Di quali indicatori hanno bisogno i CISO?
È una domanda che mi viene posta quotidianamente quando incontro i CISO e i CIO di alcune delle organizzazioni più note al mondo nei settori della finanza, della vendita al dettaglio, dell’aerospaziale, dei media, delle telecomunicazioni, della consulenza e in molti altri settori. Qualunque sia l’argomento della nostra conversazione, la questione di fondo è quella della fiducia. I dati sono aggiornati, completi e inseriti nel contesto dell’organizzazione? Inoltre, i miei colleghi dei settori rischio, conformità e operazioni confermano questa situazione? Se così non fosse, non dovrebbero confrontarsi? E come siamo arrivati ad accettare una percentuale inferiore al 100 % come “ Benchmark e accettabile” per qualsiasi cosa, che si tratti della conformità alle patch o di un’altra funzione IT critica?
Ho condiviso lo studio “ 2019 Resilience Gap” di Tanium con molti di questi CIO e CISO, oltre che con i direttori IT e altri dirigenti che ricoprono ruoli correlati alle prestazioni complessive dell’IT. I CIO e i CISO si trovano spesso a dover conciliare due requisiti aziendali fondamentali: il tempo di funzionamento dei sistemi (disponibilità) e una sicurezza efficace (gestione delle patch). Come sottolinea la ricerca “Resilience Gap”, quest’ultimo aspetto viene spesso messo in secondo piano a causa di preoccupazioni di lunga data relative all’efficacia dell’implementazione, alla copertura e all’adeguatezza dei resoconti.
Condivido questi dati con i CISO e loro annuiscono, talvolta con un sospiro. Un CISO mi ha recentemente riferito che il suo team aveva segnalato un livello di conformità del 95% su tutti gli endpoint, e gli ho chiesto di chiarirmi cosa ciò significasse. Questo è l’indicatore che egli fornisce al proprio CIO, ha affermato, il quale lo include nei propri rapporti periodici destinati al CFO, all’ CEO e e al consiglio di amministrazione. Tuttavia, il CISO non aveva modo di sapere con precisione a quanti endpoint, gestiti o non gestiti, si riferisse quel 95%, se non per una stima approssimativa. È una cosa difficile da ammettere, ma accade ogni giorno. Lo studio di Tanium rileva che oltre il 80% dei CIO e dei CISO si è astenuto dall’applicare un importante aggiornamento di sicurezza o una patch – talvolta più di una volta – a causa delle preoccupazioni relative all’impatto sulle operazioni aziendali.
Come possiamo gestire il nostro rischio se non sappiamo a quanto ammonta?
Non è che ci stiamo opponendo al progresso. Abbiamo chiesto ai nostri CISO e ai nostri responsabili tecnici di andare oltre l’obiettivo tradizionale del loro ruolo. Devono gestire il patrimonio IT, certo, ma devono anche mettere a frutto le proprie conoscenze e competenze per guidare la trasformazione digitale, rafforzare il livello complessivo di sicurezza e resilienza dell’organizzazione e trasformare l’IT da centro di costo a fattore abilitante: tutti aspetti di cui si parla ormai da anni. Tuttavia, consideriamo le operazioni e la sicurezza informatica principalmente in termini di architettura fisica o tecnica e accettiamo determinati limiti per quanto riguarda la visibilità e il controllo. Questo non ci aiuta a condurre una conversazione più proficua in ambito lavorativo. Come possiamo gestire il nostro rischio se non sappiamo a quanto ammonta?
Ecco uno scenario ricorrente che si verifica continuamente nelle riunioni dei dirigenti, sebbene in modo particolare questa settimana, alla luce delle notizie relative al CVE-2019-0708, il bug “wormable” di Windows .
- Il CISO viene interpellato e gli viene chiesto se l’azienda sia vulnerabile alla minaccia CVE-2019-0708. Il CISO promette di eseguire una scansione, ma è consapevole che, con una tecnologia obsoleta, l’operazione potrebbe richiedere settimane.
- In caso di vulnerabilità, al CISO viene chiesto quanto tempo occorrerà per applicare le patch necessarie. Il CISO ricorda che l’ultima volta in cui si è verificato un problema di sicurezza di emergenza, ci sono voluti 20 giorni per raggiungere il 95% di distribuzione delle patch, ma che tale cifra potrebbe essere più vicina al 75%, poiché il team non è certo del numero effettivo di endpoint di cui dispone.
- Tra tali endpoint, sarebbe utile per il CISO e per l’azienda sapere quanti utilizzano l’ Windowse 8 o 10 e, pertanto, non sono interessati dall’e CV-2019-0708. Purtroppo, tali dati non sono facilmente reperibili.
Si tratta in tutti i casi di questioni relative alla visibilità e al controllo del patrimonio informatico. Tra cloud, trasformazione digitale, conformità, sicurezza e tutte le questioni che occupano gran parte del tempo di un responsabile IT, non è prudente chiedere a tutti di “tornare alle origini”: i ruoli del CIO e del CISO semplicemente non sono più gli stessi di 20, 10 o persino cinque anni fa. Tuttavia, se il 94% dei CIO e dei CISO ammette di dover scendere a compromessi riguardo all’efficacia con cui è in grado di proteggere le proprie organizzazioni da eventuali interruzioni, è necessario disporre di una visione completa del proprio patrimonio IT, di dati sulla base dei quali poter prendere decisioni di qualità e della capacità di correggere, applicare patch ed eseguire altre azioni senza indugio.
I ruoli di CISO e CIO diventano più semplici — e la gestione dei rischi aziendali risulta più efficace — quando ci atteniamo ai principi fondamentali. Non vi è nulla di più fondamentale per un ambiente IT resiliente della piena visibilità e del pieno controllo. Quando accettiamo una visibilità limitata, rinunciamo a molto più di quanto ci rendiamo conto.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
