In qualità di Senior Associate, ho collaborato a stretto contatto con i clienti di PwC per raccogliere informazioni ai fini del loro sondaggio annuale “ : Global State of Information Security Survey” (GSISS) . Dieci anni dopo, sono stato lieto di ricevere una copia da PwC, uno dei partner di “ Tanium”. Tra i temi emersi dal rapporto figurano l’aumento del numero di incidenti, la continua adozione di soluzioni cloud per l’hosting di sistemi e dati sensibili, un maggiore coinvolgimento dei dirigenti e del consiglio di amministrazione, nonché l’ampia diffusione dei framework di sicurezza informatica dell’ .
Sebbene incoraggianti, queste tendenze esercitano ulteriori pressioni sui team di sicurezza, già sovraccarichi di lavoro, che ora devono rispondere a un numero maggiore di avvisi, supportare le crescenti soluzioni cloud e mobili, generare metriche significative per la dirigenza e monitorare l’allineamento con solidi framework di sicurezza. Considerando che le figure professionali specializzate nel settore della sicurezza continuano a scarseggiare, le organizzazioni dovranno assicurarsi di dotarsi degli strumenti adeguati che consentano al personale esistente di ottenere con maggiore facilità e rapidità le informazioni necessarie per sostenere tali tendenze.
Sovraccarico di incidenti
Il rapporto di PwC ha evidenziato che il miglioramento delle capacità di rilevamento ha determinato un aumento del 38% degli incidenti gestiti dalle organizzazioni partecipanti. Ciò pone le organizzazioni di fronte a due sfide. In primo luogo, l’aumento del numero di incidenti richiede risorse qualificate aggiuntive per effettuare il triage e condurre le indagini. Tali risorse sono già scarse e ciò non farà che aggravare ulteriormente il problema. In secondo luogo, il personale forense dovrebbe, in linea di massima, dedicare almeno il 50% della propria giornata alla ricerca di attacchi e allo sviluppo di tecniche nuove e interessanti volte a migliorare la capacità di un’organizzazione di contrastare l’autore dell’attacco, lungo l’intera catena di attacco.
La soluzione a queste sfide non consiste nell’assumere più personale, bensì nel migliorare l’efficienza del team già in essere. Nel corso della collaborazione con i nostri clienti, ho constatato che i maggiori miglioramenti in termini di efficienza si ottengono grazie alla possibilità di accedere ai dati con una velocità esponenzialmente superiore rispetto al passato e alla capacità di valutare la gravità di un allarme in pochi minuti, anziché in ore.
A seguito dei riscontri simili ricevuti dai nostri clienti, il nostro team di sviluppatori ed ex addetti alla gestione degli incidenti ha messo a punto un metodo per acquisire in modo continuativo dati forensi sugli endpoint. Tali informazioni rimangono a disposizione del personale addetto alla risposta, qualora un allarme indicasse un’attività potenzialmente dannosa su un sistema. Allo stesso modo, i dati sono ricercabili a livello aziendale, consentendo agli addetti alla risposta di individuare un’attività simile o di creare casi d’uso di rilevamento complessi su tutti gli endpoint in pochi secondi. Di conseguenza, la selezione degli avvisi risulta notevolmente più rapida e il personale forense può concentrarsi su altre attività di maggiore priorità.
Questioni correlate
Il rapporto GSISS ha inoltre sottolineato la proliferazione dei dispositivi connessi e dei dati: il 75% delle organizzazioni trasferisce dati sensibili sul cloud e dedica sempre maggiore attenzione all’Internet delle cose (IoT). Si tratta di una brutta notizia per la maggior parte delle organizzazioni, molte delle quali stanno ancora faticando a comprendere meglio i dispositivi attualmente presenti sulle loro reti fisiche.
Questa sfida può essere sintetizzata sulla base della mia esperienza maturata nelle aziende nel corso dell’ultimo decennio. Circa otto anni fa ho affrontato la mia prima grave violazione dei dati di carattere pubblico. Nel corso dell’indagine, ho scoperto che l’organizzazione coinvolta non era in grado di fornire informazioni di base, tra cui un inventario delle risorse (dispositivi e applicazioni), i livelli di patch per il sistema operativo e le principali applicazioni di terze parti, le mappe di rete o un elenco dei propri server di database di produzione.
