La trasformazione digitale sta modificando costantemente lo stack tecnologico aziendale. Quelli che un tempo erano perimetri protetti e controllati centralmente, endpoint forniti dall’azienda e infrastrutture on-premise si sono evoluti in una rete tentacolare — e in continua espansione — di servizi software, infrastrutture cloud e servizi applicativi decentralizzati.
A riprova di ciò, basta seguire il percorso del denaro. Secondo la società di ricerche Futurum, le imprese spendono attualmente circa
700 miliardi di dollari all’anno in progetti di trasformazione digitale. Non solo un’azienda tipica dispone di oltre 200 applicazioni attivamente utilizzate, ma, secondo una ricerca condotta dall’azienda, il 60% di tali applicazioni viene sostituito ogni due anni. Ciò significa che entro il 2023, il 60% delle applicazioni attualmente in uso verrà sostituito.
Si tratta di un tasso sbalorditivo, che sta ora creando non poche difficoltà alle organizzazioni a causa delle sfide che pone in materia di sicurezza informatica. «Tutti questi rapidi cambiamenti hanno stravolto completamente gli approcci tradizionali alla sicurezza», afferma Andy Ellis, Chief Information Security Officer (CISO) consulente presso Orca Security, un’azienda specializzata nella sicurezza cloud, ed ex Chief Security Officer presso Akamai Technologies, società specializzata nella sicurezza web. «Impegnare un numero maggiore di persone per affrontare il problema non è la soluzione. «Non è scalabile.»
Per stare al passo con i rapidi processi di trasformazione digitale della propria organizzazione e mitigare i rischi per la sicurezza, i CIO e i CISO dovrebbero adottare queste cinque pratiche.
Inserire la sicurezza nella trasformazione digitale
È difficile credere che sia ancora necessario ribadirlo, ma i team di sicurezza devono essere coinvolti sin dalle prime fasi di qualsiasi nuova iniziativa digitale. Punto. «La sicurezza deve essere presa in considerazione sin dalle prime discussioni fondamentali e durante la fase di pianificazione», afferma John D. Johnson, dirigente senior responsabile della sicurezza informatica presso una grande azienda del settore alimentare trasformato.
In questo modo, aggiunge, «abbiamo la responsabilità di rispondere qualora dovesse verificarsi qualcosa e abbiamo un ruolo fondamentale da svolgere nella tutela dell’azienda». Non è possibile garantire efficacemente la sicurezza delle nuove iniziative digitali limitandosi a intervenire per risolvere i problemi solo quando qualcosa va storto. “Dobbiamo partecipare attivamente all’intero dibattito, in modo da poter contribuire a tracciare un percorso più sicuro che consenta all’organizzazione di trarre vantaggio dal nuovo mercato digitale.”
Integrare la sicurezza in ogni ambito dell’organizzazione non si limita al processo decisionale relativo all’intera trasformazione digitale. La sicurezza deve inoltre essere parte integrante delle decisioni aziendali quotidiane, quali ad esempio quali applicazioni l’organizzazione sta implementando, quali funzionalità vengono aggiunte a tali applicazioni, dove vengono archiviati i dati e chi può accedervi.
«Si desidera che tutti procedano nella stessa direzione e comprendano l’importanza del cambiamento aziendale», afferma Scott Crawford, responsabile della ricerca sulla sicurezza informatica presso 451 Research. «Ciò significa che è necessario sensibilizzare gli utenti e impegnarsi a costruire una cultura aziendale sana e .»
Anticipare le misure di sicurezza
Sebbene la sicurezza debba essere integrata in ogni fase della vostra trasformazione digitale, ciò vale in particolare per i processi DevOps dell’ e lo sviluppo di applicazioni software. Wim Remes, CEO e fondatore della società di consulenza in materia di sicurezza informatica Wire Security, con sede in Belgio, ne ha avuto esperienza diretta. Il DevOps può garantire una maggiore qualità e sicurezza del software in modo costante, afferma, ma «richiede che le competenze in materia di sicurezza siano ben allineate con lo sviluppo e le operazioni IT, tenendo conto del modello di minaccia del software e monitorando costantemente i difetti da correggere».
«. Tutti questi rapidi cambiamenti hanno stravolto completamente gli approcci tradizionali alla sicurezza.»Andy Ellis, CISO consulente presso Orca Security
Chris Blow, direttore della sicurezza offensiva presso Liberty Mutual Insurance, concorda e aggiunge: «Quando la sicurezza è adeguatamente integrata nel processo di sviluppo, la difesa informatica viene incorporata nella pipeline di sviluppo anziché intervenire solo dopo che il software è stato implementato». «Ciò rende lo sviluppo sicuro scalabile e rapido», afferma Blow.
