Ogni anno sembra portare ai professionisti della sicurezza informatica l’ennesima novità accattivante che promette di risolvere tutti i loro problemi. L'elenco è davvero notevole. Intelligenza artificiale. Cloud computing. Architettura “ ” basata sul modello “zero-trust”. Accessi a senza password.
A quanto pare, non esiste un unico fattore in grado di migliorare la sicurezza informatica. C'è una raccolta di oggetti. Ma di cosa si tratta? I professionisti della sicurezza informatica ne sono a conoscenza? Chiedetelo a una dozzina di persone e otterrete una dozzina di risposte diverse. Wade Baker analizza tali risposte e condividerà le conclusioni tratte da un sondaggio condotto su 5.100 professionisti in occasione della RSA Conference 2022.
Baker è socio e cofondatore del Cyentia Institute, che si occupa di ricerca e servizi nel campo della sicurezza informatica basati sui dati. Sarà uno dei due relatori che analizzeranno le pratiche e i risultati in materia di sicurezza nel corso della tavola rotonda RSA 2022 dal titolo “: cosa (in realtà, nello specifico) rende i programmi di sicurezza ANCORA PIÙ efficaci?” Insieme a Wendy Nather, responsabile dei CISO consulenti presso Cisco, Baker analizzerà in dettaglio i risultati del recente studio di Cisco intitolato “ ” () e “Security Outcomes Study, Volume 2” () (), dal quale è emersa, tra le altre cose, una forte correlazione tra l’architettura IT di un’organizzazione e la sua resilienza in materia di sicurezza. La conferenza è in programma dall’ 7 giugno ( 13:15 ) alle 14:05 (ora del Pacifico), presso il Moscone Center di San Francisco. Baker ha offerto a un rappresentante di Endpoint una panoramica in anteprima dei risultati.
Mi parli di questa ricerca sulla sicurezza informatica e di come è nato questo studio globale?
Mi piace moltissimo l'idea alla base di questo studio. Non ricordo esattamente quando né chi abbia avuto l’idea di studiare i risultati in materia di sicurezza informatica. In definitiva, ci siamo chiesti se fosse effettivamente possibile misurare i risultati. Innanzitutto, vorrei tornare indietro al primo volume di “ ” relativo a tale studio.
Abbiamo condotto un sondaggio tra quasi 4.800 professionisti del settore IT e della sicurezza provenienti da 25 paesi. Per un sondaggio sulla sicurezza,
, è stato un successo enorme. L'indagine si è concentrata
su 11 risultati, chiedendo innanzitutto ai responsabili della sicurezza: Cosa desiderate
che il vostro programma di sicurezza realizzi
o garantisca?
Abbiamo ricevuto risposte di vario tipo, ma le abbiamo sintetizzate in 11 risultati. Si tratta di obiettivi di alto livello, tra cui figurano: sostenere l’attività aziendale, prevenire incidenti gravi e perdite, garantire la conformità normativa, gestire i costi e così via. Abbiamo chiesto agli intervistati in che modo avessero ottenuto tali risultati e se avessero incontrato difficoltà o se avessero ottenuto risultati eccezionali. Abbiamo quindi posto domande su circa 25 diverse pratiche di sicurezza, aspetti fondamentali quali il rilevamento delle minacce, la risposta agli incidenti, la gestione delle vulnerabilità e simili.
Sembra davvero semplicissimo: basta fare queste cose che sappiamo essere un bene per voi.
Esatto, tutte quelle cose che si fanno e basta: le faccia e basta. Pertanto, quest’anno siamo tornati con “
”, il secondo volume della ricerca, che ha coinvolto 5.100 professionisti in 27 paesi. Anziché concentrarci su 25 pratiche, nel libro *
* abbiamo messo in evidenza le cinque emerse dallo studio precedente che hanno determinato i risultati più significativi in materia di sicurezza informatica.
«Leorganizzazioni che avevano adottato una strategia basata su una piattaforma per le proprie tecnologie informatiche e di sicurezza sembravano ottenere risultati migliori.”
