Se si chiede alla maggior parte degli esperti di sicurezza informatica, il rischio è ovunque. Esistono rischi legati agli endpoint privi di patch, alle nuove varianti di malware, agli attacchi di phishing di tipo “ ”, ai servizi cloud di “shadow IT” e ai computer portatili abbandonati sulle panchine dei parchi — e l’elenco potrebbe continuare.
Almeno una o due volte all’anno, al team di gestione dei rischi della Sua azienda verrà richiesto di valutare e rendicontare i rischi presenti in tutta l’organizzazione in modo che risultino comprensibili al comitato esecutivo e al consiglio di amministrazione.
Considerando la moltitudine di dettagli tecnici che contribuiscono al rischio, il Suo team potrebbe chiedersi come affrontare questo lavoro importante e di ampia portata. Il team di sicurezza della Sua azienda dovrebbe già monitorare le varianti di malware e individuare i sistemi che necessitano di nuove patch. Ma sono forse questi i dati che interessano al Suo team dirigenziale e al Suo consiglio di amministrazione? Se tali cifre oscillano di trimestre in trimestre, il Suo team sta svolgendo un buon lavoro? Se la pensa così, ne penserà così anche il consiglio di amministrazione?
La vera domanda è invece: come si misura il rischio in modo da fornire un supporto utile ai dirigenti della vostra organizzazione? Oppure, per dirla in altro modo: come si misura il rischio in modo che i dirigenti della vostra organizzazione possano innanzitutto comprendere quali siano gli aspetti rilevanti del rischio e, successivamente, prendere le decisioni giuste per ridurlo?
In questo articolo condivido le migliori pratiche per misurare il rischio in modi che risultino significativi per i vertici aziendali. È proprio da lì che inizieremo: dai vertici dell’organizzazione e dagli obiettivi che i dirigenti della vostra organizzazione hanno ritenuto più urgenti.
Misurare i rischi che contano per i vostri dirigenti
Mettiamo da parte per un momento la questione del rischio e parliamo invece dell’operato del team esecutivo e del consiglio di amministrazione. Sono responsabili della definizione della direzione strategica della vostra organizzazione. Ciò comporta garantire che le decisioni e gli investimenti a livelli inferiori della dirigenza siano in linea con la strategia di alto livello della vostra azienda.
Indipendentemente dal settore in cui opera, questi obiettivi di alto livello includeranno quasi certamente:
- Continuità operativa
- Riservatezza, integrità e disponibilità dei dati (CIA dei dati)
- la conformità normativa
Esaminiamoli uno per uno.
Misurazione del rischio associato alla continuità operativa
La continuità operativa significa garantire il funzionamento delle attività, mantenere la produttività dei dipendenti, assicurare il regolare svolgimento delle operazioni di produzione e spedizione (se del caso) e garantire che qualsiasi altro tipo di attività — che si tratti dell’estrazione di petrolio o della fornitura di un prodotto SaaS — continui a funzionare, a prescindere dalle circostanze.
Questa categoria comprende il ripristino in caso di disastri. Ciò comporta inoltre garantire che i servizi IT fondamentali per l’attività dispongano di capacità sufficiente a supportare tutti gli utenti, inclusi dipendenti, clienti e partner.
La continuità operativa implica inoltre che tali servizi siano in grado di resistere a minacce alla sicurezza quali attacchi DDoS (si apre in una nuova scheda), e che eventuali configurazioni errate o altri errori di gestione IT non impediscano mai ai dipendenti di accedere alle applicazioni e alle risorse IT di cui hanno bisogno.
Misurazione dei rischi associati alla riservatezza, all’integrità e alla disponibilità dei dati
In ogni settore, si riconosce l’importanza dei dati — definiti il «» nuovo petrolio (si apre in una nuova scheda)» dell’economia digitale — nonché l’urgenza di proteggerli. Le organizzazioni hanno sempre adottato alcune misure per garantire la riservatezza dei dati e assicurarsi che siano accessibili solo agli utenti autorizzati.
Tuttavia, la sfida di garantire la sicurezza dei dati è diventata più ardua. Innanzitutto, l’accesso ai dati sensibili avviene ora da un numero di postazioni mai visto prima. Ciò è dovuto, in parte, alla forza lavoro che opera da casa (WFH), la quale ricorre sempre più spesso all’utilizzo dei propri dispositivi personali (BYOD) anziché a computer portatili e fissi testati e forniti dal proprio reparto IT.
