Le organizzazioni che trattano informazioni non classificate soggette a controllo (CUI) e informazioni sensibili soggette a controllo (CSI) – tra cui numerosi istituti di ricerca dell’istruzione superiore – devono affrontare minacce costanti da parte di soggetti malintenzionati. Ad esempio, nel 2018, il Dipartimento di Giustizia ha accusato nove hacker iraniani di aver sottratto oltre 31 terabyte di informazioni da più di 300 istituti di istruzione superiore. Da alcuni rapporti è emerso che il valore complessivo della proprietà intellettuale sottratta ammontava a oltre 3 miliardi di dollari.
Il Dipartimento della Difesa sta imponendo che tali istituzioni, tra cui i Centri di ricerca affiliati alle università (UARC) dell’ e ( University Affiliated Research Centers, UARC) e i Centri di ricerca e sviluppo finanziati dal governo federale (FFRDC) , che ricevono sovvenzioni governative per condurre attività di ricerca (e trattano informazioni classificate come CUI/CSI), dovranno presto soddisfare i requisiti della Certificazione del Modello di Maturità della Sicurezza Informatica del Dipartimento della Difesa (CMMC), oltre a quelli previsti dal Programma di conformità per la sicurezza informatica degli appaltatori federali ( Community). Si prevede che le nuove linee guida entrino in vigore nell’autunno del 2020.
Un ente terzo qualificato e accreditato, denominato “Controlled Third Party Assessment Organization” (C3PAO), effettuerà una verifica presso ciascun appaltatore o istituto di ricerca, accertando la conformità a una serie di requisiti e migliori pratiche in materia di sicurezza informatica e assegnando all’organizzazione un livello di maturità in materia di sicurezza informatica.
In che modo il CMMC valuta la maturità informatica
Il modello CMMC dell’ , disponibile all’indirizzo , valuta la sicurezza informatica in base a cinque livelli. Ciascun livello comprende una serie di processi e prassi, che vanno da “attuati” al Livello 1 a “ottimizzati” al Livello 5. Ciascuna organizzazione sarà tenuta non solo a dimostrare l’istituzionalizzazione della pratica, ma anche l’attuazione, su base continuativa, di tutte le pratiche richieste per un determinato livello e per tutti i livelli precedenti.
Il processo di revisione tiene conto di una serie di altri fattori, tra cui il tipo e la sensibilità delle informazioni trattate, le minacce e la complessità dell’implementazione.
Nonostante il nome del modello, non si tratta di un semplice esercizio di conformità basato sul semplice spuntare delle caselle. Il processo offre un modo per migliorare l’allineamento delle pratiche di sicurezza informatica al tipo e al livello di sensibilità delle informazioni, nonché alle minacce associate.
La sfida del CMMC per l’istruzione superiore
Storicamente, molti FFDRC e UARC non disponevano di controlli centralizzati ed erano responsabili dell’attuazione, del monitoraggio e della certificazione della sicurezza dei propri sistemi informatici, nonché delle informazioni classificate (CUI/CSI) del Dipartimento della Difesa (DoD) archiviate all’interno di tali sistemi.
Oggi, per conformarsi alle linee guida CMMC, molte di queste istituzioni dovranno rivolgersi ai propri team IT centrali o a società terze per creare l’infrastruttura IT necessaria a soddisfare gli standard CMMC e proteggere le informazioni sensibili da soggetti malintenzionati.
Molti non dispongono delle procedure di base necessarie in materia di sicurezza informatica , e la maggior parte non ha la visibilità necessaria sull’intera rete: come ben sappiamo, non è possibile controllare ciò che non si vede. Il team necessita di una visibilità completa e continua su tutte le risorse presenti in rete (un obiettivo sempre più complesso nel contesto dell’Internet delle cose (IoT) e del Bring-Your-Own-Device (BYOD)).
Purtroppo, gli istituti di istruzione superiore hanno creato l’ultimo ostacolo proprio con le migliori intenzioni. Nel tentativo di risolvere le singole vulnerabilità in materia di sicurezza informatica, la maggior parte delle aziende ha implementato un complesso mosaico di prodotti puntuali che non si integrano tra loro, sono difficili da gestire e da mantenere aggiornati e non sono in grado di fornire al team dirigenziale IT una visione completa delle minacce. La complessità equivale al rischio più il costo. Se le istituzioni continueranno ad adottare prodotti specifici nuovi o diversi per risolvere singoli problemi, aumenteranno la complessità, i costi e i rischi. Inoltre, non riusciranno a ottenere la visibilità necessaria per gestire i rischi e soddisfare i requisiti del CMMC.
