A Ryan Murray piace moltissimo quando un piano va a buon fine.
In qualità di vice responsabile della sicurezza informatica (CISO) dello Stato dell’Arizona, Murray ha avuto il suo bel da fare nel tentativo di proteggere le comunità, per lo più rurali, di tutto lo Stato dalle sfide legate alla sicurezza informatica.
Pertanto, tre anni fa, il suo dipartimento si è impegnato a contribuire al potenziamento dei sistemi locali di sicurezza informatica, in gran parte obsoleti e in alcuni casi inesistenti, avvalendosi di una combinazione di sovvenzioni federali e contributi statali. Nel corso di un incontro con i leader della contea, della città e delle tribù, il suo team ha individuato le esigenze e i punti critici per comprendere in quali ambiti fossero più urgenti gli interventi di miglioramento. Successivamente, quando sono stati stanziati i finanziamenti da parte di enti quali il Dipartimento per la Sicurezza Interna (DHS), l’ufficio di Murray era pronto a gestirli in modo più rapido ed efficiente.
Allo stesso tempo, il suo team è riuscito a sfruttare le informazioni ricevute dai funzionari locali per acquistare strumenti e servizi moderni di sicurezza informatica a prezzi agevolati (nell’ambito di alcuni accordi quadro di servizio stipulati con i fornitori e di contratti statali) e a fornire poi tali soluzioni alle amministrazioni locali in difficoltà finanziaria, a titolo gratuito.
Murray afferma che questo modello pone l’Arizona in una posizione favorevole per aggiudicarsi una parte del finanziamento di 1 miliardo di dollari destinato alla sicurezza informatica, previsto dal disegno di legge bipartisan sulle infrastrutture che il presidente Biden ha firmato a novembre.
«Abbiamo semplificato tali procedure, il che sarà importante considerando che non sappiamo ancora quando i fondi saranno resi disponibili né quali saranno i requisiti», afferma Murray.
Lotta contro l’ambiguità nel campo della sicurezza informatica
Si consiglia ai funzionari statali e locali che stanno valutando la possibilità di richiedere la propria quota dei fondi per la sicurezza informatica previsti dalla legge sulle infrastrutture di seguire l’esempio dell’Arizona e di adoperarsi in anticipo, sin da ora.
«La cosa più importante di cui gli Stati hanno bisogno in questo momento è una guida da parte della CISA su come spendere i fondi.»Alex Whitaker, direttore degli affari governativi della NASCIO
Questo perché, sebbene tutti sappiano che i fondi stanno per arrivare, non ci sarà molto tempo per procurarseli. I fondi saranno stanziati nell’arco di quattro anni, con 200 milioni di dollari disponibili nel 2022, 400 milioni nel 2023, 300 milioni nel 2024 e 100 milioni nel 2025.
Si prevedeva che l’Agenzia per la sicurezza informatica e le infrastrutture (CISA) pubblicasse il proprio bando di finanziamento (NOFO) relativo alla prima tranche di finanziamenti all’inizio dell’estate, ma sembra che tale data possa slittare alla fine dell’estate. Ciò significa che le amministrazioni statali e locali potrebbero avere a disposizione un mese o meno per compilare e presentare le domande, poiché l’erogazione 2022 dovrebbe avvenire entro la fine dell’anno fiscale del governo federale, il 30 settembre.
Compilare i moduli amministrativi è raramente facile. In effetti, gli ostacoli sono numerosi.
Ad esempio, le norme stabiliscono che il 80% dei fondi delle sovvenzioni debba essere destinato agli enti locali, il che significa che gli Stati devono disporre di meccanismi per garantire che ciò avvenga. Devono inoltre essere pronti a integrare i fondi della sovvenzione con risorse proprie, a partire dal 10% nel 2022 e aumentando di 10 punti percentuali ogni anno fino al 2025. Inoltre, devono presentare piani di sicurezza informatica che illustrino le modalità di distribuzione e utilizzo dei fondi.
Considerando che la CISA non ha ancora definito pubblicamente in che modo i fondi potrebbero essere spesi — e da chi —, si tratta certamente di un compito arduo. Tuttavia, molti CIO e CISO statali all’avanguardia stanno comunque procedendo in tal senso.
«La cosa più importante di cui gli Stati hanno bisogno in questo momento è ricevere indicazioni dalla CISA su come possono spendere quei fondi», afferma Alex Whitaker, direttore degli affari governativi della National Association of State Chief Information Officers (NASCIO). «Ma non stanno certo con le mani in mano. "Coloro che sono interessati stanno elaborando i propri piani di sicurezza informatica e stanno cercando di coinvolgere la popolazione locale per individuare le loro esigenze."
I finanziamenti federali per la sicurezza informatica valgono la fatica
Non tutti gli Stati saranno interessati a perseguire finanziamenti per le infrastrutture, afferma Whitaker. In definitiva, ci sarà solo 1 miliardo di dollari da ripartire tra 50 Stati nell’arco di quattro anni. E poiché gli Stati devono versare milioni di dollari in fondi di contropartita durante quel periodo, alcuni potrebbero giungere alla conclusione che «per noi non ne valga davvero la pena: è semplicemente troppo complicato», afferma.
Allo stesso tempo, osserva Whitaker, vi è un «enorme bisogno» da parte delle amministrazioni statali e locali di potenziare i sistemi di sicurezza informatica. Molte amministrazioni locali, in particolare, utilizzano ancora hardware e software obsoleti, dotati di funzionalità e misure di sicurezza ormai superate da tempo, afferma. Altri non aggiornano né applicano regolarmente le patch ai sistemi chiave, rendendoli così più vulnerabili al ransomware e ad altri attacchi malevoli. Altri ancora utilizzano un miscuglio di strumenti isolati tra loro per individuare e comprendere dove si trovano i dati e chi vi accede. Inoltre, molti non dispongono di controlli aggiornati in materia di identità e accesso, quali l’autenticazione a più fattori (MFA) , che possono contribuire a compensare le vulnerabilità legate a nome utente e password.
Jennifer Pittman-Leeper, responsabile del coinvolgimento dei clienti presso l’ Tanium (Associazione per la sicurezza informatica degli enti locali), afferma che la maggior parte dei CIO e dei CISO a livello statale e locale è consapevole che i propri sistemi di sicurezza informatica non sono all’altezza: «Se gli strumenti e le tecnologie odierne funzionassero davvero per gli enti statali e locali, non avrebbero bisogno di questi fondi», sostiene. «Non sta funzionando, e loro lo sanno bene.»
[Leggi anche: Gli enti statali cercano di recuperare terreno in materia di sicurezza informatica]
Pertanto, coloro che stanno rinunciando a opportunità di finanziamento quali le sovvenzioni per la sicurezza informatica previste dalla nuova legge sulle infrastrutture dovrebbero riflettere più attentamente.
«Devono effettuare gli investimenti necessari per aggiornare le proprie tecnologie», afferma. «Questi fondi federali possono aiutare gli Stati a portare le cose a un livello superiore, che per alcuni rappresenta semplicemente il livello di base.» «Non si dovrebbe guardare in bocca a un cavallo donato.»
Togliere il cerotto della sicurezza informatica
Le agenzie statali devono «strappare il cerotto», afferma Pittman-Leeper, e garantire finanziamenti ovunque possibile per comprendere meglio i loro contesti complessi e iniziare a tenerli sotto controllo.
“Non è una bacchetta magica. Ma è un inizio, e da qualche parte bisogna pur cominciare.”Jennifer Pittman-Leeper, responsabile delle relazioni con i clienti, Tanium
Per quei CIO e CISO che sono in ritardo con i preparativi ma sono interessati a richiedere i finanziamenti previsti dalla legge sulle infrastrutture, ecco alcuni approcci rapidi:
- Rispolveri il piano di sicurezza informatica: Per raggiungere obiettivi specifici, si assicuri di includere una strategia e tattiche concrete per l’intero arco temporale quadriennale del piano.
- Si rivolga alle autorità locali: Il piano di sicurezza informatica dovrebbe definire chiaramente in che modo lo Stato sosterrà le iniziative locali in materia di sicurezza informatica. Ciò non può avvenire senza discutere attivamente delle priorità e delle sfide a livello di contea, città e tribù. Ad esempio, anche se uno Stato mette a disposizione strumenti moderni, un ente locale potrebbe non disporre delle risorse necessarie per attuarli. Ciò potrebbe indicare che abbiano bisogno di maggiore formazione, supporto o assistenza da parte di un fornitore di servizi di sicurezza gestiti (MSSP) esterno.
[Leggi anche: Ogni dipendente deve ora far parte del team di sicurezza informatica]
- Sensibilizzare ed educare alla necessità: La maggior parte dei CIO e dei CISO ne è consapevole, ma non può avere successo in un contesto isolato. Quando si cerca di ottenere finanziamenti federali, è fondamentale spiegare ai politici le ragioni di tale richiesta. Pittman-Leeper sottolinea che è necessario comprendere l’esigenza di un aumento del bilancio e di finanziamenti incrementali, in modo che, qualora le richieste di sovvenzioni vadano a buon fine, non si proceda in seguito a tagli al bilancio.
Inoltre, convince i funzionari governativi dell’importanza di finanziare gli aggiornamenti di sicurezza informatica per i sistemi IT statali e locali di vecchia generazione.
In Arizona, osserva Murray, con il sostegno del governatore Doug Ducey, il bilancio dello Stato stanzia 10 milioni di dollari per aiutare le amministrazioni locali e i distretti scolastici primari e secondari a potenziare i propri livelli di sicurezza. - Pensate in grande: Prendete esempio dall’Arizona e rendetevi conto che le sovvenzioni non devono necessariamente essere iniziative una tantum. Una volta messo in atto un modello sostenibile, è possibile cogliere ogni tipo di opportunità di finanziamento federale. Ad esempio, il DHS ha recentemente annunciato sovvenzioni per un totale di 1,6 miliardi di dollari destinate alla preparazione alla lotta al terrorismo. Una parte di tali finanziamenti può essere destinata alle iniziative in materia di sicurezza informatica. Non sorprende che anche il team di Murray abbia collaborato con le amministrazioni locali per richiedere tali finanziamenti.
- Collaborare con altri Stati: Il tempo, l’energia e gli investimenti necessari per ottenere finanziamenti destinati alla sicurezza informatica delle infrastrutture potrebbero ancora sembrare scoraggianti. Tuttavia, Murray, dell’Arizona, afferma che il suo team sta discutendo con i propri omologhi di altri Stati, tra cui il Texas e il New Mexico, sulle modalità per mettere in comune le risorse al fine di soddisfare le loro esigenze comuni. È vero, è possibile che le linee guida della CISA possano vanificare tale approccio (ribadiamo, ciò resta ancora da stabilire). Tuttavia, un approccio innovativo potrebbe aprire la strada a numerose possibilità una volta ottenuto il finanziamento.
Pittman-Leeper afferma che, indipendentemente dall’opinione dei CIO e dei CISO statali in merito alle sovvenzioni federali per la sicurezza informatica, probabilmente prima o poi saranno costretti ad avvalersene.
«La sicurezza informatica è da tempo un problema per cui non vengono stanziati fondi sufficienti, e la questione non accenna a migliorare», afferma. «I CIO e i CISO statali che stanno cercando di ottenere questo tipo di finanziamenti sono abbastanza realistici da sapere che non si tratta di una bacchetta magica. «Ma è un inizio, e da qualche parte bisogna pur cominciare.»