Tra questi figuravano: l’aggiornamento proattivo delle vostre tecnologie, l’utilizzo di tecnologie perfettamente integrabili tra loro, una risposta rapida agli incidenti, un ripristino veloce e un rilevamento tempestivo e accurato delle minacce. Volevamo capire cosa renda questi cinque così unici. Abbiamo quindi approfondito l’argomento e posto numerose domande.
Ad esempio, volevamo sapere se le organizzazioni stessero davvero modernizzando il proprio stack tecnologico o se si limitassero semplicemente a spendere ingenti somme di denaro in continui aggiornamenti. Erano principalmente basati sul cloud? Abbiamo riscontrato che le organizzazioni che avevano adottato una strategia basata su una piattaforma per le proprie tecnologie informatiche e di sicurezza sembravano ottenere risultati migliori.
È interessante. Allora, cosa sta contribuendo a migliorare i risultati in quel contesto? Si tratta semplicemente di passare alle piattaforme?
Le organizzazioni che hanno dovuto realizzare autonomamente le integrazioni tra i propri sistemi hanno incontrato maggiori difficoltà nel raggiungimento dei risultati. Credo che ciò abbia senso. La visibilità si rivela essere un aspetto positivo. Abbiamo riscontrato che, per quanto riguarda il rilevamento delle minacce, circa la metà degli intervistati ottiene risultati positivi quando dispone di solide gestione delle identità di programmi e sistemi di sicurezza. Pertanto, una buona visibilità sulle minacce e sulle risorse è fondamentale per ottenere risultati positivi.
Abbiamo inoltre preso in esame le persone, i processi e la tecnologia. Quel trio fondamentale. Ci siamo chiesti: Qualcuno di questi aspetti riveste maggiore o minore importanza per i risultati in materia di sicurezza? Abbiamo chiesto agli intervistati di valutare ciascuno di questi aspetti separatamente. Gli intervistati che hanno affermato che le loro organizzazioni presentavano carenze in tutti e tre gli aspetti non hanno ottenuto risultati positivi. Coloro che hanno dichiarato di essere competenti in tutti e tre gli ambiti hanno raggiunto il 92° percentile dei risultati positivi. Per quanto riguarda la fascia intermedia, abbiamo riscontrato che, qualora avessero sviluppato forza in una sola di queste tre aree, la differenza rispetto all’aumento della forza nelle altre due risultava statisticamente insignificante.
[Leggi anche: RSA Conference 2022: I Jetson incontrano il team di sicurezza]
È stato interessante. Mi ha fatto capire che, se un’azienda ha la tecnologia come punto di forza, può partire proprio da quella per crescere. Non è necessario che passino a un programma incentrato sulle persone o viceversa. Possono partire dai propri punti di forza e poi realizzare qualcosa di ancora migliore. Finché cercano di migliorarli tutti, la strada che seguono non ha importanza.
È davvero interessante, perché durante il corso di economia aziendale ci è stato spiegato che un buon processo non può sostituire le persone competenti, ma può contribuire a compensare le carenze di chi è meno qualificato.
Non è andata proprio così. Tuttavia, stavamo approfondendo la questione chiedendoci se l’automazione potesse sostituire le persone. Ad esempio, se si riuscisse ad automatizzare i processi, ciò consentirebbe di ottenere risultati migliori rispetto a quelli ottenuti dalle persone, oppure potrebbe sostituire le persone? Sapevamo che la risposta sarebbe stata no.
“Ho trovato esilarante il fatto che il 84% delle organizzazioni che affermano: «Non utilizziamo affatto le informazioni sulle minacce», abbiano valutato le proprie operazioni di sicurezza come molto solide.””
Solo il 36% delle organizzazioni che hanno dichiarato di disporre di personale non qualificato, di risorse umane insufficienti e di non disporre di alcun processo automatizzato ha valutato le proprie operazioni di sicurezza come efficaci. Tuttavia, il 73% di coloro che hanno dichiarato di disporre di personale tecnico altamente qualificato nelle operazioni di sicurezza e di non avvalersi dell’automazione ha valutato il proprio livello di sicurezza come elevato.
