporti sul loro livello di sicurezza, compresi aspetti quali lo stato delle patch. In tal senso, la superficie di attacco ha subito un’esplosione in termini di dimensioni.
È qui che entra in gioco il modello “zero trust”. Il concetto è semplice. Al fine di proteggere la rete informatica di un’organizzazione da eventuali intrusioni, tutti i dispositivi e gli utenti, anche quelli già noti al sistema, vengono considerati una potenziale minaccia e devono essere autenticati prima che venga loro concesso l’accesso alla rete. Il modello "zero trust" esiste ormai da due decenni. Tuttavia, la maggior parte dei team di sicurezza non si è mai davvero impegnata ad applicarla. La pandemia e la proliferazione degli endpoint remoti utilizzati su reti Wi-Fi non protette lo rendono ormai indispensabile.
Spostamento a sinistra
In qualità di CISO, il mio ruolo non è quello di dire alle persone che non possono fare certe cose. Tuttavia, ciò è stato tradizionalmente considerato un compito di competenza della sicurezza, il che è in netto contrasto con le odierne pratiche di sviluppo software agile, basate sui principi del “fallire rapidamente” e “iterare rapidamente”.
Un modo per risolvere il problema consiste nell’adottare il cosiddetto approccio “shift left” nel collaudo del software. Ciò significa che si effettuano i test in una fase molto più precoce (a sinistra) del ciclo di sviluppo, integrando le correzioni di sicurezza man mano che gli sviluppatori scrivono e rilasciano il codice. Codificando i controlli di sicurezza sin dalle prime fasi, si riduce la complessità al momento della messa in produzione. Ciò garantisce che il team di sicurezza sia sufficientemente flessibile da adeguare i requisiti di sicurezza alle mutevoli esigenze aziendali — una conseguenza inevitabile di qualsiasi progetto di sviluppo basato sul metodo agile. La funzione di sicurezza dovrebbe operare con discrezione, fornendo una consulenza fondamentale in modo quasi immediato.
Concentratevi sull’attività, non solo sulla tecnologia
La complessità non è solo di natura tecnica. Una delle principali sfide che le organizzazioni si trovano ad affrontare in questo momento, in un periodo di pandemia, è quella di comprendere la propria continuità operativa. Come funzionano i vostri servizi, la vostra offerta di servizi aziendali, i vostri servizi di sicurezza, i vostri servizi informatici e la vostra catena di approvvigionamento? Tale valutazione rientra nelle competenze del CISO e del CIO, nonché nella responsabilità della dirigenza dell endpoint .
A marzo, quando tutti hanno iniziato a lavorare da remoto, ho ricevuto una valanga di richieste da parte dei clienti che chiedevano informazioni sulla continuità operativa dell’ Tanium. Volevano sapere: come avremmo potuto continuare a supportare la nostra clientela e i nostri partner, visto che tutti erano a casa? Alcuni clienti ci hanno inviato dei questionari contenenti 150 domande sui nostri metodi. In altri casi, mi sono semplicemente messo al telefono con un responsabile della governance e gli ho spiegato il nostro approccio, fornendogli una copia delle nostre attestazioni relative ai vari quadri normativi di conformità per dimostrargli che il nostro software applicativo era integro e affidabile.
Ciò significa che la pianificazione della continuità operativa deve adattarsi ai processi e al personale di un’organizzazione. È simile all’approccio di un’azienda alla sicurezza informatica. In definitiva, è necessario riporre fiducia nella propria catena di fornitura, ma il modo in cui si convalida tale fiducia è soggettivo e deve adattarsi sia alla cultura aziendale che alle risorse a disposizione.
Ecco perché la gestione della complessità non è solo una questione tecnica. La complessità deriva dalle catene di approvvigionamento. Si tratta di individuare i rischi a monte e a valle. Si tratta di comprendere quali siano le dipendenze esistenti non solo a livello tecnologico, ma anche in relazione alle persone e al modo in cui queste svolgono il proprio lavoro.
La complessità è il modo in cui operano le aziende contemporanee. Accettarlo vi consentirà di sostenere i vostri dipendenti qualunque cosa accada in futuro. La gestione di un’azienda distribuita è complessa, ma rappresenta anche un’opportunità per avere successo. E come ha detto Mike Tyson: «Tutti hanno un piano, finché non prendono un pugno in bocca».
Chris Hodson ricopre il ruolo di CISO presso Tanium.
