As we set out to consider the major cybersecurity and IT operations developments of 2017, we identified three major forces we believe will influence public- and private-sector enterprises for years to come. And we provide action items you can take in your own organizations to address these forces in 2018.
(Immagine: Mohamed Hassan / Pixabay)
Che cosa sarebbe una rassegna di fine anno senza menzionare il ransomware, l’Internet delle cose e gli attori malintenzionati legati agli Stati-nazione? Tutti questi elementi hanno influito in misura significativa sulla vita dei professionisti della sicurezza informatica e delle operazioni IT nel corso del 2017 e continueranno ad esercitare un’influenza determinante sulle nostre vite nel corso del prossimo anno. Va bene, ne abbiamo parlato.
Se state cercando un elenco esaustivo di tecnologie, Forbes non tralascia alcun aspetto con le sue 60 previsioni sulla sicurezza informatica per il 2018. Queste rassegne tecnologiche sono utili per orientare le vostre decisioni in materia di pianificazione e acquisti. Tuttavia, quando abbiamo iniziato a esaminare i principali sviluppi del 2017 in materia di sicurezza informatica e operazioni IT, ci siamo resi conto che quest’anno sono state all’opera tre forze principali che indicano cambiamenti significativi a livello organizzativo e comportamentale. Riteniamo che tali fattori influenzeranno le decisioni in materia di operazioni IT e sicurezza informatica prese dalle imprese del settore pubblico e privato negli anni a venire. In questa sede, illustriamo l’importanza di questi aspetti e forniamo alcuni suggerimenti sulle azioni che potrete intraprendere all’interno della vostra organizzazione nel corso del prossimo anno.
Tre fattori trainanti della sicurezza informatica e delle operazioni IT nel corso 2017
1. Applicazione delle patch
Uno dei compiti meno affascinanti delle operazioni IT è balzato quest’anno alla ribalta dopo che una serie di attacchi ransomware ha paralizzato le organizzazioni di tutto il mondo. Tra tutte le accuse e il clamore, tuttavia, si rischia facilmente di perdere di vista il fatto che la correzione del bug “ ” sia complessa: (si apre in una nuova scheda). Anche le nostre migliori intenzioni vengono spesso vanificate da qualcosa di antico quanto l’umanità stessa: la paura del cambiamento (si apre in una nuova scheda). Come osserva la redattrice senior Fahmida Y. Rashid su CSO Online: «Le organizzazioni dispongono di sistemi legacy e molte di esse hanno effettuato nel corso degli anni ingenti investimenti in sistemi e apparecchiature per i quali non è possibile applicare patch». Le migrazioni non rappresentano sempre la soluzione, e il settore della sicurezza deve dare prova di maggiore creatività nel trovare modalità per collaborare con le organizzazioni al fine di aggiornare i sistemi obsoleti o di implementare misure di protezione a tutela di quelli già esistenti. Esistono delle restrizioni su come l’organizzazione possa utilizzare i propri fondi, il che richiede un’ulteriore serie di idee creative per cavarsela con risorse limitate.”
I compartimenti stagni all’interno dell’organizzazione non aiutano certo a risolvere la situazione. Nella maggior parte delle organizzazioni, si osserva che i team addetti alle operazioni IT e alla sicurezza informatica operano all’interno di unità aziendali separate e distinte e fanno capo a dirigenti aziendali diversi, il che rende difficile ottenere quella visione d’insieme della rete necessaria per contrastare eventuali attacchi futuri. Se noi, come settore, nutriamo qualche speranza di poter opporre una degna resistenza a una forza formidabile, dobbiamo iniziare abbattendo le barriere aziendali tra le operazioni IT e la sicurezza. Qui su Tanium mettiamo in pratica ciò che predichiamo. I nostri team IT e di sicurezza sono riuniti in un’unica organizzazione, guidata dal nostro responsabile della sicurezza. Nella maggior parte delle organizzazioni, però, non è così. In effetti, le linee gerarchiche variano notevolmente e non sembra esserci uno standard ben definito. Più di quattro su 10 intervistati nell’ambito dell’indagine “ ” condotta da PwC, intitolata “ 2018 Global State of Information Security Survey” (si apre in una nuova scheda), che ha coinvolto 9.500 dirigenti in 122 paesi, hanno affermato che il proprio CISO fa capo all’ CEOe, mentre il 22% ha dichiarato che il CISO riferisce direttamente al consiglio di amministrazione. Circa un quarto (24%) ha dichiarato che il proprio CISO fa capo al CIO. Sebbene invocare un cambiamento organizzativo su larga scala possa sembrare un’impresa donchisciottesca, riteniamo che i team addetti alle operazioni IT e alla sicurezza farebbero bene a collaborare più strettamente, indipendentemente dalla struttura gerarchica. Un primo passo potrebbe essere quello di avviare una collaborazione tra i membri dei team operativi IT e di sicurezza in merito alle scelte tecnologiche che rispondano alle esigenze di entrambi i gruppi.
