I criminali informatici prendono di mira i comuni e altre amministrazioni locali, in parte perché sanno che tali enti non dispongono delle risorse delle grandi imprese commerciali. Per difendersi da questi attacchi, un numero crescente di enti locali sta valutando i vantaggi di collaborare e di adottare una strategia di sicurezza informatica a livello statale.
In una strategia di sicurezza informatica a livello statale di tipo “ ” (si apre in una nuova scheda), l’amministrazione statale collabora con la Guardia Nazionale locale, i comuni, le scuole primarie e secondarie, le entità tribali e altre organizzazioni governative locali, elaborando politiche di sicurezza informatica, fornendo sostegno in termini di finanziamenti e strumenti, offrendo orientamento e condividendo informazioni di intelligence. Grazie a questa collaborazione, i comuni e gli altri enti locali che tradizionalmente dispongono di risorse finanziarie e di personale insufficienti per le funzioni relative alla sicurezza informatica possono avvalersi delle risorse e dell’esperienza di enti più grandi e meglio finanziati.
Nel primo post del blog della serie “ ” ( ) (si apre in una nuova scheda), ho fornito una panoramica degli elementi che compongono una strategia di sicurezza informatica a livello statale. Questa strategia si articola in tre azioni concrete:
- Governance e definizione delle politiche
- Attuazione
- Convalida
Inoltre, nel mio precedente post (si apre in una nuova scheda), ho fornito una panoramica della fase relativa alla governance e alla definizione delle politiche. Ora passerò ad esaminare la parte relativa all’attuazione di questa strategia, che prevede quanto segue:
- Proseguire la collaborazione tra i gruppi di governance interorganizzativi istituiti durante la fase di governance della presente strategia.
- Selezione, acquisto e implementazione di suite standard di strumenti per la sicurezza informatica presso diverse organizzazioni governative.
- Individuare organizzazioni private dotate di solide competenze di consulenza che possano fornire assistenza nell’introduzione e nella configurazione degli strumenti di sicurezza informatica, nonché nell’attuazione delle politiche in materia di sicurezza informatica.
- Stabilire l’ordine di priorità delle politiche di sicurezza informatica da attuare per prime.
- Comunicare i successi per rafforzare i rapporti interorganizzativi e consolidare il valore della collaborazione.
Proseguendo la collaborazione avviata nella fase di definizione delle politiche
Nella fase di elaborazione delle politiche, gli enti statali, i comuni e altri soggetti hanno collaborato alla stesura di politiche in materia di sicurezza informatica che potessero essere uniformate a livello statale.
In questa fase di attuazione, tale collaborazione prosegue. Ora enti quali la Motorizzazione Civile dello Stato o un comune hanno l’opportunità di adeguare le politiche alle proprie esigenze specifiche e di comunicare tali esigenze al team interorganizzativo. Possono inoltre condividere le proprie esperienze nella risoluzione di problemi di sicurezza informatica, in modo che tutti abbiano la possibilità di imparare gli uni dagli altri.
Nel corso di questo processo, è importante che ogni ente governativo partecipante comprenda che:
- Il gruppo interorganizzativo formulerà delle raccomandazioni, ma, in ultima analisi, ogni ente governativo è responsabile dell’adozione delle proprie politiche e della loro attuazione in base alle proprie esigenze.
- Le organizzazioni a livello statale possono contribuire alla selezione, all’acquisto e alla fornitura di strumenti informatici, ma non ne controllano l’utilizzo quotidiano. I singoli enti pubblici, quali i comuni, hanno il pieno controllo degli strumenti che utilizzano per il monitoraggio, la gestione e la protezione delle proprie reti e delle altre risorse informatiche.
- Sebbene spetti agli enti pubblici l’utilizzo degli strumenti di sicurezza informatica, lo Stato può contribuire alla loro selezione e al loro acquisto a tariffe all’ingrosso, al fine di rendere l’adozione di strumenti moderni più accessibile per ogni ente dello Stato.
Strumenti di acquisto a livello statale
Le modalità di acquisto e distribuzione degli strumenti rappresentano una delle principali differenze tra un approccio alla sicurezza informatica a livello statale e gli approcci ad hoc che hanno prevalso in passato.
Nell’ambito di una strategia a livello statale, il team collaborativo statale per la sicurezza informatica seleziona una serie di strumenti comuni da implementare in tutto lo Stato. Gli enti locali continuano ad avere la responsabilità di utilizzare tali strumenti per gestire le proprie reti e il proprio personale. Tuttavia, è lo Stato ad acquistare gli strumenti, in modo che ogni ente pubblico dello Stato possa beneficiare di prezzi scontati e della standardizzazione degli strumenti.
Questo approccio offre diversi vantaggi, tra cui:
- Costi inferiori
Poiché lo Stato acquista strumenti informatici all’ingrosso, è in grado di negoziare prezzi inferiori rispetto a quelli che i singoli enti pubblici potrebbero ottenere autonomamente. - Requisiti di revisione contabile ridotti
Anziché affidarsi a centinaia di dipartimenti acquisti che operano in modo autonomo, tutte le attività di acquisto sono gestite dal team acquisti dello Stato. Poiché il numero di acquisti è diminuito, è necessario sottoporre a verifica un numero minore di acquisti per garantire che i fondi vengano destinati in modo corretto. - Equality
Poiché tutti i comuni dispongono degli stessi strumenti, nessuno viene escluso né costretto ad accontentarsi di alternative meno vantaggiose. - Gestione semplificata dei servizi cloud
Qualora lo Stato decidesse di acquistare servizi cloud per i propri enti pubblici, potrebbe gestirli autonomamente, anziché costringere i comuni e i distretti scolastici ad affrontare le difficoltà legate al monitoraggio e alla gestione di tali nuovi servizi. - Processi standardizzati e una migliore condivisione delle informazioni
Poiché i team IT di tutto lo Stato utilizzano gli stessi strumenti, possono avvalersi delle stesse procedure per le attività comuni di sicurezza informatica, come l’installazione delle patch. Possono inoltre condividere le migliori pratiche e contribuire alla creazione di una base di conoscenze comune sulle minacce e sulle relative contromisure.
