Nella battaglia sempre più accesa contro le minacce informatiche, la maggior parte delle aziende destina una quota crescente delle proprie risorse di sicurezza alla prevenzione e al rilevamento: tenere a bada gli aggressori e, se (ehm, quando) si verifica una violazione, reagire più rapidamente. Sebbene tale approccio abbia i suoi meriti, un’altra strategia sta prendendo piede.
Poiché gli attacchi di tipo “ ” stanno diventando praticamente inevitabili, un numero crescente di consigli di amministrazione e dirigenti aziendali desidera che si presti maggiore attenzione alla mitigazione delle conseguenze, al fine di ripristinare l’operatività con costi e impatti minimi.
Gli attacchi informatici sofisticati, che spaziano dal ransomware alle campagne di phishing , minacciano non solo le risorse informative delle aziende, ma anche, e soprattutto, la loro continuità operativa e la loro reputazione. E poiché i dirigenti aziendali sono sottoposti a una pressione crescente da parte delle autorità di regolamentazione , e degli investitori affinché attuino una gestione efficace dei rischi informatici, molti stanno iniziando ad affrontare la questione attraverso la lente della resilienza informatica – accettando la realtà che gli attacchi si verificheranno e disponendo di un piano di ripristino per quando ciò accadrà.
Risalente almeno all’anno 2000, il concetto di resilienza è diventato sempre più oggetto di discussioni approfondite nelle sale del consiglio e nei piani dirigenziali negli anni post-pandemici caratterizzati da una digitalizzazione accelerata. Riconosce la cruda realtà secondo cui nessuna difesa è impenetrabile.
Anziché limitarsi a cercare di Detect e rispondere più rapidamente agli incidenti, la resilienza informatica prepara le organizzazioni a resistere e a riprendersi rapidamente. Ciò garantisce che, in caso di violazioni, il loro impatto sulle operazioni, sulla reputazione e sulle finanze sia ridotto al minimo, consentendo alle aziende di mantenere il proprio slancio con interruzioni minime.
«L’obiettivo finale di un’organizzazione resiliente dal punto di vista informatico sarebbe quello di azzerare le interruzioni causate da una violazione informatica: nessun impatto sulle operazioni, sulle finanze, sulle tecnologie, sull’ lla catena di approvvigionamento o sulla reputazione», afferma Keri Pearlson, direttore esecutivo del consorzio di ricerca Cybersecurity at MIT Sloan (CAMS). «I membri del consiglio di amministrazione dovrebbero chiedersi: “Cosa occorrerebbe affinché ciò avvenga?”»
Ottenere l’adesione del consiglio di amministrazione alle schede di valutazione della resilienza informatica
Gli organismi di regolamentazione impongono sempre più spesso l’obbligo di fornire informazioni relative alla gestione dei rischi informatici e alla presenza di competenze in materia di sicurezza informatica all’interno dei consigli di amministrazione. Pertanto, secondo Pearlson, i consigli di amministrazione devono approfondire la propria comprensione della questione e andare oltre la semplice delega agli esperti di gestione del rischio, impegnandosi attivamente nella tutela delle proprie imprese. Ciò comporta un obbligo fiduciario nei confronti degli azionisti di mitigare efficacemente i rischi aziendali, una responsabilità la cui complessità aumenta con l’evolversi del panorama delle minacce informatiche.
“L’obiettivo finale di un’organizzazione resiliente dal punto di vista informatico sarebbe quello di azzerare le interruzioni causate da una violazione... I membri del consiglio di amministrazione dovrebbero chiedersi: «Cosa occorrerebbe affinché ciò avvenga?»”Keri Pearlson, direttrice esecutiva del Cybersecurity at MIT Sloan (CAMS)
Un corso ideato dalla Pearlson e dai suoi colleghi, intitolato “Governance della sicurezza informatica per il consiglio di amministrazione”, mira a fornire ai membri del consiglio le conoscenze necessarie per orientarsi in questo complesso ambito, sottolineando il ruolo fondamentale del consiglio nella supervisione della sicurezza informatica e nell’allineamento strategico delle misure di sicurezza informatica con gli obiettivi aziendali più ampi.
Più in generale, la “scheda di valutazione della resilienza informatica” si è affermata negli ultimi anni come strumento fondamentale nel percorso verso la resilienza, fungendo da quadro di riferimento completo per valutare, monitorare e potenziare la capacità di un’organizzazione di resistere agli incidenti informatici.