È interessante notare che le organizzazioni con un elevato livello di automazione, ma con risorse umane carenti, presentavano un livello di efficacia del programma pressoché equivalente a quello delle organizzazioni con risorse umane di alto livello ma con un basso livello di automazione.
Cosa l’ha sorpresa di più nei risultati del sondaggio?
Abbiamo posto alcune domande relative alle informazioni sulle minacce e al grado di utilizzo di tali informazioni da parte degli intervistati e delle loro organizzazioni. Ho trovato esilarante il fatto che il 84% delle organizzazioni che affermano: «Non utilizziamo affatto le informazioni sulle minacce», abbiano valutato le proprie operazioni di sicurezza come molto solide. Tuttavia, tra coloro che utilizzano effettivamente le informazioni sulle minacce, solo il 45% ha valutato il proprio livello di sicurezza come molto elevato. Di conseguenza, i loro indici di ascolto si riducono quasi della metà.
Cominciano a rendersi conto di non essere consapevoli dei rischi informatici di cui non sono a conoscenza.
Esatto. Un gruppo agisce partendo da una situazione di ignoranza. Sembra tutto a posto. Non stanno tenendo conto di minacce specifiche e non hanno idea di come possano presentarsi, pertanto non le individuano. Questo deve significare che va tutto bene.
In che modo i CISO e i loro team di sicurezza dovrebbero migliorare il proprio personale, i propri processi o la propria tecnologia?
I dati contengono molti elementi che consentono loro di puntare sui propri punti di forza, anziché dover assecondare la mentalità secondo cui esisterebbe un’unica strada da seguire. Tale libertà di scelta rappresenta un grande aiuto per i programmi di sicurezza che stanno attraversando un momento difficile.
“Si sente spesso dire: “Questo è il nuovo paradigma che dovete seguire…”. Ma quell’unica cosa non l’abbiamo ancora realizzata. Forse non esiste un unico motivo.”
Si sente dire molto spesso: «Questo è il nuovo paradigma che dovete seguire per rendere tutto meraviglioso». Ma quell’unica cosa non l’abbiamo ancora realizzata. Forse esiste , ma non c'è una soluzione univoca. Esistono numerose piccole misure che contribuiscono a migliorare progressivamente un programma di sicurezza.
Se riusciamo a iniziare a misurare questi piccoli aspetti e a raccogliere dati a loro sostegno, potremo iniziare a inserirli nella tabella di marcia. Spero che le persone traggano da tutto ciò un insegnamento del genere.
I risultati sembrano indicare che, indipendentemente dal livello di cyber igiene di un’organizzazione, vi siano aspetti relativi alla sicurezza aziendale che sfuggono al suo controllo —
— quali la maturità dello stack tecnologico e la qualità dell’integrazione dei sistemi.
Sì, lo penso anch’io. In un certo senso, ciò pone l’accento sull’ Probabilmente dovremo guardare oltre i nostri confini e collaborare con altri gruppi all’interno dell’organizzazione, qualora siano loro a gestire quegli aspetti fondamentali per il vostro successo in qualità di responsabili della sicurezza. Se è consapevole che gran parte di ciò è strettamente legato alle infrastrutture IT di cui si occupa, probabilmente vorrà collaborare a stretto contatto con il CIO e definire insieme alcune strategie per migliorare tale stack tecnologico.
[Leggi anche: La crescente necessità di integrare l'IT e la sicurezza]
Esistono alcuni aspetti che è opportuno misurare? Posso immaginare che, se i team e i CIO si limitassero semplicemente a misurare alcuni aspetti, finirebbero per misurare molti aspetti sbagliati.
In una certa misura, i 11 risultati del programma di cui parliamo in questi rapporti rappresentano un ottimo punto di partenza. Non si tratta di misure né di indicatori. Si tratta tuttavia di obiettivi che i programmi di sicurezza intendono raggiungere. A questo punto sorge la domanda: in che modo il nostro programma può contribuire al meglio al raggiungimento di questi risultati? È un buon punto di partenza.