Riconoscendo l’importanza dei fornitori e dei partner privati
I fornitori di servizi IT svolgono un ruolo significativo nel successo di qualsiasi strategia a livello statale, e non solo per via dei loro prodotti.
Quando le aziende commerciali acquistano strumenti informatici, dispongono di team di comunicazione interni in grado di diffondere informazioni su tali strumenti, offrire formazione e fornire assistenza per l’adozione complessiva della nuova tecnologia.
Gli enti pubblici dispongono raramente di tali risorse. I fornitori possono contribuire a colmare tale divario attraverso servizi di consulenza e formazione, al fine di garantire il successo dell’implementazione di una nuova suite di strumenti.
Ad esempio, un fornitore che sia un valido partner può contribuire alle iniziative di sensibilizzazione tra le organizzazioni che partecipano alla strategia a livello statale. Il fornitore potrebbe persino contribuire alla creazione di una documentazione personalizzata e integrata per i vari strumenti selezionati nell’ambito della strategia a livello statale, in modo che i team IT di tutto lo Stato possano trovare tutte le informazioni di cui hanno bisogno in un unico posto.
Poiché la formazione e la documentazione rivestono un’importanza fondamentale nelle fasi di implementazione, quando gli enti statali valutano i fornitori di soluzioni IT, dovrebbero prendere in considerazione le loro capacità in materia di formazione e consulenza, oltre che i prodotti software e hardware offerti. Gli Stati dovrebbero garantire che la formazione, la documentazione e qualsiasi altra comunicazione necessaria siano fornite nell’ambito dell’acquisto, in modo che i team IT di piccole dimensioni e oberati di lavoro non debbano mai imparare da soli a utilizzare nuovi strumenti.
Se uno Stato ha standardizzato i propri strumenti di sicurezza informatica e i fornitori di tali strumenti hanno sviluppato materiali formativi utili per le organizzazioni statali, tali materiali possono essere condivisi tra tutte le organizzazioni che partecipano alla strategia a livello statale. I fornitori, ovviamente, hanno tutto l’interesse a garantire che tali materiali siano utili e completi, dato che numerosi enti pubblici fanno affidamento su di essi.
L'importanza della comunicazione per l'attuazione di una strategia di sicurezza informatica a livello statale
In questo lavoro non esiste una cosa come la “comunicazione eccessiva”. I team dovrebbero operare in modo trasparente e occorre informare regolarmente le parti interessate in merito alle prossime fasi e ai requisiti. Una comunicazione regolare in merito a decisioni, acquisti, formazione e così via contribuirà a suscitare entusiasmo per il progetto nel suo complesso.
Detto questo, è importante non sovraccaricare i membri del team. I membri del team dovrebbero procedere un passo alla volta, tenendo presente che tutti coloro che stanno lavorando a una strategia a livello statale hanno già un impiego a tempo pieno.
In base alla mia esperienza, i membri del team apprezzano davvero il sostegno e la condivisione di informazioni che derivano dalla partecipazione a un programma come questo. Improvvisamente, anche gli enti governativi con budget limitati stanno ottenendo nuovi strumenti e informazioni regolari sulle minacce e su come proteggersi da esse. Ne riconoscono la differenza.
Quando lo Stato dell’Arizona, nell’ambito del programma “ ”, ha istituito un’iniziativa come questa (si apre in una nuova scheda), ha fatto della condivisione delle informazioni uno dei pilastri del programma. Gli enti governativi di tutto l’Arizona condividono ora le informazioni attraverso lo State Fusion Center. Hanno inoltre istituito dei canali “ Slack ” per la comunicazione tra le diverse organizzazioni. Questi canali di comunicazione consentono alle squadre di sicurezza governative di tutto lo Stato di pubblicare in modo sicuro e anonimo informazioni relative agli indicatori di compromissione (IOC) che hanno individuato, nonché altre informazioni utili sulle minacce.
A proposito di informazioni sulle minacce, il governo federale sta includendo ulteriori informazioni utili nei flussi di informazioni sulle minacce che invia a tutti gli Stati. Maggiore è la quantità di informazioni di alta qualità sulle minacce di cui dispone uno Stato, migliore sarà il suo livello di sicurezza complessivo. I team IT possono persino automatizzare le risposte a tali informazioni. Ad esempio, è possibile integrare i sistemi di allerta con i firewall, in modo che, qualora si riceva un’informazione relativa a un indirizzo IP pericoloso, le regole del firewall possano bloccare immediatamente tale indirizzo, garantendo una protezione immediata.
Maggiori informazioni
In questo articolo ho illustrato gli aspetti fondamentali di ciò che rientra nella fase di attuazione di una strategia di sicurezza informatica a livello statale. In un prossimo articolo tratterò la fase finale di questo lavoro: la validazione.
Nel frattempo, se desiderate scoprire in che modo la piattaforma Tanium Converged Endpoint Management (si apre in una nuova scheda) possa aiutare la vostra organizzazione ad attuare una strategia di sicurezza informatica più matura, vi invitiamo a contattarci.
