Il quadro di riferimento australiano “: Essential Eight” potrebbe essere il principale quadro di riferimento in materia di sicurezza informatica utilizzato dagli enti governativi e dalle imprese australiane, ma il suo modello multilivello, che copre otto ampie aree di controllo, è talmente complesso che i tassi di conformità rimangono molto bassi. Persino le organizzazioni governative dotate di ingenti risorse faticano a raggiungere gli standard richiesti.
L'intelligenza artificiale e l'automazione potrebbero contribuire in modo significativo a invertire questa tendenza. E gli esperti di sicurezza informatica sottolineano che tale inversione di tendenza non potrà avvenire abbastanza presto.
Si considerino i dati più recenti (deludenti) relativi al settore pubblico australiano: la percentuale di enti governativi che soddisfano il livello due del modello di maturità dell’“Essential Eight” è diminuita dal 25% nel 2023 al 15% nel 2024, secondo l’Australian Signals Directorate (ASD), l’agenzia di intelligence che sovrintende alla sicurezza informatica e ha elaborato le otto strategie di mitigazione del rischio.
Il modello di maturità prevede quattro livelli; cosa che può creare confusione, questi partono dal livello zero, che di fatto corrisponde a un voto insufficiente. Ci sono poi i livelli uno, due e tre, il che rende il livello due il secondo più alto. Tutte le entità del governo australiano che non fanno parte del Commonwealth (dipartimenti, agenzie e altri organismi che operano nell’ambito della più ampia struttura governativa anziché come soggetti giuridici indipendenti) sono tenute a soddisfare i requisiti di secondo livello.
Il calo della conformità al livello due potrebbe essere dovuto a un aggiornamento apportato dall’ASD al modello alla fine del 2023, che probabilmente ha causato un rallentamento ad alcune entità. Tra le sue principali aree di intervento figuravano il bilanciamento dei tempi di applicazione delle patch, la maggiore diffusione dell’autenticazione a più fattori (MFA) resistente al phishing, nonché l’esecuzione di attività di rilevamento e risposta agli incidenti per le infrastrutture esposte a Internet. Tuttavia, i tassi del 2023 non erano certo motivo di vanto. Nel frattempo, le aziende private vengono semplicemente incoraggiate a rispettare le “Essential Eight”. Pertanto, mentre le grandi multinazionali, dotate di budget ingenti e di team di sicurezza di notevoli dimensioni, potrebbero avere almeno una possibilità, le piccole e medie imprese hanno incontrato notevoli difficoltà nell’adeguarsi a tali framework raccomandati.
Nonostante una complessità tale da far venire il mal di testa, l’Essential Eight continua a dominare la scena. In che modo?
Si tratta, infatti, di uno dei cinque quadri normativi che abbracciano gli standard australiani, statunitensi e internazionali a cui le imprese australiane possono fare riferimento per dimostrare la propria conformità in materia di sicurezza informatica, come previsto dalla normativa sulla sicurezza delle infrastrutture critiche (SOCI), annunciata nel 2018 dal Dipartimento degli Affari Interni australiano e aggiornata lo scorso anno. Un gran numero di organizzazioni con sede in Australia opta per l’Essential Eight, molto probabilmente «perché il governo ne comprende l’importanza», afferma Paul Foley, direttore esecutivo per la governance, il rischio e la conformità presso CyberCX, società di servizi IT con sede a Melbourne. La terminologia e la struttura dell’“Essential Eight” sono diventate lo standard di riferimento per i funzionari pubblici quando si discute di capacità in materia di sicurezza informatica; pertanto, è opportuno che le imprese che intendono intrattenere rapporti con le agenzie governative ne seguano i principi.
[Read also: Cybersecurity frameworks—10 popular standards explained, from HIPAA to NIST to GDPR]
Pertanto, nel bene e nel male, le aziende tendono ad adottare gli “Essential Eight” e poi faticano ad attuare la loro complessa serie di controlli. Non sarebbe più semplice avvalersi della tecnologia? In un certo senso, sì, affermano gli esperti. Grazie a innovazioni che spaziano dall’intelligenza artificiale all’“infrastructure as code” (che consente la configurazione programmatica, basata su software, dell’infrastruttura IT), le organizzazioni del settore pubblico e privato stanno scoprendo di poter affidare il carico di lavoro ai sistemi automatizzati.
