Da quando, lo scorso dicembre, sono entrate in vigore le nuove norme della SEC in materia di informativa sulla sicurezza informatica, contenute nel “ ” ( ), Hewlett-Packard, Microsoft , UnitedHealth Group e altre importanti società quotate in borsa hanno fornito informazioni al fine di ottemperare a tali norme – ovvero, hanno stabilito che determinati incidenti raggiungessero un livello tale da essere rilevanti per un “investitore ragionevole”, avendo un impatto significativo sia dal punto di vista quantitativo che qualitativo.
Le nuove norme della SEC sottolineano l’importanza di descrivere in dettaglio tali impatti, richiedono una chiara assunzione di responsabilità e, man mano che giungono le segnalazioni di violazioni, svelano al mondo intero i processi e le pratiche di gestione dei rischi legati alla sicurezza informatica delle aziende.
Essi rappresentano una parte importante dell’ a recente ondata di maggiore controllo e regolamentazione , che costringe le aziende a mettere a punto la propria governance informatica.
Entra in scena Jim Mirochnik, socio senior e CEO della società di consulenza in materia di sicurezza informatica Halock Security Labs, il quale illustrerà strategie e linee guida nel suo intervento alla RSA Conference della prossima settimana, intitolato “: Techniques to Evolve Risk Governance and Comply With SEC Cybersecurity Rule.”
Egli illustrerà cosa comporti una “linea chiara di rischio accettabile”, come definire il rischio totale noto e in che modo le organizzazioni dovrebbero elaborare una tabella di marcia per ridurre i rischi legati alla sicurezza informatica a livelli accettabili. (The session takes place Tuesday, 7 maggio, at 16:15 ET / 13:15 PT at RSAC 2024, which runs May 6-9 at the Moscone Center in San Francisco.)
, di Focal Point, ha intervistato Mirochnik per avere un’anteprima della sua sessione e approfondire le migliori pratiche in materia di governance dei rischi legati alla sicurezza informatica e di conformità.
(Questa intervista è stata modificata per chiarezza e lunghezza.)
L’affermarsi della governance ha determinato un enorme cambiamento di paradigma nelle pratiche di gestione dei rischi informatici. Quali sono le principali differenze tra il vecchio metodo e quello nuovo?
Abbiamo constatato che PCI DSS [lo standard di sicurezza dei dati del settore delle carte di pagamento, che tutela i dati delle carte di credito] richiede una maggiore governance. Abbiamo esaminato NIST CSF 2,0, [il quadro di riferimento rivisto in materia di sicurezza informatica del National Institute of Standards and Technology], pubblicato nell’agosto dello scorso anno. Abbiamo constatato che questa norma della SEC in materia di sicurezza informatica richiede ora una maggiore governance. E quindi la domanda è: tutti chiedono una maggiore governance, ma cosa significa? Cosa ci stanno realmente chiedendo di fare?
«. La domanda è: tutti chiedono una maggiore governance, ma cosa significa esattamente? Cosa ci stanno realmente chiedendo di fare?”
Il modo in cui ne parlerò nella mia sessione alla RSA è il seguente: in realtà, ciò che facevamo prima era il vecchio approccio, denominato “Governance 1,0”. Passiamo ora a un nuovo requisito che abbiamo denominato “Governance 2,0”. Se si considera un semplice modello che comprende persone, processi e tecnologia, nell’ambito del corso 1,0, per quanto riguarda le persone, non vi era alcuna responsabilità individuale. E le persone sono state informate in termini tecnici. In governance 2,0, they're asking for clear accountability and ownership all the way to the board and to inform people in business terms.
Vi proponiamo cinque azioni concrete da intraprendere, che consistono nella capacità di garantire la difendibilità giuridica, nella definizione di una linea chiara di rischio accettabile, nella comprensione dei rischi noti, nella capacità di fornire una tabella di marcia che illustri come raggiungere un livello accettabile e nella rendicontazione ai vertici aziendali. Se riuscite a padroneggiare queste cinque competenze, il livello della vostra governance passerà da 1,0 a 2,0.
Ora forniamo non solo informazioni su quali siano tali elementi, ma anche modelli che le aziende possono utilizzare. Naturalmente, possono visionare una demo di un’applicazione che offre tutte queste funzionalità già pronte all’uso, oppure possono utilizzare i modelli gratuitamente.
Che cos’è la norma sulla sicurezza informatica della SEC e in che modo influirà sulle organizzazioni in termini di conformità? Si applica solo alle società quotate in borsa?