La visione multidimensionale delle schede di valutazione della resilienza informatica
A differenza degli indicatori tradizionali, che potrebbero concentrarsi esclusivamente sul numero di incidenti o sui tempi di risposta, una scheda di valutazione adotta una visione olistica. Esso valuta i fattori che caratterizzano l’intero spettro della resilienza informatica, dalla solidità delle misure di protezione e dall’efficacia dei protocolli di risposta alla prontezza al ripristino e all’adattabilità alle minacce emergenti. Questo approccio offre una visione multidimensionale della resilienza informatica di un’organizzazione, consentendo di apportare miglioramenti mirati e di adottare decisioni strategiche.
«Il consiglio di amministrazione non è in grado di intraprendere le azioni adeguate né di prendere le decisioni giuste… senza fornire spiegazioni esaurienti.»Pearlson del MIT
La signora Pearlson e il suo team del MIT hanno sviluppato un modello di scheda di valutazione basato sulla sua esperienza nelle riunioni del consiglio di amministrazione.
«L’idea della scheda di valutazione è nata dalla mia osservazione, all’interno dei consigli di amministrazione di cui faccio parte, che i membri dei consigli di amministrazione non sappiano realmente come affrontare il tema della sicurezza informatica, innanzitutto», ha spiegato Pearlson in un’intervista esclusiva con Focal Point. “In secondo luogo, i responsabili tecnologici non sanno come riferire al consiglio di amministrazione in materia di sicurezza informatica. «Forniscono informazioni di natura tecnica e dati quantitativi importanti per la gestione della sicurezza informatica, ma, in realtà, il consiglio di amministrazione non è in grado di intraprendere le azioni adeguate né di prendere le decisioni giuste… senza una spiegazione approfondita».
Tra i principali settori aziendali che hanno adottato le schede di valutazione negli ultimi anni figurano quello bancario e dei servizi , finanziarisanitario, l’IT e i servizi informatici, il settore manifatturiero e l’e-commerce; alcune aziende le hanno adottate a causa dell’aumento delle normative o dell’incremento degli attacchi alla catena di approvvigionamento, afferma Malini Rao, CISO di DeepLearnCyber.ai, che ha sviluppato una scheda di valutazione dedicata ai CISO.
«Queste schede di valutazione offrono una panoramica completa delle potenziali vulnerabilità», ha dichiarato al referente di ,. «Possono contribuire a quantificare la probabilità e il potenziale impatto delle diverse minacce, consentendo alle organizzazioni di stabilire le priorità in materia di risorse e interventi di conseguenza.»
Non si tratta di una soluzione “universale”
Non esiste una scheda di valutazione “ufficiale” della resilienza informatica né un “modo corretto” definito per elaborarla. Pearlson ha sviluppato il concetto come struttura di riferimento o modello, ma la sua applicazione è in una certa misura soggettiva. Le organizzazioni devono definire autonomamente quali siano gli aspetti rilevanti e quali indicatori sia opportuno monitorare e tenere sotto controllo.
«Queste schede di valutazione… possono aiutare a quantificare la probabilità e il potenziale impatto delle diverse minacce, consentendo alle organizzazioni di stabilire le priorità in termini di risorse e interventi di conseguenza.»Malini Rao, CISO, DeepLearnCyber.ai
Di seguito sono riportati alcuni esempi di schede di valutazione della resilienza informatica elaborate da diversi enti:
- Lockheed Martin: Lockheed Martin introduced its Cyber Resiliency Level (CRL) Framework and corresponding Scoreboard in 2018, illustrating a more formalized approach to measuring cyber resilience during this period. Il Cyber Resiliency Scoreboard dell’azienda comprende strumenti quali un questionario e un dashboard per misurare i livelli di maturità in sei categorie, tra cui l’igiene informatica e l’architettura.
- MIT: La Balanced Scorecard per la resilienza informatica (BSCR) dell’ offre una visione approfondita delle prestazioni finanziarie e operative, combinando informazioni relative alle attività principali che, altrimenti, potrebbero risultare isolate le une dalle altre.
- USDA: La scheda di valutazione della sicurezza informatica dell’USDA ( ) , elaborata in collaborazione con la Farm Service Agency, pone l’accento su un approccio basato su una scheda di valutazione bilanciata, in linea con il quadro di riferimento del programma “ NIST ”, concentrandosi su aree quali la conformità, la gestione delle vulnerabilità e la risposta agli incidenti. L’allineamento al quadro normativo “ NIST ” garantisce che l’USDA adotti un approccio globale e standardizzato alla sicurezza informatica, riconosciuto e utilizzato in diversi settori. Tale allineamento rafforza la capacità dell’organizzazione di gestire e mitigare i rischi in modo efficace, garantendo al contempo che tutti gli aspetti della sicurezza informatica, dalla prevenzione alla risposta, siano affrontati in modo sistematico.
