Poiché i responsabili della sicurezza si trovano ad affrontare un'ondata di attacchi da parte di ransomware e altre minacce informatiche, può risultare difficile stabilire su cosa concentrare le proprie energie. È proprio in questo contesto che un “punteggio di rischio informatico” promette di venire in soccorso.
Queste valutazioni sono simili a un punteggio di affidabilità creditizia nel campo della sicurezza informatica. Il punteggio di rischio informatico “ ” fornisce una valutazione del livello specifico di esposizione di un’organizzazione agli attacchi informatici, delle sue prestazioni in relazione a decine di strategie di mitigazione necessarie e dei punti deboli ancora presenti nel suo sistema di sicurezza.
Gli attacchi informatici spesso hanno successo a causa di errori evitabili, quali la mancata installazione degli aggiornamenti software di e una gestione inadeguata delle patch di .
La valutazione del rischio informatico può mettere in luce tali problematiche prima che queste portino a una violazione. Essi offrono un approccio di facile comprensione e basato su dati concreti per sviluppare una strategia mirata di prevenzione del ransomware , e risultano particolarmente utili nel comunicare l’urgenza di apportare miglioramenti ai dirigenti di alto livello e al consiglio di amministrazione, oppure ai vertici delle agenzie governative.
Considerando che ogni aspetto, dalle tariffe assicurative alle operazioni di fusione e acquisizione , si basa sui punteggi di rischio informatico, i responsabili della sicurezza informatica (CISO) farebbero bene a prestare ascolto al loro appello. Tuttavia, questi numeri dall’aspetto semplice rappresentano solo un tassello del complesso quadro della sicurezza. E non tutti i punteggi di rischio sono uguali. È opportuno esaminare a fondo la questione prima di affidarsi a tali punteggi per prendere decisioni di importanza cruciale.
Il prezzo dell’inazione
Una serie di attacchi ransomware devastanti e dannosi verificatisi negli ultimi 18 mesi ha messo in difficoltà persino le organizzazioni dotate dei sistemi di sicurezza più avanzati. Cybersecurity Ventures stima che i costi legati al ransomware supereranno i 265 miliardi di dollari entro il 2031. Quasi il 40% dei dirigenti intervistati dalla società di ricerche di mercato IDC aveva subito uno o due attacchi ransomware nei 12 mesi precedenti, che li avevano costretti a destinare risorse significative alla risoluzione del problema. Il 37% dei dirigenti ha dichiarato che un attacco ha causato un’interruzione dei servizi della durata di una settimana o più.
Con l’aumentare della frequenza e dell’intensità degli attacchi, i CISO, preoccupati, stanno valutando il proprio livello di sicurezza e cercando di comprendere il grado di rischio a cui sono esposte le loro organizzazioni. Secondo IDC, circa il 50% dei responsabili delle decisioni e delle figure influenti nel settore della sicurezza informatica ha affermato che la preoccupazione per gli attacchi ransomware li ha spinti a condurre periodicamente dei test di stress sulle proprie procedure di risposta agli attacchi informatici nel corso dell’anno precedente. Inoltre, il 37% aveva condotto una revisione a livello aziendale delle pratiche relative alla sicurezza, alla protezione dei dati e al ripristino, avvalendosi di informazioni disponibili al pubblico. Nonostante tutto questo impegno, più di tre quarti dei dirigenti non hanno fiducia nel profilo di sicurezza della propria organizzazione, secondo un altro studio intitolato “ ” (La sicurezza informatica: una priorità per le aziende), condotto dalla società di consulenza IDG Connect.
Com'è comprensibile, molti CISO hanno fatto ricorso ai punteggi di rischio informatico per ottenere informazioni indispensabili sul livello di esposizione della propria organizzazione. Sebbene i punteggi possano essere utili per individuare i punti deboli, risultano ancora più utili quando aiutano a stabilire le priorità tra le minacce e le misure che le organizzazioni devono adottare per proteggersi da tali minacce.
«Un semplice punteggio non offre ai dirigenti del settore informatico la possibilità di prendere quel tipo di decisioni aziendali», afferma Bob Maley, responsabile della sicurezza (CSO) presso Black Kite, una piattaforma di valutazione del rischio informatico fondata da un hacker etico certificato (CEH) per conto della NATO. «È necessario disporre di informazioni che La aiutino a prendere la decisione di agire e che garantiscano che le Sue azioni siano adeguate.»
Con il moltiplicarsi degli attacchi del ransomware “ ” , i consigli di amministrazione delle aziende e i vertici delle agenzie governative stanno esercitando pressioni sui CISO e sui CIO affinché forniscano garanzie, basate su dati concreti, che le loro organizzazioni abbiano rafforzato la sicurezza. Quasi il 30% delle organizzazioni intervistate da IDC ha dichiarato che, nell’anno precedente, i propri consigli di amministrazione avevano richiesto una presentazione sulle procedure di risposta agli attacchi ransomware e sulle attuali prassi in materia di protezione e recupero dei dati.
[Leggi anche: Ransomware 101: Che cos’è e come si previene un attacco?]
«Sebbene i team dirigenziali abbiano in genere una buona comprensione dei rischi, quantificarli nell’ambito della sicurezza informatica si è rivelato difficile», afferma Shawn Marriott, direttore della gestione dei prodotti presso Tanium. Ciò è in parte dovuto al fatto che i dati relativi alla sicurezza, denominati “ ”, sono dispersi in vari silos all’interno di organizzazioni di grandi dimensioni e complesse. Inoltre, i team IT e di sicurezza utilizzano spesso strumenti e parametri diversi per valutare se hanno raggiunto i propri obiettivi.