Perché l’“Essential Eight” rappresenta il “minimo accettabile”
L’automazione potrebbe rappresentare il principale supporto per le aziende che si trovano al livello zero dell’Essential Eight (che si potrebbe definire il livello in cui «l’unica direzione possibile è verso l’alto»), il che significa che sono completamente esposte agli attacchi a causa delle loro vulnerabilità in materia di sicurezza informatica.
«Perché il governo lo capisce.»Paul Foley, direttore esecutivo responsabile della governance, del rischio e della conformità presso CyberCX, spiega perché così tante organizzazioni continuano a orientarsi verso l’Essential Eight, nonostante la sua complessità e le difficoltà in materia di conformità
Il governo definisce ciascuno degli altri livelli in base alle tipologie di aggressori dai quali un’azienda che raggiunge tale livello sarebbe in grado di difendersi, a partire dagli hacker inesperti fino a quelli dotati di maggiori competenze tecniche. Ad esempio, uno dei requisiti previsti dal livello due è l’utilizzo di un’autenticazione a più fattori (MFA) resistente al phishing per l’autenticazione ai sistemi. Il livello tre è riservato a coloro che sono in grado di difendersi dagli avversari più agguerriti.
Ciascun livello comprende la stessa serie di otto aree di controllo generali: controllo delle applicazioni, applicazione patching, sistema operativo patching, configurazione Microsoft delle impostazioni delle macro di Office, rafforzamento della sicurezza delle applicazioni degli utenti, limitazione dei privilegi amministrativi, autenticazione a più fattori (MFA) e backup regolari. Tuttavia, con l’aumentare dei livelli, i requisiti relativi a ciascuna di queste aree diventano sempre più rigorosi.
"Ho sempre sostenuto che l’Essential Eight rappresenti il livello minimo accettabile per una rete standard sin dal momento della sua introduzione", afferma Kieran Hynes, fondatore della società di consulenza informatica Willyama Services. Ciò è dovuto al fatto che numerose aziende operano in settori regolamentati dalla legge SOCI e scelgono l’Essential Eight come quadro di riferimento a cui attenersi. "Circa il 80% del settore industriale australiano, se si escludono le microimprese e le imprese di dimensioni molto ridotte, rientrerebbe nei settori dei servizi che sarebbero disciplinati dalla normativa SOCI", afferma.
Cosa può rendere più agevole l’Essential Eight? Automatizzazione della conformità continua
In che modo l’automazione potrebbe contribuire a rendere più gestibili gli “Essential Eight”? Potenzialmente, ciò riguarda la questione della “conformità continua”, un concetto che un tempo era di natura aspirazionale, ma che negli ultimi anni è diventato più raggiungibile grazie ai progressi nel campo dell’ , nell’apprendimento automatico, alla diffusione di strumenti di intelligenza artificiale nel settore della sicurezza informatica e a una crescente consapevolezza dei vantaggi offerti dal monitoraggio dei dati in tempo reale e da una maggiore visibilità all’interno delle reti informatiche.
“Ho sempre sostenuto che l’Essential Eight rappresentasse il livello minimo accettabile per una rete standard sin dal suo lancio.”Kieran Hynes, fondatore di Willyama Services
Gli esperti sottolineano che questo cambiamento di paradigma, dal tradizionale sistema di conformità — caratterizzato da audit stagionali e da personale distolto dalle proprie mansioni quotidiane in una corsa frenetica per raccogliere i dati necessari alla conformità — verso un approccio più snello, è ormai ben avviato. Il mese scorso, l’ del Dipartimento della Difesa degli Stati Uniti ha finalizzato una nuova norma relativa alla Certificazione del Modello di Maturità in materia di Sicurezza Informatica (CMMC) dell’, un quadro di riferimento simile all’“Essential Eight” australiano, che impone alle organizzazioni dell’intera catena di approvvigionamento della difesa di mantenere una conformità continua. La norma entrerà in vigore il mese prossimo.
La conformità tradizionale ha sempre previsto un approccio puntuale, in base al quale i revisori verificano periodicamente un sistema per accertarne il grado di conformità. Il pericolo in questo caso è il cosiddetto “compliance creep”, ovvero quando le modifiche apportate a un sistema ne compromettono la conformità e ciò non viene rilevato fino alla successiva verifica.
Un approccio di conformità continua valuta il sistema per mantenerlo in ogni momento entro i limiti di sicurezza necessari. Ogni volta che si presenta un revisore, il team addetto alla sicurezza può essere certo di essere in regola, con la documentazione necessaria a dimostrarlo.
Jamie Norton, membro del consiglio di amministrazione dell’organizzazione internazionale ISACA, ne sottolinea i vantaggi: «La visibilità è un ambito in cui l’automazione funziona decisamente bene», afferma. "È possibile avvalersi delle tecnologie per valutare e comprendere in che misura il proprio ambiente sia in linea con gli 'Essential Eight'." In Australia alcune aziende mettono già a disposizione questo tipo di strumenti.
Nonostante i suoi vantaggi, la conformità continua presenta una serie di sfide specifiche che potrebbero ostacolarne la diffusione su larga scala, in particolare per le imprese di dimensioni più ridotte con budget destinati alla sicurezza più limitati. C'è una differenza tra verificare il proprio livello di conformità e automatizzare i controlli per mantenerlo tale. Adottare misure volte a configurare automaticamente le impostazioni e a mantenere i vostri sistemi entro i limiti previsti risulta più problematico in alcuni ambiti.
Intelligenza artificiale, automazione e gli “Essential Eight”: complessità nascoste
Uno degli aspetti più complessi è il controllo delle applicazioni. Ciò comporta la limitazione delle applicazioni che un’organizzazione può eseguire a quelle presenti in un elenco di applicazioni consentite. Sembra facile, ma in realtà è ingannevolmente complesso.
“L’aspetto della visibilità è uno di quelli in cui l’automazione funziona decisamente bene. È possibile avvalersi di tecnologie per misurare e comprendere in che misura la propria realtà aziendale sia in linea con gli “Essential Eight”.”Jamie Norton, membro del consiglio di amministrazione dell’ISACA, organizzazione internazionale senza scopo di lucro specializzata in controlli
"È necessario aggiornarlo costantemente in base alle nuove applicazioni che vengono pubblicate e alle nuove minacce che si presentano", afferma Norton. Ogni applicazione presenta diverse versioni che devono essere gestite in base alle diverse esigenze dei vari reparti. "Si tratta di un’operazione che l’intelligenza artificiale potrebbe potenzialmente imparare a svolgere, alleggerendo così l’onere di aggiornare regolarmente tale configurazione."
Altre due categorie dell’“Essential Eight” che presentano sfide nascoste sono l’applicazione delle patch alle applicazioni e ai sistemi operativi. Sia i sistemi operativi che le applicazioni ricevono continuamente numerose patch, spesso con livelli di criticità diversi. Sebbene un’applicazione troppo lenta delle patch comporti rischi significativi, l’applicazione rapida e indiscriminata delle patch comporta effetti potenzialmente gravi sui sistemi di produzione. Talvolta le patch del sistema operativo possono causare malfunzionamenti nei sistemi, rendendo rischiosa l’applicazione automatica delle patch.
Il rischio legato all'applicazione delle patch aumenta con l'aumentare del numero di prodotti diversi presenti nell'infrastruttura aziendale. Aumenta inoltre il numero di dipendenze di sistema tra tali prodotti, il che accresce il rischio di effetti negativi quali gli attacchi a catena, in cui gli autori degli attacchi sfruttano in sequenza più vulnerabilità presenti in vari prodotti.
Come sottolinea Foley, ciò rende l’applicazione delle patch una strategia di valutazione dei rischi. Valutare tale rischio significa prendere in considerazione tutti i fattori sopra indicati, oltre alla criticità di un’applicazione o di un sistema operativo all’interno dell’organizzazione. Un’applicazione che gestisce l’intero processo produttivo di un’azienda potrebbe non essere altro che un sistema di registrazione per qualcun altro.
La finestra temporale a disposizione delle organizzazioni per applicare le patch software si riduce con ogni livello di maturità dell’Essential Eight, rendendo il problema sempre più impegnativo.
È proprio qui che l’intelligenza artificiale potrebbe entrare in gioco.
« , è comunque necessario che un essere umano intervenga nel processo», afferma Foley, «ma come si fa a prendere tali decisioni più rapidamente?» "Per l'applicazione delle patch, è necessario comprendere le complessità dell'ambiente." L’intelligenza artificiale potrebbe avvalersi di tale comprensione delle complesse dipendenze tra le applicazioni nell’infrastruttura IT di un’azienda per effettuare valutazioni basate sul rischio relative ai sistemi critici che presentano determinate vulnerabilità. Potrebbe quindi presentare tali valutazioni agli analisti, i quali prenderebbero la decisione finale.
Risultati immediati — e strategie per affrontare le sfide dell’automazione
L'automazione di alcuni aspetti della sicurezza informatica risulterà probabilmente più semplice rispetto ad altri. Un aspetto che spicca in particolare è la necessità di limitare l’uso delle macro di Office.
«Si tratta di un’impostazione dei criteri di gruppo», spiega Foley. "È possibile configurare questa opzione a livello aziendale per disabilitare le macro di Office." Ciò presuppone, ovviamente, che tutti i dipendenti possano farne a meno. In alcuni settori, in particolare in quello finanziario, i lavoratori si avvalgono di macro sviluppate nel corso degli anni per svolgere alcune parti del proprio lavoro. In casi del genere, afferma, spesso è semplicemente più semplice isolare alcuni reparti in aree separate della rete per ridurre al minimo l’impatto di una macro dannosa.
Allo stesso modo, Foley afferma che l’applicazione dell’autenticazione a più fattori (MFA) è un’operazione che dovrebbe poter essere automatizzata a livello centrale (a condizione che il fornitore dell’applicazione la supporti).
Secondo Foley, l’automazione deve superare alcuni ostacoli di non poco conto. Per alcune organizzazioni, sono proprio i propri sistemi a costituire un ostacolo. «Spesso ci rendiamo conto che il governo federale deve fare i conti con un debito tecnico pregresso», spiega.
[Leggi anche: Automazione IT: come funziona, vantaggi e strumenti futuri]
I sistemi sviluppati nel corso degli anni potrebbero non disporre delle adeguate funzionalità di automazione integrate e, certamente, non presentano alcune delle funzionalità basate sull’intelligenza artificiale qui descritte. Inoltre, anche i sistemi eterogenei, composti da componenti di diversi fornitori che non interagiscono bene tra loro, risultano difficili da automatizzare. Ecco perché Hynes, di Willyama, indica la migrazione al cloud come una possibile soluzione per affrontare la sfida dell’automazione.
"Nel corso ' Microsoft M365', [i clienti] non hanno alcuna reale responsabilità gestionale, poiché Microsoft si occupa di tutto al posto loro", afferma, fornendo un esempio. "L'automazione è realizzata d Microsoft". Non è necessario che Lei intervenga a livello interno. "Questo è l'esito più sicuro per la maggior parte delle organizzazioni."
L'automazione della sicurezza informatica rappresenta probabilmente una pratica che si basa sul massimo impegno possibile. Hynes fa riferimento al principio di Pareto, secondo cui è possibile ottenere il 80% dei risultati con il 20% dello sforzo.
In seguito, afferma, cercare di automatizzare ogni singola cosa comporta una maggiore complessità e produce rendimenti decrescenti. Tuttavia, optando per sistemi forniti o gestiti da un numero relativamente esiguo di fornitori e realizzando un moderno stack di sicurezza informatica, avrete maggiori possibilità di accedere a funzionalità progettate per semplificarvi la vita e di avvicinarvi alla conformità con gli “Essential Eight”.