- Malini Rao: La “ ” (CISO Operational Balanced Scorecard) di Rao, disponibile all’indirizzo , opera una distinzione tra aspetti trasformazionali e operativi, offrendo un duplice approccio volto ad allineare la sicurezza informatica agli obiettivi strategici aziendali. Sostiene l’utilità delle schede di valutazione per aiutare i CISO a «conquistare la fiducia fornendo in modo proattivo dati metrici… in grado di individuare i punti deboli e stabilire le priorità nelle aree da migliorare».
[Legga anche: Che cos’è la “cyber igiene”?] Perché è importante?]
Sebbene non esista un approccio “universale” alla creazione di una scheda di valutazione della resilienza informatica, vi sono alcuni elementi che tali schede hanno in genere in comune. Sia che stiate valutando l’adozione di una scheda di valutazione della resilienza informatica già esistente, sia che stiate progettando una scheda personalizzata, vi invitiamo a fare riferimento al seguente quadro di riferimento di base:
- Risk valutazione: Valutazione dei potenziali rischi informatici e del loro impatto sull’organizzazione.
- Controlli di sicurezza: Verifica dell’efficacia delle misure di sicurezza implementate.
- Risposta agli incidenti: Valutazione dello stato di preparazione e delle strategie di risposta a potenziali incidenti informatici.
- Capacità di ripristino: Valutazione della capacità di riprendersi da un attacco informatico con interruzioni minime.
Create la vostra scheda di valutazione della resilienza informatica
Segua questi passaggi fondamentali per creare una scheda di valutazione della resilienza informatica che risulti efficace per la Sua situazione specifica:
- Valutazione e definizione degli obiettivi: Iniziate valutando il vostro attuale livello di sicurezza informatica e definendo cosa significhi la resilienza informatica per la vostra organizzazione. Ciò potrebbe comportare la definizione di obiettivi relativi ai tempi di ripristino, la riduzione dell’impatto delle violazioni o il potenziamento delle ridondanze di sistema.
- Sviluppo del quadro di riferimento: Sviluppate una scheda di valutazione in linea con i vostri obiettivi di resilienza informatica. Ciò dovrebbe comprendere una combinazione di indicatori quantitativi e qualitativi, quali gli obiettivi relativi ai tempi di ripristino (Recovery Time Objectives), i livelli di formazione del personale in materia di gestione delle interruzioni di servizio ( ) , la frequenza dei backup di sistema e l’integrazione della sicurezza informatica nella pianificazione della continuità operativa.
- Monitoraggio e rendicontazione periodici: Stabilire una procedura di monitoraggio delle prestazioni rispetto agli indicatori della scorecard. Tale monitoraggio dovrebbe costituire parte integrante del processo di governance della sicurezza informatica, con la presentazione di relazioni periodiche alle principali parti interessate, compreso il consiglio di amministrazione.
- Miglioramento continuo: Utilizzate le informazioni ricavate dalla scheda di valutazione per promuovere il miglioramento continuo delle vostre strategie di resilienza informatica . Ciò potrebbe comportare l'adeguamento delle politiche in materia di sicurezza informatica, investimenti in nuove tecnologie o il potenziamento dei programmi di formazione del personale.
- Coinvolgimento e supervisione del consiglio di amministrazione: Assicurarsi che il consiglio di amministrazione sia attivamente coinvolto nella supervisione dell’attuazione della scorecard. La loro visione strategica e la loro supervisione saranno fondamentali per allineare le iniziative di resilienza informatica agli obiettivi aziendali più ampi.
Dando priorità alla resilienza informatica e adottando strumenti quali una scheda di valutazione, le organizzazioni possono non solo mitigare gli effetti degli incidenti informatici, ma anche rafforzare la propria competitività e sostenibilità. Rao raccomanda di utilizzare (IA) e (automazione) per migliorare la rendicontazione in materia di resilienza informatica, ad esempio generando schede di valutazione settimanali e mensili. E non dimenticate la catena di fornitura “ ”, sottolinea: le aziende dovrebbero coordinarsi con i propri partner esterni affinché anche questi riportino i dati relativi alla scheda di valutazione.