A distanza di otto anni, e nonostante i numerosi standard (ad esempio il SANS Top 20) che sostengono con forza la necessità di garantire la visibilità sulle risorse e sulle applicazioni, nulla è cambiato e le organizzazioni continuano a incontrare difficoltà nel rispondere alle stesse domande fondamentali. La difficoltà di ottenere una visione d’insieme dello stato attuale dei dispositivi all’interno di un’azienda è destinata ad aggravarsi con la proliferazione dei dispositivi connessi.
Le organizzazioni dovranno assicurarsi di disporre di una soluzione in grado di affrontare le sfide attuali legate al mantenimento di una visibilità in tempo reale sugli endpoint tradizionali e sulle soluzioni emergenti quali il cloud, la mobilità e l’IoT. Si tratta di un altro ambito in cui stiamo collaborando strettamente con i nostri clienti, al fine di garantire che la nostra tecnologia sia in grado di supportare un numero sempre crescente di dispositivi e continui a fornire visibilità su milioni di dispositivi in loco e remoti, nel giro di pochi secondi. Molti dei nostri clienti sfruttano oggi questa visibilità per mantenere un inventario accurato delle risorse e delle applicazioni, monitorare le configurazioni dei dispositivi e svolgere altre attività fondamentali per garantire una corretta gestione della sicurezza, obiettivo che per la maggior parte delle organizzazioni è rimasto finora irraggiungibile.
Coinvolgimento del Consiglio di Amministrazione
Cinque anni fa, quando discutevo di violazioni della sicurezza con i dirigenti e i membri del consiglio di amministrazione, la mia conversazione era incentrata sull’informare questi dirigenti in merito alle minacce mirate. Oggi, quella conversazione è cambiata. I membri del consiglio di amministrazione e i dirigenti comprendono meglio il panorama delle minacce e si concentrano sull’apprendimento e sulla verifica delle modalità con cui i rischi per la sicurezza vengono efficacemente mitigati all’interno di un’organizzazione. PwC ha confermato questo cambiamento, sottolineando che il 45% dei consigli di amministrazione interagisce ormai regolarmente con i responsabili della sicurezza per comprendere meglio i rischi e le strategie di mitigazione.
Di conseguenza, i responsabili della sicurezza devono ora garantire la visibilità sui rischi aziendali, avvalendosi di indicatori significativi. Ciò comprende metriche di reporting quali il tempo medio necessario per l’ Detect e degli incidenti, il tempo medio necessario per l’applicazione delle patch agli endpoint vulnerabili e altri dati che richiedono un’ampia visibilità in tempo reale. Molti dei nostri clienti utilizzano Tanium per raccogliere tali metriche in tempo reale su centinaia di migliaia di dispositivi, al fine di dimostrare il valore del servizio e orientare le decisioni aziendali.
Sulla base dei riscontri ricevuti dai nostri clienti, i consigli di amministrazione richiedono sempre più spesso una maggiore trasparenza in merito alla sicurezza delle acquisizioni. In particolare, i consigli di amministrazione e i dirigenti desiderano capire se un’azienda oggetto di acquisizione sia compromessa o afflitta da pratiche di sicurezza inadeguate. I consigli di amministrazione più lungimiranti riconoscono che i costi necessari per risolvere un problema già esistente o per migliorare pratiche di sicurezza inadeguate devono essere inclusi nel costo di acquisizione di un’azienda. I nostri clienti utilizzano Tanium per affrontare tali problematiche, grazie alla sua capacità di individuare in pochi minuti eventuali violazioni, vulnerabilità di sicurezza e configurazioni errate.
Conclusione
I risultati di PwC evidenziano che le organizzazioni devono affrontare una serie di sfide complesse su cui concentrarsi. Per affrontare ciascuna di queste sfide, tali organizzazioni necessitano certamente di persone competenti e di processi standardizzati. Ma, cosa altrettanto importante, i team di sicurezza odierni necessitano di strumenti che consentano loro di ottenere le informazioni di cui hanno bisogno, in modo rapido e semplice, su decine o centinaia di migliaia di dispositivi, per affrontare sia le sfide più semplici che non sono ancora state risolte, sia gli attacchi più sofisticati.
Per consultare l’intera indagine “Global State of Information Security”, visitate i seguenti siti:, , , http://www.pwc.com/gx/en/issues/cyber-security/information-security-survey.html, .
David Damato, Responsabile della sicurezza
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