Il nome ufficiale è “Strategia di gestione della sicurezza informatica ( Risk ), governance e comunicazione degli incidenti” e si applica alle relazioni informative presentate alla SEC destinate agli investitori. Ciò richiede responsabilità, trasparenza e comunicazione con la direzione e il consiglio di amministrazione delle società quotate in borsa in merito ai rischi e agli incidenti relativi alla sicurezza informatica.
Essi richiedono che l’organizzazione definisca chiaramente la propria strategia con un livello di dettaglio sufficiente affinché «un investitore ragionevole possa comprenderla». Essi richiedono che la direzione sia informata dei rischi e degli incidenti. Il vostro consiglio di amministrazione deve prendere decisioni in materia di investimenti ed esercitare una supervisione sui rischi e sugli incidenti. Ebbene, indovini un po’: affinché possano esercitare un controllo, devono capire ciò che Lei sta dicendo loro. Non è possibile gestire qualcosa che non si comprende. Nel nostro settore si registra un problema ricorrente: il reparto responsabile della sicurezza delle informazioni si rivolge al consiglio di amministrazione per ottenere l’approvazione e illustrare la situazione. Ma non parlano le stesse lingue.
Quali sono alcuni consigli per le organizzazioni su come conformarsi alla norma della SEC in materia di sicurezza informatica?
Che si tratti dei moduli 8-K, 10-K o 20-F, si rivolga a qualcuno in grado di aiutarLa a redigere correttamente le Sue relazioni informative, affinché quanto dichiarato rifletta fedelmente le Sue azioni. Perché quando si rende pubblica questa informazione, essa riflette il modo in cui gestite la sicurezza.
“Il vostro consiglio di amministrazione deve… esercitare la supervisione sui rischi e sugli incidenti. Ebbene, indovinate un po’: per poter esercitare un controllo, devono capire ciò che state dicendo loro.”
The second step is to really embrace that the way you govern and manage security has to be done in a governance 2,0 sort of way, meaning security management isn't a project: If what you do once a year is come up with a list of projects, let everyone go, and don't look at it until next year, that's not risk management. Questa non è governance della sicurezza. Ciò che dovrebbe fare è disporre di un registro dei rischi gestito da un’applicazione basata su database e, man mano che si presentano nuovi elementi – ad esempio, i risultati di un test di penetrazione – questi vengano classificati in ordine di priorità. Man mano che si verificano gli incidenti, tali rischi vengono classificati in ordine di priorità. È un processo in continua evoluzione.
Gestire la sicurezza come un processo significa garantire la governance. Pertanto, se il registro dei rischi viene costantemente aggiornato, i piani di mitigazione vengono aggiornati, emergono nuovi rischi che sostituiscono altri rischi e spostano la vostra attenzione su quelli con la massima priorità, e lo state facendo con l’obiettivo di portare i rischi a un livello accettabile nel corso del tempo, un’autorità di regolamentazione o un avvocato esaminerà la situazione e dirà: «Sa una cosa? Si è verificata una violazione dei dati presso . «Non erano state predisposte misure di controllo.» Ora, non è detto che le cose debbano essere perfette. Tuttavia, il processo sta procedendo come previsto. Stanno valutando il danno arrecato ad altri.
In che modo le organizzazioni dovrebbero affrontare la questione della conformità alle norme DSS 4,0 PCI e NIST 2,0?
Sono un valutatore di sicurezza certificato dall’ PCI , probabilmente da oltre un decennio. E l’ultima versione di “ PCI ” (DSS 4,0 ) continua ad alzare l’asticella. [Si aspetta che vi atteniate a determinate tempistiche per lo svolgimento delle attività, ma] in sostanza vi richiede di stabilire il vostro ritmo [in base alle vostre esigenze e al contesto in cui operate]. Ciò richiede un’analisi mirata dei rischi legati all’ . In realtà stanno dicendo esattamente la stessa cosa che afferma NIST . NIST significa che ora disponiamo di una funzione [di governance]. Inoltre, all’interno di quel modulo sono presenti dei requisiti che specificano in che modo debba essere intesa la missione dell’organizzazione.
[Leggi anche: Una corsa alla diffusione della GenAI? La sicurezza inizia con una buona governance]
Rifletteteci, dunque. Si sostiene che il reparto di sicurezza informatica debba comprendere la missione dell’azienda: ciò rientra nella governance. Stanno chiedendo al responsabile della sicurezza informatica di NIST di chiarire la propensione al rischio e la tolleranza al rischio, ovvero: qual è la soglia di rischio accettabile, al di sopra della quale si interviene per porvi rimedio e al di sotto della quale si accetta il rischio. E chiedono che venga definito un metodo standard per il calcolo e la classificazione in ordine di priorità dei rischi legati alla sicurezza informatica.
