Il quadro di riferimento per la sicurezza informatica “ NIST ”
Nel 2014, l’Istituto Nazionale di Standard e Tecnologia (NIST) del Dipartimento del Commercio degli Stati Uniti ha elaborato una delle linee guida più importanti in materia di sicurezza informatica, denominata “ ” NIST Cybersecurity Framework, che costituisce un punto di riferimento comune per le imprese di tutti i settori al fine di valutare meglio i rischi e migliorare la sicurezza e la resilienza delle infrastrutture critiche. Il Quadro di riferimento fornisce alle organizzazioni sia del settore privato che di quello pubblico una serie di standard settoriali volontari e di migliori pratiche volti a facilitare la gestione dei rischi. In meno di tre anni, oltre il 30% di tutte le organizzazioni statunitensi ha adottato il Framework o una parte di esso. Entro il 2020, si prevede che tale percentuale salirà al 50%.
All’inizio di questo mese, ho avuto l’opportunità di discutere del Framework e delle migliori pratiche per la sua implementazione in occasione del Billington Cybersecurity Summit , organizzato dall’ , tenutosi a Washington, DC, insieme a un gruppo di grande rilievo composto da altri leader del settore:
- Jeff Snyder, Vicepresidente, Programmi informatici, Raytheon Corporation
- Contrammiraglio (in pensione) Michael Brown, Vicepresidente e Direttore generale, Settore pubblico globale, RSA
- Donna Dodson, Consulente capo per la sicurezza informatica, NIST e Direttrice dell’NCCOE, NIST
- Ryan Gillis, Vicepresidente, Strategia per la sicurezza informatica e Politica globale, Palo Alto Networks
- Terry Rice, Vicepresidente e CISO (Responsabile della sicurezza informatica) del settore Information Technology presso Merck
Migliorare la sicurezza informatica a livello nazionale
Il quadro di riferimento “ NIST ” è stato elaborato in risposta al decreto presidenziale “ ” ( ) emanato dal presidente Barack Obama, che richiedeva la definizione di un quadro di riferimento volto a migliorare la sicurezza informatica delle infrastrutture critiche della nostra nazione. Quello che era stato concepito come una politica pubblica si è trasformato in una soluzione aziendale di più ampia portata, in cui qualsiasi organizzazione può non solo utilizzare il Framework, ma anche comprenderlo in modo concreto. L’adozione del quadro di riferimento ha riscosso un grande successo per quattro motivi:
- È flessibile. Il quadro di riferimento non è un modello “universale”. Le organizzazioni possono adattarlo alle proprie esigenze specifiche, integrarlo nelle proprie politiche di sicurezza informatica esistenti e integrarlo con linee guida specifiche per settore, come la “Guida all’attuazione del quadro di riferimento per la sicurezza informatica nel settore sanitario”.
- Fornisce un linguaggio comune. Finalmente esiste un modo per consentire a tutti i membri di un’organizzazione, dalla sala server alla sala del consiglio, di comunicare chiaramente i rischi in termini comprensibili a tutti. Ciò, a sua volta, aiuta acquirenti e fornitori a indicare le proprie procedure di sicurezza informatica attuali o auspicabili.
- Aiuta le organizzazioni a stabilire le priorità dei propri investimenti nella sicurezza informatica. Individuando quali attività IT siano fondamentali per la missione, il Quadro di riferimento può aiutare a individuare con precisione dove si trovano le minacce più gravi, massimizzando così ogni dollaro speso in ambito IT.
- È realistico. Il documento riconosce che si verificheranno violazioni e fornisce indicazioni su come individuarle, reagire e ripristinare la situazione il più rapidamente possibile.
Questo mese, l’ NIST ha pubblicato un supplemento alla guida, il “ ” Baldrige Cybersecurity Excellence Builder (BCEB), uno strumento di autovalutazione che le organizzazioni possono utilizzare per misurare in modo più efficace i propri sforzi in materia di sicurezza informatica. È importante sottolineare che l’adozione del Framework o del BCEB non implica che un’organizzazione sia conforme alle normative federali, statali o di settore. Si tratta piuttosto di linee guida facoltative che le organizzazioni possono adottare e adattare alle proprie esigenze specifiche.
NIST ha sfruttato la propria capacità di aggregazione per riunire organizzazioni del settore e governative e sviluppare un approccio volontario, flessibile e basato sul rischio in materia di sicurezza informatica. Per rendere il Quadro ancora più utile, noi, in ambito aziendale e nel settore della sicurezza, dobbiamo condividere tra noi e con il governo le esperienze acquisite. Se la vostra organizzazione non sta già utilizzando il Framework, siate voi stessi il motore del cambiamento per aiutare il 30% a raggiungere il 50%
Informazioni sull’autore: Ralph Kahn è vicepresidente del settore federale presso Tanium. In tale ruolo, sta rispondendo all’esigenza del governo degli Stati Uniti di disporre di una consapevolezza situazionale in tempo reale su larga scala. Ralph vanta oltre 25 anni di esperienza nel settore tecnologico. In precedenza, Ralph ha ricoperto il ruolo di vicepresidente per l’ Intel e e le tecnologie emergenti presso McAfee, dove era responsabile della guida di un gruppo di tecnologia avanzata incaricato di svolgere ricerche lungimiranti nel campo della sicurezza informatica. Sotto la sua guida, questo gruppo ha individuato diversi nuovi vettori di minaccia e ha sviluppato un modello di condivisione delle informazioni e di interazione tra sistemi informatici che costituisce il fulcro dei prodotti McAfee e che viene attualmente esteso per includere altri prodotti di sicurezza informatica.
