Le violazioni dei dati si verificano a un ritmo inarrestabile. Il loro impatto sulla vita quotidiana delle persone, nonché sulla resilienza delle imprese e sulla sicurezza nazionale, è ormai innegabile.
Solo negli ultimi mesi, i criminali informatici hanno colpito il più grande produttore mondiale di carne, causando la chiusura di importanti stabilimenti di lavorazione della carne negli Stati Uniti; hanno paralizzato il più grande gasdotto del Paese, provocando una corsa all’acquisto dettata dal panico; e hanno violato i sistemi di 300 aziende e nove agenzie federali nel più grande attacco informatico della storia degli Stati Uniti. (Si veda Attacco a SolarWinds )
Per le aziende e per le istituzioni pubbliche, la sfida non consiste più semplicemente nel proteggere i numeri delle carte di credito e altri dati personali. Si tratta di tutelare gli interessi economici della nazione e, forse ancora più importante, la capacità della società di funzionare.
Molti degli attacchi di grande risonanza riportati su erano in grado di danneggiare gravemente il “motore economico” della nazione, afferma Maggie Wilderotter, ex CEO di Frontier Communications e membro del consiglio di amministrazione di diverse aziende tecnologiche. La minaccia è talmente grave che, in occasione dell’ 2 giugno, la Casa Bianca dell’ e ha inviato una lettera aperta ai “dirigenti aziendali e ai leader del mondo degli affari”, affermando che essi hanno una “responsabilità fondamentale” nel rafforzare la resilienza informatica della nazione, pur sottolineando che “nessuna azienda è al sicuro [dal ransomware], indipendentemente dalle dimensioni o dall’ubicazione”.
Tuttavia, le imprese che operano come se le loro sole misure di difesa fossero sufficienti a garantirne la sicurezza si espongono a rischi maggiori di quanto credano. Prima o poi, gli hacker riusciranno nel loro intento. (Si consideri che, dall’inizio della pandemia, gli attacchi informatici hanno registrato un’impennata del 600% .)
Le organizzazioni vittime di un attacco potrebbero vedersi bloccate le operazioni aziendali fondamentali a causa di un attacco ransomware di tipo “ ” . Tali attacchi comportano un costo sia per la reputazione di un’azienda che per i suoi profitti: le aziende spendono in media 3,86 milioni di dollari per mitigare una violazione.
Le imprese devono passare da una strategia puramente difensiva a una strategia volta a prepararsi per un attacco efficace e a limitarne i danni. Ecco cinque modi per farlo.
Formarsi e prepararsi
Non è certo il caso di imparare a gestire la risposta agli incidenti mentre si sta effettivamente affrontando una violazione. Sembra ovvio, ma molte aziende non si preparano. «Il vostro team deve essere pronto e deve sapere esattamente cosa dovrà fare», afferma Fernando Montenegro, analista principale del team dedicato alla sicurezza aziendale presso 451 Research, parte di S&P Global Market Intelligence.
«Lavostra squadra deve essere pronta e sapere esattamente cosa dovrà fare.”Fernando Montenegro, analista di sicurezza presso 451 Research
«Non intendo dire che sappiano cosa dovrebbero fare in teoria qualora dovesse verificarsi qualcosa», aggiunge. "Intendo dire capire esattamente cosa devono fare a seconda della situazione specifica."
Ciò significa prendere in considerazione le persone, i processi e le tecnologie. Montenegro afferma che occorre iniziare individuando le persone che devono essere informate quando si verifica un incidente.
“Who do you call at 3 in the morning to escalate something about a particular application?” dice. «Oppure, chi va contattato se non si riesce a raggiungere i referenti principali?»
Coinvolgere queste persone nel processo di formazione consente di instaurare relazioni significative e di sviluppare una consapevolezza collettiva su ciò che occorre fare, da chi e in che modo. Oltre ai reparti di sicurezza e informatico, i team di risposta potrebbero comprendere figure provenienti dai reparti risorse umane, relazioni pubbliche, affari legali, sviluppo prodotti e comunicazioni sia interne che esterne.
[Leggi anche: La crisi del ransomware negli Stati Uniti può essere risolta]
Montenegro raccomanda che i team di risposta agli incidenti si esercitino, magari ogni trimestre. L’esecuzione di esercitazioni può aiutare i team di sicurezza a individuare lacune o linee guida obsolete nelle loro strategie di risposta agli incidenti, aumentando la sicurezza e la rapidità con cui il team interviene.
«È importante assicurarsi di essere sempre aggiornati e di non rispolverare vecchie linee guida di risposta da uno scaffale virtuale che non viene toccato da un anno», afferma.
Sviluppare la consapevolezza situazionale
Per garantire una risposta rapida agli incidenti , le aziende devono essere costantemente alla ricerca di segnali che indichino che hacker o software dannoso abbiano compromesso il loro sistema. Non vorrà certo venire a sapere di una violazione da un partner o da un cliente coinvolto, dalle forze dell’ordine o da un cluster di server improvvisamente crittografato da un ransomware.
«Non appena un malintenzionato riesce a operare utilizzando credenziali o aggirando in qualche modo l’autenticazione a più fattori, il sistema è compromesso», afferma Gal Shpantzer, fondatore della società di consulenza virtuale in materia di sicurezza informatica Security Outliers.
«I team disicurezza necessitano di procedure in grado di individuare nuove comunicazioni tra dispositivi informatici e di stabilire se siano legittime.»”