Cosa può fare al riguardo:
Migliorare la collaborazione tra i team IT e quelli dedicati alla sicurezza informatica non rappresenta una panacea per i dilemmi relativi all’applicazione delle patch che le organizzazioni devono affrontare, ma contribuisce in modo significativo a semplificare il processo. Impegnarsi a promuovere uno spirito di collaborazione costante consentirà a Lei e ai Suoi colleghi di mantenere più facilmente aggiornate le applicazioni e i dispositivi, garantendo al contempo la sicurezza dei dati e dei dipendenti della Sua azienda. Cercate progetti validi con obiettivi comuni a cui possiate collaborare. Si cerchino soluzioni per creare meccanismi di comunicazione interorganizzativi più efficaci. Sviluppare strategie volte a favorire lo scambio di idee tra i vari team. Potreste scoprire, ad esempio, che i vostri colleghi del reparto IT desiderano impegnarsi maggiormente nel campo della sicurezza informatica, poiché ciò consente loro di distaccarsi dai propri ruoli tradizionali. Allo stesso modo, se dedicate tutto il vostro tempo a un team di sicurezza informatica, un periodo di esperienza nel settore delle operazioni IT potrebbe aiutarvi a comprendere le sfide che quei colleghi devono affrontare.
2. Il consiglio di amministrazione
Ciò che rende il 2017 un punto di svolta per quanto riguarda il tema della sicurezza informatica e il consiglio di amministrazione è il netto cambiamento nelle tipologie di domande poste dai membri del consiglio. Negli ultimi anni, le violazioni di sicurezza di grande risonanza – e il conseguente impatto sui risultati economici – hanno spinto i consigli di amministrazione a prestare attenzione alla sicurezza informatica come mai prima d’ora. Come scrive Julliette Rizkallah, CMO di Sailpoint, , su Forbes (si apre in una nuova scheda): “Abbiamo fatto molta strada dai tempi in cui i membri del consiglio di amministrazione chiedevano: ‘Siamo al sicuro?’” Attualmente stanno richiedendo schede di valutazione che misurino il livello di sicurezza aziendale. Stanno inoltre ponendo un numero maggiore di domande relative alle normative e al modo in cui i controlli di sicurezza possano contribuire a dimostrare la conformità. “Presto vedremo i consigli di amministrazione richiedere briefing trimestrali sulla sicurezza informatica – alcuni dei quali presentati direttamente dal CISO – anziché affidarsi agli aggiornamenti sporadici forniti dal comitato per la sicurezza aziendale.”
Infatti, secondo un sondaggio condotto dalla National Association of Corporate Directors (NACD) su 587 amministratori aziendali, la sicurezza informatica è una delle cinque principali tendenze che, secondo le previsioni, avranno il maggiore impatto sulle aziende nel 2018. Secondo la NACD, i consigli di amministrazione si dimostrano meno fiduciosi rispetto a un anno fa riguardo alla propria preparazione ai rischi informatici. Solo il 37% degli intervistati dichiara di sentirsi sicuro o molto sicuro che la propria azienda sia adeguatamente protetta da un attacco informatico, rispetto al 42% dello scorso anno.