«Il problema principale che abbiamo al momento è che esistono pochi modelli di riferimento per identificare, quantificare e classificare in ordine di priorità i rischi informatici», spiega Nadav Zafrir, cofondatore della società di venture capital specializzata nel settore tecnologico Team8. Le organizzazioni non possono proteggere tutto, afferma Zafrir. Poiché le loro reti sono interdipendenti con i clienti, i partner della catena di approvvigionamento e persino con il governo, afferma, i dirigenti aziendali devono comprendere i rischi, stabilirne le priorità e quindi ottimizzare il proprio approccio in modo da poter ridurre la probabilità che un attacco vada a buon fine.
Cosa cercare
Sebbene i CISO ricorrano ai punteggi di rischio informatico per valutare le minacce che le loro organizzazioni devono affrontare, l’attacco alla Colonial Pipeline , descritto nell’articolo “”, sottolinea quanto sia avventato affidarsi eccessivamente a un unico dato numerico.
«Colonial Pipeline presentava un punteggio [di rischio] soddisfacente. Tuttavia, vi erano alcuni segnali evidenti che ci hanno permesso di capire come fossero diventati vittime.”Bob Maley, Direttore della sicurezza (CSO), Black Kite
«Per quanto riguarda il loro rating di sicurezza, hanno ottenuto un punteggio soddisfacente», afferma Maley, che in precedenza ha ricoperto il ruolo di responsabile della sicurezza e delle ispezioni globali di terze parti presso PayPal, di consulente per la gestione dei rischi presso Wells Fargo e di CISO per lo Stato della Pennsylvania. «Tuttavia, in alcuni componenti erano presenti chiari indizi che ci hanno permesso di capire in che modo fossero diventati vittime.»
Colonial Pipeline non rappresenta un caso isolato. Gli incidenti di sicurezza sono spesso il risultato di punti deboli nelle pratiche di sicurezza relative all’ e di un’organizzazione. Per essere davvero utile, un punteggio di rischio deve includere informazioni sulla sicurezza tali da indurre un’azienda a correggere le vulnerabilità che il punteggio stesso contribuisce a individuare.
«Esistono controlli compensativi che non eliminano il rischio, ma la configurazione o la loro attivazione contribuiscono a mitigare i rischi», afferma Marriott di Tanium. Tra queste figurano, ad esempio, l’accertarsi di avere un software antivirus installato e che sia aggiornato. «Non è raro imbattersi in software antivirus che non vengono aggiornati da 10 anni», afferma.
[Leggi anche: Non è possibile affrontare le minacce di domani con la mentalità di ieri]
Le soluzioni esistenti per la valutazione del rischio presentano in genere delle carenze nell’analisi dei dati relativi alla sicurezza interna. «Le organizzazioni faticano a ottenere informazioni tempestive e accurate sul proprio patrimonio complessivo», afferma Marriott, «ma i dati sono incoerenti e frammentari», il che può falsare i calcoli di rischio.
Marriott sostiene invece che una soluzione per la gestione dei rischi informatici dovrebbe garantire quanto segue:
Fornire un ampio insieme di dati relativi alla sicurezza
Grazie alle informazioni relative ai controlli di sicurezza interni, ai possibili vettori di attacco, alle principali vulnerabilità e ai requisiti di conformità, i CISO sono in grado di individuare con maggiore efficacia i rischi e di destinare le risorse a quelli che potrebbero avere il maggiore impatto sulle loro organizzazioni.
Ad esempio, la scomparsa del computer portatile di un membro della dirigenza è più grave rispetto a quella del computer portatile di un dipendente alle prime armi. I sistemi migliori evidenziano il numero esatto di endpoint che necessitano di interventi correttivi e il livello di criticità per ciascuno di essi. «Una volta che i team di sicurezza dispongono di tali informazioni, possono effettuare analisi per comprendere e quindi stabilire le priorità su ciò che occorre correggere per ridurre il livello di rischio», afferma Marriott.
Consentire una definizione delle priorità più efficace
Un punteggio di rischio può fornire una panoramica dello stato di sicurezza informatica di un’organizzazione in un determinato momento. Ma ancora più utile è un punteggio continuo e olistico che aiuti un team IT molto impegnato a individuare le tendenze in tempo reale e ad affrontare rapidamente i rischi più urgenti. «Si potrebbe fornire a qualcuno un elenco di 20 endpoint di cui occuparsi, il che rappresenterebbe in effetti un punto di partenza ragionevole», afferma Marriott.
Ampliare il profilo di sicurezza dell’organizzazione
Poiché le organizzazioni ricorrono sempre più spesso alle assicurazioni contro i rischi informatici per compensare i risarcimenti versati ai criminali, gli assicuratori sono fortemente interessati a disporre di prove relative alle buone pratiche di sicurezza informatica (cyber hygiene) e alla gestione delle minacce () dei propri clienti. Allo stesso modo, le terze parti hanno un interesse diretto a comprendere il rischio rappresentato dai propri partner della catena di fornitura. E qualora il governo dovesse istituire, in futuro, un’Autorità nazionale per la sicurezza informatica ( ) incaricata di indagare sugli attacchi informatici, un sistema di valutazione olistico potrebbe rivelarsi utile agli investigatori.
Per il momento, tuttavia, le organizzazioni dovrebbero assicurarsi che la propria soluzione di valutazione del rischio sia in linea con i propri obiettivi organizzativi più ampi. Ciò consentirà ai dirigenti aziendali — dal consiglio di amministrazione e dai vertici aziendali fino ai responsabili dei team tecnici — di comprendere in che modo un punteggio si traduca in perdite o risparmi in termini monetari.
In definitiva, una visione condivisa dei risultati aziendali garantirà che una soluzione di valutazione del rischio offra un piano d’azione completo per prevenire gli attacchi ransomware e preservare la resilienza operativa.