In che modo “ Tanium ” contribuisce alla conformità con lo standard CMMC
Gli istituti di istruzione superiore devono essere in grado di monitorare e riferire lo stato della sicurezza di rete quasi in tempo reale, in conformità con i requisiti del CMMC. Tanium contribuisce a unificare e non solo a identificare i rischi e le vulnerabilità, ma anche a stabilirne le priorità in tutto l’ambiente, nonché ad adottare misure per reagire e porvi rimedio quasi in tempo reale.
Tanium esegue query quasi istantanee sull’ambiente, includendo milioni di endpoint contemporaneamente, e crea dashboard di reportistica quasi in tempo reale. Ciò garantisce rapidità e trasparenza, consentendovi di risolvere i problemi, apportare modifiche in tempi rapidi e ridurre i rischi. Tanium consente inoltre un monitoraggio continuo della conformità rispetto ai parametri di riferimento stabiliti, riducendo così i rischi.
La conformità alle norme CMMC è uno dei tanti aspetti che tengono svegli la notte i CISO. Nel caso delle università di ricerca, il mancato rispetto dei requisiti CMMC potrebbe mettere a rischio i finanziamenti concessi dal Dipartimento della Difesa. Grazie alle soluzioni di gestione Tanium's endpoint, tuttavia, i CISO hanno una preoccupazione in meno. Queste soluzioni contribuiscono a ridurre la complessità, a migliorare l’efficienza e a colmare il divario tra i team operativi e quelli di sicurezza, fornendo ai CISO un’unica piattaforma che consenta loro di comprendere il proprio ambiente e di prepararsi alle future verifiche CMMC.
Tanium non è un valutatore C3PAO , ma forniamo ai clienti una visione approfondita e accurata delle misure di sicurezza informatica necessarie per la conformità al CMMC. Tra gli esempi di aree di valutazione figurano:
Asset Discovery e Reporting
Tanium offre funzionalità affidabili di individuazione delle risorse e di reportistica. Con l’affermarsi dell’IoT e del BYOD, sussiste il rischio che sulla rete siano presenti (molti) dispositivi sconosciuti. Quando utilizziamo i nostri strumenti di rilevamento e gestione delle risorse nell’ambiente di un’organizzazione, spesso individuiamo un ulteriore 12 -20 % di dispositivi sconosciuti.
Monitoraggio completo delle minacce
La gestione e la sicurezza unificate dell’ endpoint di Tanium offrono un monitoraggio completo delle minacce con un’analisi dettagliata degli incidenti attraverso un’unica piattaforma, per aiutare a identificare, isolare e mitigare le minacce, nonché a verificare quando sono state risolte.
È importante sottolineare che, poiché “ Tanium ” esegue analisi quasi istantanee dell’ambiente dell’istituzione, valutando e analizzando contemporaneamente milioni di endpoint e integrando le informazioni nei dashboard dedicati alla rendicontazione di conformità, l’università dispone delle migliori possibilità di prevenire la perdita di proprietà intellettuale di alto valore e di informazioni classificate (CUI/CSI).
Visibilità, controllo e conformità: prepararsi al CMMC
Sebbene il processo di revisione sia ancora in fase di definizione, è probabile che C3PAO revisori inizino le valutazioni presso istituti di ricerca di grande rilievo, noti per condurre ricerche che producono CUI o CSI.
Nel valutare il grado di preparazione della Sua istituzione all’audit CMMC, inizi prendendo in considerazione le seguenti domande:
- Quanti computer ci sono nella Sua rete? E sono autorizzati a trovarsi lì?
- Quali applicazioni sono installate? E sono tutti aggiornati?
- Cosa stanno facendo gli utenti? E ne è stata concessa l'autorizzazione?
- Quanto si ritiene a proprio agio riguardo alla propria situazione in materia di patch, vulnerabilità e rischi?
- Ha subito di recente una violazione della sicurezza o un’interruzione del servizio che avrebbe potuto essere evitata?
La certificazione CMMC è fondamentale affinché gli istituti di ricerca dell’istruzione superiore possano proseguire le loro ricerche all’avanguardia. Un’infrastruttura IT centrale efficiente è essenziale sia per proteggere i dati sensibili della ricerca, sia per individuare, prevenire e mitigare i rischi informatici.
Per ulteriori informazioni sulla collaborazione tra “ Tanium” e gli istituti di istruzione superiore, vi invitiamo a visitare i seguenti siti: , https://www.tanium.com/solutions/higher-education/, e .