Per individuare tempestivamente una violazione ( Detect ), i team di sicurezza necessitano di procedure in grado di rilevare nuovi segnali di malware che raggiungono i dispositivi informatici o altri endpoint e di stabilire se la loro presenza sia legittima. «Occorre prestare attenzione alle comunicazioni insolite tra computer desktop, oppure ai server che tentano di connettersi ad altri server utilizzando protocolli strani o nuovi, oppure in modi che creano nuove connessioni sulla rete», afferma Shpantzer.
È necessario implementare endpoint strumenti di sicurezza dotati di funzionalità complete, quali sistemi di rilevamento delle intrusioni e delle anomalie, in grado di individuare attività insolite con la massima rapidità ragionevolmente possibile. «La novità nelle comunicazioni e la novità nei binari sono indizi importanti», afferma Shpantzer.
Comprendere l’impatto sul business
Quando si verifica un incidente di sicurezza, la maggior parte delle organizzazioni non riesce a comprenderne l’impatto sul business. Tuttavia, ogni incidente comporta, in una certa misura, un’interruzione dell’attività.
«Ciò che fa la differenza è la misura in cui ciò compromette l’attività aziendale», afferma David Elfering, direttore della sicurezza informatica presso ReSource Pro. L’escalation di un incidente, da un semplice problema gestito dal service desk a una situazione che richiede un intervento di alto livello, è un processo che, secondo lui, «è fondamentalmente inefficace nella maggior parte delle aziende».
«Il passaggio da una segnalazione al service desk a una questione che richiede un intervento di alto livello è un processo che nella maggior parte delle aziende non funziona correttamente.»”David Elfering, direttore della sicurezza informatica presso ReSource Pro
Questo perché la maggior parte delle aziende non dispone di un inventario dei propri processi fondamentali. Ciò significa che non conoscono il valore dei propri processi. Pertanto, non sono in grado di attribuire una vera e propria criticità. Pertanto, quando il reparto IT classifica qualcosa come critico o a basso rischio, molto spesso, afferma Elfering, «si tratta semplicemente di una supposizione».
Per comprendere meglio l’impatto degli incidenti informatici, le organizzazioni devono smettere di valutare i propri ambienti IT partendo dal basso. Anziché elencare in che modo i sistemi informatici supportano l’attività aziendale, è preferibile partire dall’alto, afferma Montenegro.
«Individuate i vostri principali processi aziendali e individuate la tecnologia che ne garantisce il funzionamento», afferma. «Ciò contribuisce a semplificare, dal punto di vista del valore, la scelta degli incidenti critici per le operazioni aziendali più importanti.»
Adottate il centro operativo di sicurezza (SOC) remoto
Durante la pandemia, molti team di sicurezza aziendali hanno iniziato a lavorare da remoto. Poiché le organizzazioni si trovano ad affrontare una carenza di competenze in materia di sicurezza, stanno ora considerando il lavoro a distanza come un vantaggio, che consente loro di attingere a un ampio bacino di candidati a livello geografico.
«In genere, gli operatori dei SOC lavoravano in un ambiente fisico pieno di schermi, con tutti intenti a monitorare gli avvisi», afferma Scott Crawford, responsabile della ricerca sulla sicurezza informatica presso 451 Research. «Abbiamo appreso che è possibile far sì che gli analisti monitorino le console da qualsiasi luogo e che possano lavorare in modo collaborativo.»
Tale modello di lavoro a distanza risulta inoltre allettante per molti lavoratori che preferiscono vivere dove desiderano ed evitare le spese e le seccature legate agli spostamenti per recarsi in ufficio.
«Ciò renderà molto più semplice mantenere le competenze in materia di sicurezza necessarie per rispondere in modo efficace agli incidenti», afferma Crawford.
Automatizzate laddove sia opportuno
Per quanto riguarda la raccolta dei dati e l’analisi dei log, esistono numerose procedure che possono e devono essere automatizzate. «È opportuno automatizzare il più possibile», afferma Shpantzer. “È possibile creare procedure operative che prevedano la pressione di un grande pulsante rosso, il quale provvederà a caricare una serie di indicatori di compromissione (IOC) e a setacciare i log per individuare ogni macchina su cui l’ IOC ha operato, nonché a visualizzare ogni URL presente nei log di DNS e proxy .”
[Leggi anche: Perché sicurezza e automazione vanno di pari passo]
Si desidera rendere tale mansione meno manuale, soprattutto se qualcuno la svolge ripetutamente. L'automazione non solo è più veloce, ma riduce anche gli errori umani dovuti all'intervento manuale. Questo è fondamentale, afferma Shpantzer, nel momento in cui si è sottoposti allo stress causato da un incidente in corso. È inoltre fondamentale stabilire per quanto tempo conservare i registri. Molti attacchi si protrarranno per settimane e persino mesi; pertanto, è necessario stabilire dove archiviare i log e quindi creare un flusso di lavoro che consenta di accedervi e analizzarli rapidamente quando necessario.
«Si vorrebbe poter cliccare su un pulsante per recuperare quei registri, oppure cliccare su pulsanti chiaramente etichettati» con i dati appropriati, afferma Shpantzer. Ciò potrebbe includere etichette quali “foglio di calcolo di input con IOC per DNS”, “foglio di calcolo di input con indirizzi IP”, “fogli di calcolo di input con hash”.
Con questi strumenti, afferma, la piattaforma di rilevamento e risposta endpoint consentirà di integrare il tutto. «In questo modo, potrete valutare rapidamente cosa è successo, dove è successo e quali sono state le conseguenze», afferma.
Sebbene le violazioni dei dati siano praticamente inevitabili – non si tratta di “se”, ma di “quando” – possiamo almeno adottare misure per prevenirle il più a lungo possibile e poi essere pronti a garantire che l’impatto sia minimo nel momento in cui si verifichino.