In questa intervista schietta, Chris Hodson, CISO presso l’ Tanium, ha incontrato Anthony Belfiore, CSO presso Aon e membro del Consiglio di amministrazione dell’ Tanium, per discutere dell’impatto della forza lavoro distribuita sulla funzione di sicurezza informatica, sul coinvolgimento del consiglio di amministrazione, sulla resilienza aziendale (o sulla sua mancanza) e sui budget destinati alla sicurezza informatica.
Riorientare l’equazione del rischio verso la resilienza informatica
Chris Hodson: La prima domanda riguarda le equazioni di rischio tradizionali e il coinvolgimento del consiglio di amministrazione:
Secondo la mia esperienza, gli eventi ad alto impatto e bassa probabilità tendono a suscitare una reazione del tipo: «Beh, non succederà mai, non c’è bisogno di preoccuparsene». Dal punto di vista del consiglio di amministrazione, ritiene che si stia delineando un cambiamento verso una cultura del rischio profondamente diversa, incentrata sulle considerazioni relative alla disponibilità nell’ambito della pianificazione in caso di pandemia o di altri scenari ad alto impatto e bassa probabilità, oppure è ancora troppo presto per dirlo?
Anthony Belfiore: Ritengo che vi siano un paio di aspetti da considerare. In primo luogo, ciò che le aziende stanno realmente sperimentando in questo momento è la consapevolezza che la loro attività non è affatto resiliente e che la resilienza aziendale è probabilmente l’aspetto più cruciale per la loro società.
In secondo luogo, ritengo che le aziende si concentreranno su una vasta gamma di aspetti, dal lavoro a distanza e dalle conferenze virtuali alla sicurezza vera e propria, ai test di continuità operativa e al monitoraggio del ripristino di emergenza (DR).
In terzo luogo, le aziende procederanno a una rivalutazione dei propri processi aziendali fondamentali e delle tecnologie che li supportano. Nei prossimi due o tre mesi vedrete emergere numerose problematiche legate a questo aspetto e ritengo che molte aziende cominceranno a rendersi conto di non aver realmente compreso quanto fosse precaria la loro situazione in materia di sicurezza. Il fatto che la vostra organizzazione sia sicura dal punto di vista della sicurezza informatica e conforme agli standard COBIT, “ NIST” o “ ISO” non fornisce alcuna indicazione sul fatto che siate o meno resilienti dal punto di vista informatico e che siate in grado di rialzarvi una volta subiti degli attacchi.
Direi che assisterete a un cambiamento radicale, con le aziende che concentreranno la propria attenzione sulla resilienza aziendale, sui processi aziendali fondamentali, sulle modalità operative e sulle persone, sui processi e sulle tecnologie necessari a sostenere tali iniziative. Assisterete a un aumento delle attività di monitoraggio, definizione delle priorità, documentazione, aggregazione e archiviazione dei protocolli; inoltre, assumeranno grande importanza le visualizzazioni dei flussi di lavoro relativi alla continuità operativa e al ripristino di emergenza.
La resilienza informatica è un sottoinsieme della resilienza aziendale, e la sicurezza informatica ne costituisce a sua volta un sottoinsieme. È gerarchico. La resilienza complessiva della Sua azienda è costituita da aspetti relativi alla sicurezza informatica, al capitale umano, alle politiche e alle procedure.
Porre la visibilità in primo piano
Hodson: Anthony, questo mi porta alla mia seconda domanda, riguardante l’uso improprio del concetto di continuità operativa. Molti team IT “capiscono” dal punto di vista tecnico – sono in grado di effettuare il failover dell’infrastruttura server dal data center 1 al data center 2 – ma non hanno una comprensione dei servizi, delle applicazioni e dei processi di cui il sistema è parte integrante. Come ritiene che cambierà la pianificazione olistica della continuità operativa?
Belfiore: Si tratta di contestualizzazione ed è proprio qui che Tanium può tornare utile. Tali processi aziendali si svolgono su infrastrutture critiche ed ecosistemi applicativi. Essere in grado di tracciare tale linea di demarcazione è l’aspetto più cruciale, ed è fondamentale poter disporre di visibilità sulle prestazioni, sullo stato di integrità, sulla qualità dei servizi e sulla sicurezza dei dati.
È come adottare un approccio basato sull’architettura aziendale per comprendere i propri processi e servizi aziendali, nonché i servizi applicativi e l’infrastruttura. Lo si scompone lungo lo stack, per poi garantire la visibilità sia verso l’alto che verso il basso dello stack. Allora potrà gestirlo. Al momento non è possibile farlo.
La necessità di superare la sfida rappresentata dalla pandemia
Hodson: Ciò mi porta al prossimo argomento relativo alla situazione pandemica: la definizione delle priorità dei progetti. Le strategie sembrano essere state accantonate a favore di qualsiasi aspetto legato alla disponibilità, aggravando così le tensioni già esistenti in materia di priorità e budget. Dai riscontri aneddotici che ho ricevuto dai CISO emerge che coloro che fanno capo al Chief Risk Officer, all’Ufficio Legale o direttamente alla dirigenza, sono comunque in grado di illustrare chiaramente le priorità in materia di sicurezza e le questioni informatiche astratte e immediate. A coloro che fanno capo ai CIO viene chiesto di rivalutare tutti i finanziamenti immediati e quelli previsti. Qual è la sua opinione al riguardo?
