Per quanto riguarda gli incidenti di sicurezza informatica, gran parte dell’onere ricade sugli Stati. Essi hanno il compito di proteggere innumerevoli risorse che forniscono servizi essenziali ai cittadini: dai trasporti e dalla rete stradale, ai sistemi scolastici e ai programmi Medicaid, fino alla rete energetica e alle infrastrutture elettorali. In questa sede, Jason Truppi, direttore del programma “ EDR ” presso l’ Tanium, illustra le sue linee guida su come i governi statali possano rispondere in modo efficace agli attacchi informatici.
Dieci Stati si sono resi conto di avere un problema di sicurezza informatica all’inizio di quest’anno. Una piattaforma di annunci di lavoro operante in diversi Stati è stata vittima di un attacco informatico, che ha portato alla divulgazione dei numeri di previdenza sociale, dei nomi e delle date di nascita di milioni di iscritti. Quando si verificano violazioni come questa, la domanda ovvia è: come si deve reagire?
A marzo ho discusso il tema dei piani di risposta in materia di sicurezza informatica con funzionari statali ed esperti in occasione del vertice regionale sulla sicurezza informatica organizzato dalla National Governors Association (NGA) a San Jose, in California. Tra i miei colleghi relatori figuravano:
- Michael Garcia, analista politico, Divisione per la Sicurezza Interna e la Sicurezza Pubblica, Associazione Nazionale dei Governatori; David Cagigal, responsabile informatico, Wisconsin; David Behen, direttore del Dipartimento per la Tecnologia, la Gestione e il Bilancio e responsabile informatico, Michigan; Michael Wyatt, amministratore delegato, Servizi di Cyber Risk , Deloitte*
Per quanto riguarda la sicurezza informatica, gran parte dell’onere ricade sugli Stati. Essi hanno il compito di proteggere innumerevoli risorse che forniscono servizi essenziali ai cittadini: dai trasporti e dalla rete stradale, ai sistemi scolastici e ai programmi Medicaid, fino alla rete energetica e alle infrastrutture elettorali. L'ampia varietà e la distribuzione geografica di tali strutture non fanno che accrescere la complessità. Questo è uno dei motivi per cui il presidente della NGA e governatore della Virginia, Terry McAuliffe, ha fatto della sicurezza informatica la sua iniziativa di punta, intitolata “ : Meet the Threat” (: Affrontare la minaccia). Come ha affermato recentemente McAuliffe, gli Stati non possono attendere che il governo federale.
Nel corso della nostra discussione, un tema è emerso ripetutamente: quanto sia importante che gli Stati dispongano di un piano di risposta da attuare nel momento in cui, inevitabilmente, si verifichi un incidente informatico. Sebbene elaborare un piano di risposta partendo da zero possa sembrare un compito arduo, fortunatamente gli Stati non sono tenuti a farlo. La NGA esamina i punti in comune e le differenze nei piani di risposta in materia di sicurezza informatica di 26 Stati nel presente libro bianco intitolato “ ” (). Inoltre, i CIO e i CISO statali possono fare riferimento ai propri piani operativi di emergenza a livello statale come modello, oppure redigere il proprio piano sotto forma di allegato.
In sostanza, vi sono tre elementi fondamentali per elaborare un piano di risposta agli incidenti efficace:
- Si definiscano i processi. Per ogni tipo di potenziale incidente dovrebbe esserci una serie di procedure chiaramente definite, poiché ogni tipo richiede una risposta diversa. Non tutti gli incidenti costituiscono violazioni; pertanto, gli Stati devono definire una tassonomia degli incidenti e la risposta adeguata per ciascuno di essi. Ad esempio, una persona che smarrisce il proprio telefono fornito dal governo non avrà lo stesso piano di intervento previsto in caso di attacco alla rete energetica dello Stato.
- Definire e assegnare i ruoli chiave. Un piano di intervento dovrebbe stabilire chi è responsabile di ciascuna componente dell'intervento e chi ne costituisce il sostituto. È necessario definire chiaramente le responsabilità di ciascun ruolo, in modo da evitare sovrapposizioni o confusione in merito alle stesse. Tra i ruoli chiave dovrebbero figurare consulenti legali, dirigenti, addetti alle relazioni pubbliche, referenti delle forze dell’ordine e operatori di pronto intervento in possesso di competenze specifiche, quali ad esempio un esperto di informatica forense di rete.
- Si eserciti con la risposta. Il vecchio adagio secondo cui “la pratica rende perfetti” è un cliché, e ciò ha una sua ragione. Esercitarsi fino a quando la risposta non diventa un automatismo può aiutare gli Stati a gestire la risposta agli incidenti senza commettere errori. Numerose organizzazioni esterne hanno creato dei “cyber range” che simulano incidenti reali in un ambiente di prova e mettono alla prova la capacità del personale addetto alla sicurezza di reagire in modo adeguato. Il personale IT dovrebbe sapere come si presenta una violazione e come utilizzare i propri strumenti e le proprie procedure nel proprio ambiente per reagire rapidamente in caso di necessità.
Oltre alla definizione di procedure e ruoli e all’esperienza nella gestione di incidenti reali, un fattore che non sempre viene preso in considerazione nei piani di risposta è la tecnologia stessa. Nel gestire gli incidenti informatici, la rapidità rappresenta il fattore determinante. Quanto più rapidamente i governi riescono a porre rimedio a un incidente, tanto più riescono a ridurre al minimo i danni. Considerata la cronica carenza di personale nei reparti IT, disporre di una tecnologia in grado di automatizzare le attività e di contenere rapidamente gli incidenti può consentire di liberare risorse umane preziose.
Per ulteriori informazioni, gli Stati possono inoltre consultare il sito , la “ NIST” (Guida alla gestione degli incidenti di sicurezza informatica) , la “Computer Security Incident Handling Guide” (Guida alla gestione degli incidenti di sicurezza informatica) e la “ ” (Guida alla pianificazione in caso di interruzioni informatiche) della National Association of State CIOs.
Per saperne di più:
- I responsabili IT del settore pubblico riconoscono la necessità di agire con rapidità
- NIST Gli aggiornamenti al quadro normativo in materia di sicurezza informatica pongono l'accento sulla catena di approvvigionamento e sugli indicatori
- Perché il settore IT sta fallendo in materia di igiene della sicurezza
Informazioni sull’autore: Jason Truppi, direttore della gestione tecnica dei clienti presso Tanium, è un professionista del settore tecnologico di lunga data ed ex agente dell’FBI. Jason vanta molti anni di esperienza nel settore dei sistemi informativi e della sicurezza. Prima di entrare a far parte di Tanium, Jason ha lavorato come agente informatico dell’FBI a New York, dove si è occupato di alcuni dei casi più rilevanti a livello nazionale in materia di sicurezza nazionale e di intrusioni informatiche a scopo criminale. Successivamente è stato promosso al ruolo di agente speciale supervisore a Washington D.C., dove era responsabile delle indagini relative a gravi violazioni dei dati, casi di hacktivismo e di estorsione informatica. Presso Tanium, Jason contribuisce a migliorare i nostri prodotti per la sicurezza informatica, al fine di supportare i responsabili della sicurezza delle reti aziendali su scala ancora più ampia. Sta mettendo a frutto le proprie competenze ed esperienze in materia di risposta agli incidenti, test di penetrazione, analisi e intelligence sulle minacce per contribuire a risolvere l'attuale epidemia di frodi nel campo della sicurezza informatica.