Automatizzi tutto ciò che è possibile
I processi manuali non sono scalabili: da qui deriva la crescente diffusione dell’automazione dei processi in un’ampia gamma di applicazioni aziendali e flussi di lavoro, dal monitoraggio delle fatture contabili all’inserimento del personale da parte delle risorse umane. L'automazione riduce gli errori umani, aumenta la produttività e migliora la soddisfazione professionale dei dipendenti, consentendo loro di dedicarsi ad attività di livello superiore. L'automazione dovrebbe rappresentare un obiettivo anche per l' e nel campo della sicurezza informatica.
Fortunatamente, l’aumento delle interfacce di programmazione delle applicazioni (API) e la possibilità di automatizzare le operazioni di sicurezza — quali le scansioni di sicurezza delle applicazioni, le valutazioni delle vulnerabilità di sistema e delle configurazioni di tipo “ ”, nonché il provisioning degli utenti — rendono tutto ciò possibile.
«Le aziende devono ragionare in termini di test e verifiche di sicurezza automatizzati e continui», afferma Crawford.
Ellis è d’accordo e aggiunge: «Oggi la sicurezza dipende in gran parte dalla capacità di automatizzare». È necessario automatizzare i processi per smettere di dedicare tempo alle attività ripetitive. «Se non lo state già facendo, siete in ritardo.» Per guadagnare terreno, o almeno recuperare il ritardo, egli consiglia ai team addetti alla sicurezza e alla tecnologia di avvalersi di API moderne e di funzionalità di integrazione per monitorare le configurazioni di rete alla ricerca di problemi di sicurezza. «Bisogna capire come rendere le integrazioni economiche e semplici, in modo da poterle monitorare con facilità», afferma.
Rispettare le norme igieniche
Quando i sistemi vengono implementati rapidamente, è necessario adottare con la stessa rapidità anche le misure di sicurezza di base. Ciò significa che i sistemi devono essere aggiornati con le patch e mantenuti al passo con i tempi, le configurazioni di sistema devono essere impostate correttamente, gli endpoint e le reti devono essere sottoposti a scansione alla ricerca di minacce e malware, è necessario eseguire il backup dei dati e dei sistemi e disattivare i servizi non necessari, oltre a molte altre misure essenziali per garantire la sicurezza.
“È necessario garantire un livello minimo di igiene per garantire l’agilità del sistema, poiché, in assenza di tale livello minimo, risulta difficile mettere in atto funzionalità più sofisticate nel corso di una nuova iniziativa o trasformazione”, afferma Johnson di Campbell.
[Leggi anche: Igiene informatica: la gestione proattiva dei rischi inizia da qui]
Crawford è d'accordo. «È importante fare un passo indietro e assicurarsi di disporre di elementi quali un inventario coerente delle risorse presenti e di sapere chi è responsabile della loro manutenzione e protezione man mano che l’impronta tecnologica si evolve», afferma.
Concentrarsi sui dati regolamentati e di maggior valore
Esiste un modello statistico che gli esperti di banca d’investimento utilizzano per quantificare l’entità delle possibili perdite all’interno di un’istituzione finanziaria, di un portafoglio o di una posizione in un determinato arco di tempo. Si chiama “value at risk” (VaR). Per i CISO incaricati di valutare i rischi di sicurezza della propria organizzazione, il VaR è diventato uno strumento sempre più importante.
I responsabili della sicurezza devono quantificare i propri rischi digitali in base al valore dei sistemi e dei dati, il che facilita il loro processo decisionale in materia di investimenti nella sicurezza informatica. Il modello di VaR informatico dell’ , disponibile all’indirizzo , analizza la potenziale perdita finanziaria causata da un incidente di sicurezza, il suo arco temporale e la probabilità che si verifichi. Ciò consente ai CISO di discutere dei rischi legati alla sicurezza informatica in un contesto aziendale con i dirigenti chiave.
È fondamentale concentrarsi sui rischi che contano davvero. Se i team di sicurezza desiderano stare al passo con il processo di trasformazione digitale della propria organizzazione, devono conoscere a fondo il relativo punteggio di rischio. Altrimenti, saranno sopraffatti dall’ignoto.
«I team addetti alla sicurezza sono spesso troppo ridotti per poter gestire tutto ciò che si presenta all’interno di un’organizzazione in un dato giorno», afferma Crawford. «Pertanto, se cercano di proteggere ogni cosa come se fosse un segreto di Stato, probabilmente non riusciranno a proteggere nulla in modo efficace per molto tempo.»