Belfiore: È una situazione difficile. Vi trovate a dover conciliare le esigenze relative alla sicurezza fisica, alla continuità operativa e al ripristino in caso di disastri, nonché quelle del front office, del middle office e delle operazioni, il tutto con risorse finanziarie, tempo, cicli e personale limitati. E si tratta solo di denaro e della capacità di portare a termine il lavoro. Si tratta dell’effetto più elementare e intuitivo, ma ora non disponete più della forza lavoro e delle capacità di cui disponevate in passato. Non è possibile lavorare con la stessa rapidità né con la stessa agilità. E le persone sono davvero stressate e preoccupate. Questo è davvero il principale motivo di stress che sto affrontando in questo momento.
Il genio è ormai fuori dalla lampada
Hodson: Passiamo ora a esaminare le politiche e gli standard di sicurezza. Molte organizzazioni dispongono di risorse limitate e sono costrette ad adottare una politica di utilizzo dei dispositivi personali (BYOD). In molti casi ciò significa che devono anche modificare le proprie politiche e i propri standard di sicurezza per garantire la continuità operativa e mantenere l’attività in funzione. Si tratta di una semplice modifica tecnica, ma sarà estremamente difficile rimettere il genio nella lampada una volta che la pandemia sarà finita. Siete d’accordo?
Belfiore: Sì, le persone si stanno abituando a lavorare da casa. Il segreto è stato svelato. Non abbiamo bisogno di tutto questo spazio per gli uffici. Non abbiamo bisogno di tutte queste cose per essere efficaci. Questa pandemia ne è una sorta di conferma. La situazione si farà davvero interessante.
Hodson: Supponiamo che tutti stiano lavorando da casa, compresi i team del Centro operativo di sicurezza, i team di risposta agli incidenti e i tecnici. Sono trascorsi sei mesi e non si è verificato nulla di particolarmente negativo. Come ritiene che i responsabili della sicurezza, che disponevano di budget ingenti e affermavano di aver bisogno di tutte queste misure di controllo, possano riconsiderare la posizione dei consigli di amministrazione, i quali senza dubbio chiederanno: «Perché ho bisogno di tutto questo e perché abbiamo bisogno di tutte queste persone se non è successo nulla?»
Belfiore: Ritengo che i consigli di amministrazione stiano prendendo coscienza di quanto possa essere efficace il lavoro da remoto e che ciò giustifichi senza dubbio la spesa destinata alla sicurezza informatica. Questa è la nuova normalità. Non abbiamo bisogno di tutte queste infrastrutture né di tutto quel personale per lavorare come si faceva in passato. Credo che sia proprio questa la “sveglia”, la rivoluzione dirompente nel settore dell’IT e della sicurezza informatica.
Una nuova attenzione alla continuità operativa
Hodson: Tanium è considerato un servizio aziendale essenziale per i nostri clienti. Forniamo servizi relativi alle operazioni IT, alla gestione dei rischi e alla sicurezza informatica, che devono rimanere operativi anche in un contesto di lavoro da remoto. Di conseguenza, ricevo numerosi questionari relativi alla pianificazione della continuità operativa dai team (dei clienti) incaricati della conformità e della gestione dei rischi. Some customers take a prescriptive approach to due diligence, aligned to ISO 22301/27001, while others are using more of a home-grown approach. Qual è la Sua opinione al riguardo?
Belfiore: A livello interno, non abbiamo mai ritenuto che un unico standard fosse storicamente efficace; pertanto, abbiamo effettivamente preso tutti gli standard e abbiamo creato il migliore in assoluto. Il nostro standard attuale è una sintesi di praticamente tutti gli altri standard esistenti.
Ciò che molti dei nostri clienti stanno facendo in questo momento è collaborare per agire di concerto nella valutazione dei fornitori di servizi di supervisione di terze parti e dei propri processi interni. Le loro politiche e i loro quadri di riferimento basati sul rischio tendono a provenire dalle “Big 4 ”, le quali conducono un’analisi su vasta scala, esaminando tutti gli standard esistenti, la propria attività e tutti i contesti normativi a cui sono soggette, per giungere a una sintesi. I servizi finanziari e, in particolare, il settore sanitario tendono a farlo poiché sono soggetti a una forte regolamentazione. Il Governo tende a definire standard proprietari a causa dell’elevata sensibilità alle normative. Se si osservano gli altri settori, si nota che in realtà si limitano a seguire le regole di base e scelgono indirizzi del tipo ISO o NIST. Dipende davvero dal settore di riferimento che state prendendo in esame e dalle scelte che decidono di adottare.
Il nostro approccio consiste in una combinazione di standard di mercato relativi alle modalità di accettazione delle società dal punto di vista dell’assicurazione informatica, a cui integriamo inoltre tutte le migliori pratiche provenienti da ISO, NIST e da tutte le giurisdizioni in cui operiamo, quali la MAS a Singapore, l’HKMA a Hong Kong, la FSA in Giappone e la FCA nel Regno Unito. Abbiamo esaminato tutti i loro standard fondamentali e ci siamo assicurati di integrare nel nostro attuale standard operativo un livello minimo di garanzia.
Hodson: È un’osservazione pertinente riguardo ai settori verticali. Ho un’altra domanda: ho sempre avuto difficoltà a coinvolgere i dirigenti di alto livello nella pianificazione della continuità operativa, che si tratti di gestione delle crisi o di esercitazioni teoriche. Ritiene che la pandemia globale cambierà questa situazione?
Belfiore: Assolutamente. Credo che realizzeremo dei modelli da tavolo, i quali saranno obbligatori per legge. Non c’è alcuna possibilità di uscire da questa situazione senza una rivoluzione nel modo in cui pianifichiamo la continuità operativa.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento su per una dimostrazione individuale oppure rivolgetevi ai nostri esperti di Tanium in occasione dei nostri prossimi eventi .