Spesso spetta al CISO o al CSO di un’azienda informare il consiglio di amministrazione (si apre in una nuova scheda) in materia di sicurezza informatica, il che può rivelarsi un compito difficile e impegnativo. Di norma si parla di tecniche e tecnologie, mentre i principali fattori aziendali – tra cui il modo in cui i compartimenti stagni all’interno delle organizzazioni limitano l’efficacia delle pratiche di sicurezza informatica – rimangono inascoltati. La società di ricerche Gartner prevede che, entro la fine dell’anno, le organizzazioni di tutto il mondo spenderanno complessivamente 89,1 miliardi di dollari in sicurezza informatica (si apre in una nuova scheda) ; si prevede inoltre che la spesa aumenti del 8% fino a raggiungere i 96,3 miliardi di dollari nel 2018. Inoltre, da un’indagine condotta da Ernst & Young su 1.200 dirigenti di alto livello di aziende di tutto il mondo emerge che la stragrande maggioranza degli intervistati ritiene che le proprie organizzazioni debbano aumentare la spesa per la sicurezza informatica del 50%. Tuttavia, solo il 12% degli intervistati prevede che i propri budget destinati alla sicurezza informatica aumentino di oltre il 25%. Ciò potrebbe indicare una mancanza di volontà da parte delle aziende di aumentare la spesa per la sicurezza informatica. Infatti, da un’indagine condotta dalla Society of Information Management su 1.178 professionisti del settore IT emerge che, sebbene i responsabili IT abbiano individuato nella sicurezza informatica la principale sfida per le loro organizzazioni quest’anno, la spesa per la sicurezza informatica, espressa in percentuale dei bilanci IT, è diminuita nel 2017. La spesa per la sicurezza informatica rappresenta quest’anno il 5,3% del bilancio IT, rispetto al 6,2% del 2016).
Allora, cosa spingerà le organizzazioni ad aumentare i propri investimenti nella sicurezza informatica? Oltre i tre quarti degli intervistati nel sondaggio condotto da EY (76%) affermano che l’individuazione di una violazione che abbia causato danni comporterebbe probabilmente un aumento delle risorse destinate alla sicurezza informatica. Il danno sembra essere il fattore determinante in questo contesto; il 64% degli intervistati ha affermato che un attacco che non sembrasse aver causato alcun danno difficilmente determinerebbe un aumento del budget destinato alla sicurezza informatica dell’organizzazione.
Sebbene quest’anno le organizzazioni abbiano compiuto progressi nel modificare la natura delle discussioni sulla sicurezza informatica che si svolgono a livello di consiglio di amministrazione, c’è ancora molta strada da percorrere prima che la sicurezza informatica venga presa sul serio come priorità aziendale dalla maggioranza dei consigli di amministrazione. Solo il 44% degli intervistati nell’ambito dell’indagine “PwC 2018 Global State of Information Security Survey” afferma che i consigli di amministrazione delle proprie aziende partecipano attivamente alla strategia di sicurezza complessiva delle stesse. Secondo Gartner (si apre in una nuova scheda), : «Il reparto sicurezza ha ora una responsabilità maggiore nel tradurre il proprio operato in un contesto aziendale». In assenza di comunicazione, si verifica un disallineamento tra la sicurezza e quanto avviene nel resto dell’organizzazione. È in questi casi che si assiste alla diffusione di fenomeni quali lo “shadow IT”. Grazie a questo allineamento, l’organizzazione avrà successo o fallirà all’unisono, il che la collocherà in una posizione migliore rispetto a chi opera in compartimenti stagni.”
Cosa può fare al riguardo:
Individuare gli indicatori più adeguati da condividere con il proprio consiglio di amministrazione rappresenta una delle sfide più impegnative che i responsabili della sicurezza informatica devono affrontare. Dimostrare il ritorno sull’investimento (ROI) degli investimenti nella sicurezza informatica è più facile a dirsi che a farsi, soprattutto quando l’indicatore deve essere correlato all’attività aziendale. Certo, si può affermare che il prodotto X ci abbia permesso di individuare e correggere la vulnerabilità Y con una rapidità superiore del 30% rispetto alla soluzione precedente. È una bella cosa, ma per il vostro consiglio di amministrazione non avrà alcuna importanza. La soluzione di ripiego consiste nel misurare tutto ciò che vi viene in mente di misurare e lasciare che sia il consiglio di amministrazione a fare ordine. Anche questo non significa nulla per il vostro consiglio di amministrazione. Spetta a voi valutare attentamente ciò che condividete e assicurarvi che sia in linea con un reale valore aziendale. In un articolo pubblicato su CSO, intitolato “ Palo Alto Networks ” (La sicurezza informatica non è un costo, ma un investimento), il CSO Rick Howard raccomanda di ricorrere a concetti aziendali quali la perdita di ricavi, i costi necessari per condurre l’indagine forense sull’attacco e riparare eventuali danni causati, nonché le spese sostenute per difendersi dalle azioni legali intentate dai clienti, al fine di contestualizzare le vostre iniziative in materia di sicurezza informatica. Un primo passo consiste nel collaborare con i vostri referenti del settore IT e del settore aziendale per individuare gli indicatori di performance più significativi per la vostra organizzazione, per poi valutare in che modo sia possibile correlare i vostri investimenti nella sicurezza informatica a tali indicatori. Quando si tratta di misurare l’efficacia della vostra strategia di sicurezza informatica, non esiste una risposta valida per tutti i casi, e spetta a voi coinvolgere i colleghi a vostra disposizione per aiutarvi a comprendere quali siano gli aspetti più rilevanti per il vostro consiglio di amministrazione.
3. Protezione dei dati
Il Regolamento generale sulla protezione dei dati dell’Unione Europea (si apre in una nuova scheda) (GDPR), che entrerà in vigore nel maggio 2018, sta già avendo quest’anno un impatto significativo sul modo in cui le organizzazioni concepiscono la protezione dei dati. Qualsiasi azienda che operi nell’Unione Europea – indipendentemente dalla propria sede – dovrà attenersi al regolamento (si apre in una nuova scheda), che modifica le modalità di utilizzo dei dati personali da parte delle imprese e delle amministrazioni pubbliche. Il mancato rispetto di tali disposizioni potrebbe comportare sanzioni pecuniarie fino al 4% del fatturato globale. Un disegno di legge presentato al Parlamento del Regno Unito a settembre ricalcherebbe GDPR (si apre in una nuova scheda).
Con una posta in gioco così alta, la normativa “ GDPR ” ha scatenato una corsa all’accaparramento tra i fornitori di tecnologia, con operatori di ogni tipo che hanno lanciato sul mercato ogni sorta di strumento promettendo di alleggerire gli oneri di conformità. La quantità di disinformazione (FUD) su relativa a GDPR , (si apre in una nuova scheda),e è enorme, e a ragione. Tale regolamento non solo modificherà il modo in cui le organizzazioni conducono le proprie attività di marketing online rivolte ai consumatori, ma cambierà anche le modalità con cui sono tenute a reagire a seguito di una violazione.
GDPR prevede una nuova norma, , relativa alla notifica delle violazioni entro 72 ore (si apre in una nuova scheda), che esercita una notevole pressione sui team addetti alle operazioni IT e alla sicurezza informatica. Coloro che non rispettano il termine di 72 ore potrebbero incorrere in una sanzione pari fino al 2% del proprio fatturato globale. Il regolamento introduce inoltre requisiti in materia di localizzazione dei dati che avranno ripercussioni su qualsiasi azienda che utilizzi il cloud per svolgere la propria attività nell’UE.
Secondo The National Law Review, «La definizione di violazione dei dati ai sensi dell’ GDPR è più ampia rispetto a quella prevista dalla maggior parte delle leggi statali statunitensi». Ai sensi del “ GDPR”, si può verificare una violazione dei dati qualora ne risultino compromesse la riservatezza, la disponibilità e l’integrità. Ciò può essere causato da qualsiasi evento che comprometta, anche solo temporaneamente, la disponibilità dei dati, come ad esempio un attacco ransomware o un’interruzione di corrente. Analogamente, la definizione di “dati personali” ai sensi della legge “ GDPR ” è notevolmente più ampia rispetto a quella prevista dalla legislazione statunitense e comprende qualsiasi informazione che possa essere utilizzata, direttamente o indirettamente, per identificare una persona fisica, compresi gli indirizzi IP e le password di rete.”
Dal punto di vista delle politiche pubbliche, il regolamento mette in luce le differenze fondamentali nel modo in cui la privacy viene considerata dalle autorità dell’Unione europea e degli Stati Uniti. Le imprese degli Stati membri dell’UE considerano la privacy un diritto umano fondamentale, e questa filosofia è alla base della legislazione. Gli Stati Uniti non legiferano partendo dal presupposto che la privacy sia un diritto umano fondamentale. Secondo la National Law Review (si apre in una nuova scheda), «Anziché elaborare una normativa fondamentale e di ampio respiro in materia di privacy, gli Stati Uniti tendono a varare leggi sulla privacy solo quando se ne presenta la necessità». Le normative sulla privacy negli Stati Uniti tendono ad essere specifiche per settore (HIPAA (si apre in una nuova scheda) per il settore sanitario, e GLBA (si apre in una nuova scheda) e FCRA (si apre in una nuova scheda) per le informazioni finanziarie) e talvolta sono dettate da standard di settore anziché da normative governative, come nel caso di PCI -DSS (si apre in una nuova scheda) nel settore delle carte di pagamento.
La preparazione all’ GDPR e rappresenta un’opportunità per i team operativi IT e di sicurezza di iniziare a individuare modalità di collaborazione e di lavoro congiunto volte ad eliminare i silos organizzativi. È difficile immaginare che un’organizzazione possa rispondere in modo adeguato a un attacco di tipo “ GDPR ” senza uno sforzo concertato a livello aziendale che non solo coinvolga i team IT e di sicurezza informatica, ma riunisca anche figure provenienti dai settori della governance, della gestione dei rischi e della conformità, dell’ufficio legale, del marketing e delle operazioni digitali – tra gli altri.
Cosa può fare al riguardo:
Sebbene gli obblighi di notifica delle violazioni e di adozione di misure correttive rappresentino gli aspetti più evidenti in cui il regolamento « GDPR » inciderà sulla vita dei professionisti della sicurezza informatica e dell’IT, non si possono trascurare i rigorosi requisiti in materia di privacy e protezione dei dati previsti dal regolamento stesso. Ad esempio, un documento informativo di Forrester Security intitolato “ ” ( GDPR ) (si apre in una nuova scheda) sottolinea che, in base alle nuove norme, “le aziende devono tenere conto della privacy sin dall’inizio di qualsiasi nuovo progetto e garantire che siano in atto adeguati controlli di sicurezza in tutte le fasi di sviluppo”. Ciò richiederà una collaborazione costante tra i team. Supponiamo, quindi, che la vostra azienda stia sviluppando un nuovo App. I Suoi esperti in materia di sicurezza e privacy dovranno collaborare con il team di marketing per definire i requisiti aziendali e il piano di sviluppo, al fine di garantire la conformità alla nuova normativa. Analogamente, il regolamento “ GDPR ” introduce nuove norme che disciplinano le modalità di trasferimento dei dati personali tra le imprese. La definizione di “dati personali” è stata ampliata (si apre in una nuova scheda) : in base alle nuove norme, essa comprende gli identificatori diretti (nome, numero di identificazione, indirizzo di residenza), gli identificatori indiretti (data di nascita, ubicazione, titolo) e gli identificatori online (indirizzi IP, account sui social media, indirizzi e-mail, numeri di conto e cookie del browser). È giunto il momento che i team IT e di sicurezza informatica inizino a collaborare per assicurarsi di comprendere dove si trovino tutti questi dati all’interno dell’organizzazione, come vengano utilizzati e in che modo siano protetti.
Conclusioni
Che cosa hanno in comune l’applicazione corretta delle patch, una comunicazione efficace con il proprio consiglio di amministrazione e la preparazione alle nuove normative? Tutti traggono vantaggio da una più stretta collaborazione tra i team IT e quelli addetti alla sicurezza. If you make one business resolution for 2018, make it this: to work more closely with colleagues from across the organization to make sure you’re doing all you can to keep cybersecurity and IT operations working toward common the common goal of keeping your company’s data safe and secure.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
Informazioni sull’autore: In qualità di responsabile della sicurezza (Chief Security Officer), David Damato definisce la direzione strategica dei prodotti per lo sviluppo dei moduli della piattaforma di sicurezza per dispositivi mobili ( Tanium Platform ) e gestisce il programma di sicurezza interno dell’azienda. David apporta ad Tanium una vasta esperienza nel campo della sicurezza, che spazia dalla risposta agli incidenti e dall’analisi forense, alle valutazioni delle vulnerabilità, allo sviluppo di programmi di sicurezza, alle operazioni di sicurezza e all’architettura di rete e di sicurezza. Prima di entrare a far parte di Tanium, David ha ricoperto, da ultimo, il ruolo di amministratore delegato presso Mandiant , una società del gruppo FireEye, dove il suo team ha guidato le attività di risposta agli incidenti e di risanamento post-violazione presso oltre 100 aziende della classifica Fortune 500 . Presso Mandiant, David ha inoltre svolto un ruolo fondamentale nello sviluppo di nuove capacità relative ai servizi di risposta agli incidenti e nell’apertura di uffici di consulenza sia a livello nazionale che internazionale. Prima di entrare a far parte di Mandiant, David ha guidato i team di consulenza in materia di sicurezza presso PwC nell’ambito della divisione Washington Federal Practice e ha ricoperto incarichi nel settore IT presso Raytheon, occupandosi in particolare della gestione delle reti interne e governative. David condivide spesso le proprie competenze e riflessioni in occasione di eventi di settore e con i media.
