The revised NIST Cybersecurity Framework includes two key changes: expanded details on cyber supply chain risk management, and a new section on cybersecurity metrics and measurement. Tanium CSO David Damato explains why these updates matter for businesses, and where we see room for further improvement.
Il quadro di riferimento per la sicurezza informatica dell’Istituto Nazionale di Standard e Tecnologia (NIST), pubblicato per la prima volta nel 2014, ha riscosso ampio successo sia tra le imprese che tra le agenzie governative, soprattutto grazie alla sua natura volontaria, basata sul rischio e non standardizzata. Nel gennaio 2017 il Quadro ha ricevuto il suo primo aggiornamento significativo – e quanto mai necessario – , e i commenti da parte del pubblico dovevano essere inviati entro il 10 aprile.
Secondo la società di ricerche Gartner, entro il 2020, il 50% di tutte le organizzazioni statunitensi utilizzerà il Framework. Le organizzazioni utilizzano il quadro di riferimento per valutare il proprio livello di sicurezza informatica, definire gli obiettivi e sviluppare un programma di sicurezza informatica in linea con i propri rischi specifici e i propri obiettivi aziendali. La versione aggiornata comprende due modifiche fondamentali: maggiori approfondimenti sulla gestione dei rischi legati alla catena di approvvigionamento informatica e una nuova sezione dedicata agli indicatori e alla misurazione della sicurezza informatica.
NIST quadro di riferimento: Affrontare la questione della sicurezza informatica nella gestione della catena di approvvigionamento
Data la natura interconnessa del nostro mondo, non è più sufficiente che le organizzazioni si occupino esclusivamente della propria sicurezza interna. Devono prestare attenzione alla sicurezza lungo l’intera catena di fornitura, poiché qualsiasi partner potrebbe, inconsapevolmente, costituire un punto di accesso all’organizzazione. Il quadro di riferimento aggiornato fornisce alle organizzazioni un vocabolario comune per comunicare i requisiti in materia di sicurezza informatica ad acquirenti, fornitori e altri partner. Possono stabilire tali requisiti tramite contratti e successivamente verificare se sono stati rispettati, il tutto avvalendosi di un quadro di riferimento comune basato sul rischio.
È difficile sottovalutare l’importanza di integrare la sicurezza informatica nella gestione della catena di approvvigionamento. Molte aziende e organizzazioni governative stipulano contratti con decine e persino centinaia di fornitori, i quali spesso dispongono di un ampio accesso alla loro rete. Un’agenzia federale che intenda potenziare il proprio sistema informatico, oppure un’azienda alla ricerca di un fornitore di servizi cloud, può ora indicare le proprie esigenze in materia di sicurezza secondo uno standard unificato. Il quadro di riferimento costituisce inoltre una base comune per numerose autorità di regolamentazione; ora che tiene conto della gestione dei rischi nella catena di approvvigionamento, ne risulta ulteriormente rafforzata l’efficacia.
NIST Quadro di riferimento: definizione di indicatori di sicurezza informatica
Ancora più importante è la nuova sezione dedicata alla misurazione della sicurezza informatica, che era notoriamente assente dalla bozza originale. Se condotta in modo corretto, la valutazione della sicurezza informatica rappresenta uno dei cambiamenti più significativi che possiamo apportare per migliorare la sicurezza informatica su larga scala. Una serie di indicatori comuni consentirebbe alle imprese di orientarsi verso obiettivi comuni e quantificabili. Alla fine, con gli incentivi adeguati, tali indicatori potrebbero consentire loro di valutare il proprio livello di rischio rispetto a organizzazioni simili. Ciò renderebbe l’assicurazione contro i rischi informatici un’opzione molto più efficace di quanto non sia attualmente, consentendo agli assicuratori di standardizzare i premi. Ciò aiuterebbe il governo a elaborare politiche e strategie efficaci, supportate da dati concreti.
Nella presente bozza, gli indicatori sono definiti in modo da includere “Livelli di attuazione, sottocategorie e categorie”. Sebbene tali componenti del Quadro possano essere utilizzati dalle organizzazioni per prendere decisioni informate, il Quadro presenta ancora delle lacune in merito alle linee guida su come misurare le prestazioni in modo standardizzato o valutare l’efficacia delle attività di sicurezza informatica.
Sebbene il punto di forza del Quadro risieda proprio nel fatto che non si tratti di un approccio unico valido per tutti, esistono comunque alcuni indicatori fondamentali che tutte le organizzazioni dovrebbero conoscere – o, quantomeno, cercare di conoscere – sia ai fini della pianificazione interna che del confronto con le altre organizzazioni del settore. È giunto il momento che l’ NIST i a collaborare con il settore industriale e le agenzie governative per concordare tali indicatori fondamentali e renderli pubblici, sia all’interno del Quadro di riferimento sia in un documento separato.
Naturalmente, affinché tali indicatori siano significativi, le organizzazioni devono basarsi su dati aggiornati provenienti da sistemi di riferimento affidabili e autorevoli. Per molte organizzazioni, ciò rappresenta ancora una sfida. Sebbene il documento “ NIST ” riconosca che “l’accuratezza e la precisione dei sistemi di misurazione” incidano sulla capacità delle organizzazioni di correlare la sicurezza informatica ai risultati aziendali, è necessario sottolineare questo aspetto. Un sistema di registrazione accurato e tempestivo è fondamentale per qualsiasi attività di misurazione.
Il quadro di riferimento ha già aiutato le organizzazioni a gettare le basi per la gestione del rischio. Ora deve concentrarsi sull'applicazione dello stesso rigore alla misurazione del rischio.
Per saperne di più, consultate il blog dei dirigenti dell’ Tanium :
- Perché il settore IT sta fallendo in materia di igiene della sicurezza
- Le tre fasi dell’igiene della sicurezza: Valutazione
- Le tre fasi dell’igiene della sicurezza: quadro di riferimento
Informazioni sull’autore: In qualità di responsabile della sicurezza (Chief Security Officer), David Damato definisce la direzione strategica dei prodotti per lo sviluppo dei moduli della piattaforma di sicurezza per dispositivi mobili ( Tanium Platform ) e gestisce il programma di sicurezza interno dell’azienda. David apporta ad Tanium una vasta esperienza nel campo della sicurezza, che spazia dalla risposta agli incidenti e dall’analisi forense, alle valutazioni delle vulnerabilità, allo sviluppo di programmi di sicurezza, alle operazioni di sicurezza e all’architettura di rete e di sicurezza. Prima di entrare a far parte di Tanium, David ha ricoperto, da ultimo, il ruolo di amministratore delegato presso Mandiant , una società del gruppo FireEye, dove il suo team ha guidato le attività di risposta agli incidenti e di risanamento post-violazione presso oltre 100 aziende della classifica Fortune 500 . Presso Mandiant, David ha inoltre svolto un ruolo fondamentale nello sviluppo di nuove capacità relative ai servizi di risposta agli incidenti e nell’apertura di uffici di consulenza sia a livello nazionale che internazionale. Prima di entrare a far parte di Mandiant, David ha guidato i team di consulenza in materia di sicurezza presso PwC nell’ambito della divisione Washington Federal Practice e ha ricoperto incarichi nel settore IT presso Raytheon, occupandosi in particolare della gestione delle reti interne e governative. David condivide spesso le proprie competenze e riflessioni in occasione di eventi di settore e con i media.