È difficile monitorare lo stato di sicurezza di questi endpoint poiché gli strumenti di sicurezza utilizzati dalla maggior parte delle organizzazioni sono stati progettati per funzionare principalmente con gli endpoint presenti su una rete locale.
Inoltre, le aziende stanno facendo ricorso ai dati in modo strategico e con modalità innovative. Ciò comprende la creazione di nuovi prodotti e servizi attraverso la combinazione di dati interni ed esterni. Ciò si riflette nell’emergere di una nuova figura dirigenziale, il Chief Data Officer (CDO), a testimonianza della crescente importanza dei dati per l’orientamento strategico e la situazione finanziaria dell’organizzazione.
In un modo o nell’altro, ogni organizzazione in ogni settore dovrà garantire la riservatezza, l’integrità e la disponibilità dei dati (si apre in una nuova scheda) (o, come è noto in alcuni ambienti IT, “data CIA”).
Misurazione del rischio connesso alla conformità normativa
Quando si parla di protezione dei dati, si pensa naturalmente a normative quali , GDPR, (si apre in una nuova scheda),, e , nonché all’HIPAA (si apre in una nuova scheda),e , che impongono entrambe la tutela dei dati personali.
Ma esistono anche altre normative, che disciplinano ogni aspetto, dalla rendicontazione finanziaria alla discriminazione razziale. Si tratta di norme che nessuna organizzazione può permettersi di violare. Il mancato rispetto delle norme può comportare multe salate, la risoluzione dei contratti e una cattiva pubblicità che si protrae per anni.
Ad esempio, uno studio condotto nel Regno Unito (si apre in una nuova scheda) ha rilevato che le perdite cumulative derivanti da una sanzione normativa ammontavano a nove volte l’importo della sanzione stessa. Poche aziende si assumerebbero consapevolmente un rischio di tale entità.
Per misurare efficacemente il rischio di non conformità, è necessario individuare quali normative siano rilevanti per la vostra organizzazione. Dovrà quindi monitorare le risorse e i processi IT che possono aiutare a stabilire se la Sua azienda sia conforme.
Inquadrare il rischio alla luce degli obiettivi strategici
Per attirare l’attenzione dei dirigenti della Sua organizzazione, inquadri la Sua analisi dei rischi e delle relative misurazioni in relazione ai loro principali obiettivi strategici.
Dopotutto, è loro compito garantire che la vostra organizzazione raggiunga i propri obiettivi fondamentali in materia di continuità operativa, protezione dei dati e conformità normativa. Naturalmente, potrebbero anche contribuire al raggiungimento di altri obiettivi aziendali, quali la crescita annua del fatturato o la cultura aziendale.
E quando questi leader si incontrano, sono proprio questi gli obiettivi a cui pensano. Ecco perché è così importante inquadrare i rischi informatici nel contesto della strategia dell’organizzazione.
In sintesi
Ho esordito in questo post sottolineando che il rischio è ovunque. Tuttavia, se vi concentrate sugli obiettivi strategici della vostra organizzazione, non sarà necessario dedicare tempo a catalogare ogni possibile indicatore relativo alla sicurezza informatica o alla conformità. Potete invece concentrarvi sulla misurazione degli indicatori che riflettono eventuali rischi che potrebbero impedire alla vostra azienda di raggiungere i propri obiettivi di massimo livello.
Nei prossimi articoli di questa serie, gli esperti di rischio dell’ Tanium approfondiranno in modo più dettagliato come misurare il rischio e come comunicarlo alla dirigenza della vostra azienda.
Per ora, però, potete tirare un sospiro di sollievo. Non è necessario creare una vasta raccolta di fogli di calcolo che tengano traccia di ogni possibile indicatore di sicurezza e conformità proveniente da tutti i vostri sistemi IT e processi operativi.
Al contrario, quando si valuta il rischio, ora si dispone di un elenco di obiettivi ordinati per priorità da cui partire. Ha ancora del lavoro da svolgere, ma ora è ben mirato. Inoltre, i Suoi rapporti avranno maggiori possibilità di essere compresi dai dirigenti che definiscono la rotta della Sua organizzazione.
Scoprite come Tanium possa aiutarvi a migliorare la visibilità dei dati e a ridurre i rischi. (si apre in una nuova scheda)