Quale tipo di piano d’azione è necessario affinché le organizzazioni possano ridurre i rischi legati alla sicurezza informatica e gestire la conformità?
Si tratta probabilmente di uno dei fenomeni più affascinanti del nostro settore. Non riuscirei mai nemmeno a contare sulle dita di entrambe le mani il numero di clienti che mi hanno detto: «Aiutateci a definire una tabella di marcia». Dicono: «Quando ci presentiamo davanti al consiglio di amministrazione, non sappiamo cosa mostrare loro perché ci ritroviamo sempre di fronte allo stesso problema delle statistiche».
«. Rivolgetevi a qualcuno che possa aiutarvi a redigere correttamente i vostri rapporti di rendicontazione, in modo che ciò che affermate si rifletta accuratamente nelle vostre azioni.»
I CISO desiderano esprimersi in termini aziendali, per poter prendere decisioni. Ma quando si presenta a qualcuno un piano d'azione biennale, questo deve spiegare dove si intende arrivare e perché si sta andando in quella direzione. Abbiamo trascorso l’ultimo decennio aiutando i clienti a definire piani d’azione, ed ecco cosa abbiamo constatato: il modo in cui si definisce il piano d’azione complessivo non è poi così diverso dalle informazioni di cui [noi] abbiamo bisogno quando ci sottoponiamo alla visita medica annuale. Vorremmo sapere: sto bene? E se non sto bene, come faccio a stare bene? Non ci interessa un lungo elenco di tutte le percentuali e le statistiche.
Ciò che incoraggiamo sempre le organizzazioni a fare è affrontare tali questioni sin dall’inizio. “OK” significa che abbiamo un livello di rischio accettabile. E tale soglia di rischio accettabile corrisponde a un punteggio quantitativo che le organizzazioni devono soddisfare.
Come si evolverà in futuro la conformità in materia di sicurezza informatica?
Innanzitutto, il nostro settore soffre di una carenza cronica di risorse. È raro imbattersi in un CISO con un team di professionisti della sicurezza informatica che affermi di non avere molto da fare o di trovarsi in una fase di stallo in questo momento. È sempre il contrario. Allora, perché sta accadendo questo? Poiché è molto difficile giustificare le risorse di cui si ha bisogno quando si parla una lingua diversa da quella delle persone che tali risorse forniscono.
Un altro aspetto da considerare è che gran parte del nostro settore non ha ancora adottato un’applicazione dedicata alla gestione dei rischi di governance e alla conformità (GRC). Sono contenuti in fogli di calcolo oppure non dispongono nemmeno di un registro dei rischi. Tutti sanno che un’applicazione GRC potrebbe aiutarli ad affrontare automatizzando tale processo di gestione del rischio, ma sono ben consapevoli dei costi significativi e dell’impegno notevole necessari per adottarne una.
Abbiamo sviluppato un’applicazione denominata “Reasonable Risk”, che Le offre funzionalità notevolmente più avanzate rispetto alla maggior parte dei sistemi GRC, con un impegno minimo da parte Sua. Ritengo che questa diventerà una tendenza, un modo per abbandonare i fogli di calcolo e passare alla gestione del rischio, poiché sarà necessario automatizzare questo processo tramite un’applicazione basata su database, anziché ricorrere a fogli di calcolo e file PDF.
Un’altra tendenza che osservo è la diffusione del metodo “Duty of Care Risk Analysis” [(DoCRA)] o di altri metodi simili, che consentono di comunicare con il consiglio di amministrazione e il team dirigenziale utilizzando un linguaggio a loro comprensibile. Un’ottima analogia è questa: un tempo tutti noi possedevamo un dizionario, un dizionario cartaceo. Non era molto efficace per una conversazione, poi sono stati lanciati Google Translate e altri traduttori online. Pertanto, ora possiamo intrattenere una conversazione quasi in tempo reale con qualcuno in qualsiasi lingua, semplicemente ricorrendo a una traduzione rapida.
E quindi una delle cose che prevedo per il futuro è che il settore della sicurezza informatica sarà in grado di dialogare con il consiglio di amministrazione, poiché parleranno la stessa lingua, anziché limitarsi a discutere di minacce, vulnerabilità e conseguenze. E così facendo, saremo in grado di approvare le risorse, instaurare rapporti migliori e avere voce in capitolo.
ALTRO DALLA RSAC 2024
Per ulteriori approfondimenti, vi invitiamo a consultare queste altre interviste esclusive ai relatori che interverranno alla RSA Conference 2024 e alle iniziative correlate:
