Gli Stati Uniti stanno riprendendo le attività, ma la situazione è ancora ben lontana dalla “normalità”. Le amministrazioni statali e locali e le organizzazioni educative (SLED) stanno adeguando le proprie modalità operative e logistiche per far fronte al rientro dei dipendenti negli uffici e degli studenti a scuola. E per contribuire ad affrontare le recenti sfide in materia di operazioni e sicurezza, è in arrivo un sostegno sotto forma di nuovi finanziamenti da parte del governo federale.
La legge “ ” (American Rescue Plan Act) (si apre in una nuova scheda), entrata in vigore il marzo 2021, garantisce alle organizzazioni SLED nuovi fondi federali destinati ai loro bilanci di esercizio e nuovi investimenti nella sicurezza informatica.
I fondi non sono ancora disponibili, il che concede alle organizzazioni SLED il tempo necessario per prepararsi al loro arrivo. È giunto il momento di valutare le attuali esigenze e capacità informatiche e di elaborare piani strategici per il futuro.
Razionalizzando gli attuali investimenti nel settore IT, ottimizzando ciò che funziona e dismettendo o potenziando ciò che non funziona, le organizzazioni SLED possono prepararsi a sfruttare al meglio i finanziamenti previsti dall’American Rescue Plan Act quando saranno erogati nel corso di quest’anno.
In un precedente articolo pubblicato sul blog “ ” (si apre in una nuova scheda), ho raccomandato alle organizzazioni SLED di iniziare con un inventario delle risorse IT attuali, razionalizzando gli strumenti informatici e sviluppando un piano per il supporto degli endpoint in un ambiente ibrido di lavoro da casa (WFH) a tempo indeterminato.
In questo nuovo articolo tratto altri due ambiti che le organizzazioni SLED dovrebbero approfondire:
Rispettare i requisiti e le normative in materia di protezione dei dati
Per garantire il rispetto delle normative governative e delle migliori pratiche nel settore IT, le organizzazioni SLED devono proteggere i dati riservati che raccolgono, archiviano e gestiscono. Devono inoltre acquisire familiarità con un numero crescente di normative federali in materia di protezione dei dati e, potenzialmente, potrebbero doverle rispettare; tra queste figurano: PCI, HIPAA (si apre in una nuova scheda), NIST 800-171 (si apre in una nuova scheda) e IRS 1075 (si apre in una nuova scheda). Inoltre, molti Stati stanno approvando leggi proprie in materia di protezione dei dati, simili al Regolamento generale sulla protezione dei dati (GDPR) dell’Unione europea (GDPR). Inoltre, devono adottare misure a tutela della riservatezza dei dati per poter conquistare e mantenere la fiducia dei propri elettori.
Affrontare le minacce alla sicurezza informatica e rafforzare le difese informatiche
Le minacce informatiche stanno aumentando in termini di varietà, gravità e sofisticazione. Gli obiettivi si sono estesi dalle reti aziendali alle infrastrutture nazionali. Ciò è in parte dovuto al fatto che tra gli autori delle minacce odierne figurano Stati nazionali e organizzazioni criminali, che dispongono tutti di ingenti risorse finanziarie, strumenti e pazienza. Nel frattempo, le organizzazioni SLED sono più esposte che mai a causa del lavoro da remoto dei dipendenti, che si trovano al di fuori della protezione dei tradizionali perimetri di sicurezza.
Le organizzazioni SLED dovrebbero dedicare del tempo, sin da ora, a valutare i propri strumenti e le proprie prassi informatiche in materia di protezione dei dati e sicurezza informatica. Non ha senso investire nuovi fondi federali in tecnologie e pratiche obsolete che non funzionano come dovrebbero. Piuttosto, liberatevi di ciò che non serve più, ottimizzate ciò che decidete di conservare e gettate le basi per eventuali nuovi investimenti che individuate.
Di seguito sono riportati alcuni suggerimenti per valutare le capacità della vostra organizzazione IT in materia di protezione dei dati, conformità normativa e sicurezza informatica.
Organizzazioni SLED, protezione dei dati e conformità normativa
La tutela dei dati personali è importante non solo per il raggiungimento degli obiettivi dell’American Rescue Plan volti a rafforzare la sicurezza informatica, ma anche per conquistare la fiducia degli elettori.
Dimostrare di prendere sul serio la protezione dei dati infonde nei clienti la fiducia necessaria per affidarsi ai servizi digitali da Lei offerti.
Di seguito sono riportate alcune domande da porsi nel valutare i punti di forza e di debolezza della vostra organizzazione in materia di protezione dei dati e conformità normativa:
- In che modo la Sua organizzazione valuta attualmente i rischi relativi alla protezione dei dati?
- Il Suo team IT ha individuato tutte le tipologie di dati che necessitano di protezione?
- In tal caso, il Suo team IT ha individuato tutti gli archivi di dati e le applicazioni in cui tali dati potrebbero essere presenti?
- È possibile monitorare in modo sistematico i diritti di accesso degli utenti su tutti i dispositivi e servizi, in modo da limitare l'accesso ai dati sensibili esclusivamente agli utenti autorizzati?
- Come si misura la conformità?
- In che modo la Sua organizzazione garantisce il rispetto di tutte le normative e le politiche pertinenti?
- La Sua organizzazione effettua verifiche periodiche della propria conformità normativa?
- Il Suo team IT è in grado di generare report completi sulla conformità senza ricorrere a processi manuali, fogli di calcolo e supposizioni?
- In tal caso, tali rapporti vengono condivisi con i dirigenti e il team addetto alla sicurezza informatica?
- Quando si presentano dei rischi, è in grado di affrontarli tempestivamente?
- Se un attacco informatico minacciasse la riservatezza o l’integrità dei dati della vostra organizzazione, con quale rapidità sareste in grado di mettere in quarantena gli endpoint interessati e mitigare l’attacco?
Risponda a queste domande, quindi stabilisca quali modifiche dovrebbe apportare per migliorare le misure di protezione dei dati personali della Sua organizzazione. Ad esempio, avete bisogno di migliorare la visibilità sugli endpoint dei dipendenti? Migliorare la formazione dei dipendenti sulle migliori pratiche e sulle minacce alla sicurezza? Monitorare più da vicino l’attività dei dipendenti per individuare eventuali violazioni normative?
Stabilisca quali aspetti può modificare e ottimizzare sin da ora per soddisfare i requisiti in materia di protezione dei dati e salvaguardare la reputazione della Sua organizzazione come garante affidabile dei dati riservati.
Organizzazioni SLED e sicurezza informatica
La sicurezza informatica rappresenta un elemento centrale dell’American Rescue Plan. Non appena le organizzazioni sono passate al lavoro da remoto, le minacce informatiche sono aumentate. In un sondaggio intitolato “ 2020 ” (si apre in una nuova scheda), il 63% dei responsabili della sicurezza informatica (CISO) ha segnalato un aumento degli attacchi.
Allo stesso tempo, il 58% ha dichiarato di nutrire preoccupazioni riguardo al fatto che i dipendenti in telelavoro non rispettassero le linee guida sulla sicurezza, mentre il 36% ha segnalato una mancanza di visibilità sulle risorse IT, quali gli endpoint dei dipendenti.
Senza una visione d’insieme degli endpoint dei dipendenti, i team IT non sono in grado di Detect le minacce e di mitigarle.
Risponda a queste domande per valutare i punti di forza e di debolezza della sicurezza informatica della Sua organizzazione:
- Dispone di una visibilità completa sui Suoi endpoint, compresi i dispositivi utilizzati dai dipendenti che lavorano da remoto?
- Ha una visione d’insieme delle applicazioni e dei servizi a cui tali endpoint si connettono nel cloud?
- È possibile raccogliere i dati relativi all’ endpoint e in tempo reale? In caso contrario, quanto sono aggiornati i Suoi dati? Viene ritirata una volta al giorno? Una volta alla settimana? Se raccoglie i dati relativi all’ endpoint e solo una volta alla settimana, è disposto ad accettare i rischi per la sicurezza informatica derivanti dal disporre di dati relativi alle minacce alla sicurezza risalenti a una settimana fa?
- Le vostre procedure di sicurezza informatica dipendono dal fatto che gli endpoint si connettano tramite una rete locale (LAN) o una rete privata virtuale (VPN)? Oppure sono in grado di funzionare con l’attuale forza lavoro in remoto, che raramente utilizza reti LAN e VPN?
- Quando si verificano incidenti di sicurezza, è in grado di reagire rapidamente, bloccando le minacce prima che si diffondano ad altri endpoint?
- È possibile eseguire automaticamente la scansione dei dispositivi utilizzati dai dipendenti, individuare le vulnerabilità e applicare le patch a tali dispositivi per eliminarle?
- Di quali strumenti dispone la Sua organizzazione per individuare e risolvere gli attacchi che potrebbero essere in corso da 90 giorni o più?
Risponda a queste domande per individuare le carenze nelle Sue attuali pratiche o strumenti di sicurezza informatica. Successivamente, stabilite cosa, se del caso, debba essere sostituito, aggiunto o ottimizzato.
Ad esempio:
- Ritiene necessario rivedere le politiche e le procedure ora che la Sua forza lavoro opera in modalità di lavoro da casa?
- Dispone degli strumenti e delle procedure necessari per conformarsi alle più recenti normative governative?
- Se decidesse di mantenere l’attuale suite di strumenti di sicurezza informatica, riuscirebbe ad integrarla facilmente con altri strumenti per rafforzare e ottimizzare la Sua sicurezza complessiva?
Rivalutate e ottimizzate sin da ora le vostre pratiche in materia di sicurezza informatica e protezione dei dati, in modo che, quando arriveranno nuovi finanziamenti federali, possiate impiegarli in modo produttivo ed essere pronti per il futuro.
Scoprite di più su , sulle offerte di Tanium per le organizzazioni SLED (si apre in una nuova scheda).
Legga i post precedenti di questa serie:
Accelerare la trasformazione digitale con l’American Rescue Plan (si apre in una nuova scheda)
