È facile per le aziende sentirsi sopraffatte dall’ampia gamma di sistemi e standard di sicurezza esistenti. E ciò vale in particolare per le piccole e medie imprese che non dispongono di un responsabile della sicurezza informatica (CISO) , o che magari non hanno nemmeno un addetto all’IT. Non sarebbe fantastico se esistesse un elenco dettagliato delle misure che le aziende potrebbero adottare per risolvere la maggior parte dei loro problemi di sicurezza informatica?
In Australia c'è. E questo fatto viene ampiamente ignorato.
L’Australian Signals Directorate (ASD), l’equivalente della National Security Agency statunitense, ha definito proprio alcuni anni fa un elenco di buone pratiche per la protezione dagli attacchi informatici, partendo da quattro punti e ampliando successivamente l’elenco fino a quello che oggi è comunemente noto in Australia come “l’Essential Eight dell’ ”. Sia gli enti pubblici che quelli privati sono incoraggiati ad adottare tali prassi, ma il rispetto anche del livello uno si è rivelato impegnativo per molti e, in particolare, particolarmente gravoso per le piccole e medie imprese (PMI).
All’epoca in cui l’ASD definì le prime quattro strategie di mitigazione, affermò che la loro attuazione avrebbe scongiurato il 85% dei rischi di sicurezza informatica che le organizzazioni dovevano affrontare quotidianamente. Esso incarnava il principio di Pareto, mirando a svolgere la parte più consistente del lavoro con (idealmente) solo un minimo sforzo.
Quei quattro erano:
- Lista bianca delle applicazioni
- Applicazioni di correzione
- Applicazione delle patch ai sistemi operativi
- Riduzione al minimo dei privilegi amministrativi
Quello era il 2011. Man mano che il panorama delle minacce si è fatto più complesso nel corso del tempo, il concetto di “whitelist delle applicazioni” è stato rinominato “controllo delle applicazioni” e l’elenco è stato ampliato nel 2017 per includere:
- Autenticazione a più fattori
- Rafforzamento della sicurezza delle applicazioni utente
- Backup regolari
- Limitare l'uso delle macro di Office in Microsoft
Eppure, nonostante l’enfasi posta sul raggiungimento di risultati massimi con il minimo sforzo e una campagna iniziale di sensibilizzazione del pubblico di grande impatto (ne parleremo meglio tra un attimo), il livello di adesione alle linee guida “ E8—especially per le PMI” è davvero pessimo. Ciò potrebbe sembrare controintuitivo, soprattutto se si considera che il quadro di riferimento è suddiviso in otto categorie apparentemente semplici, due delle quali trasmettono lo stesso messaggio fondamentale e lucido: Patch il vostro software, per l’amor del cielo! Allora, qual è il problema?
[Legga anche: Come semplificare e automatizzare la conformità alle “Essential Eight”]
Gli esperti che discutono di questa questione sostengono che una delle ragioni della mancata conformità derivi dal fatto che quelle otto categorie possono sembrare abbastanza semplici da comprendere a prima vista, ma non lo sono nella pratica. E più si approfondisce l’analisi, più diventano complesse — e meno realizzabili per la maggior parte delle PMI.
La domanda fondamentale degli “Essential Eight”: qual è il Suo livello di maturità?
L’ASD applica un modello di maturità a quattro livelli agli “Essential Eight”. Mentre gli enti del Commonwealth australiani non societari devono soddisfare i requisiti del livello di maturità due, le società private possono generalmente decidere quale livello di sicurezza desiderano adottare (o quanto sono disposte a pagare per ottenerlo).
- Il livello zero rappresenta il livello più elementare (si potrebbe forse definirlo un livello di maturità “ ”), che mette in luce le vulnerabilità nella strategia di sicurezza informatica di un’organizzazione e la rende ampiamente esposta agli attacchi.
- Il primo livello di protezione informatica ( ), spesso adatto alle PMI, si concentra sulla tutela delle organizzazioni dalle tecniche di attacco di tipo “ Community ” ampiamente diffuse, quali gli strumenti che gli “script kiddies” e altri soggetti privi di approfondite conoscenze di hacking utilizzano in modo casuale per sfruttare vulnerabilità ben note che le aziende non hanno ancora avuto modo di correggere.
- Il livello due (generalmente applicabile alle grandi imprese) offre protezione contro gli autori di attacchi malevoli che dedicano maggiore tempo e competenze ai propri attacchi, magari ricorrendo a tecniche di phishing , di ingegneria sociale o per lanciare applicazioni dannose e distruggere i dati.
- Il livello tre dell’“ ” (particolarmente rilevante per le infrastrutture critiche) si concentra sugli autori degli attacchi più sofisticati, che non hanno bisogno di ricorrere a strumenti disponibili pubblicamente, ma sono in grado di progettare autonomamente il proprio “”, il ransomware e altre armi digitali. Questi aggressori ricorreranno a tecniche di ingegneria sociale sempre più sofisticate (ad esempio, inducendo un dipendente non solo a cliccare su un link dannoso, ma anche a eludere inconsapevolmente i controlli di rete), si sposteranno in varie parti della rete per sottrarre o corrompere i dati e copriranno le proprie tracce.
Ogni livello presenta specifiche dettagliate per ciascuna delle otto misure. Ad esempio, il livello uno prevede nove criteri distinti solo per l’applicazione delle patch. Esiste una pubblicazione dedicata all’applicazione delle patch, così come per la maggior parte degli argomenti dell’Essential Eight, che fornisce indicazioni dettagliate su questioni quali l’individuazione delle patch mancanti, la gestione degli errori durante l’applicazione delle patch e le procedure da seguire durante i periodi di congelamento. Anche gli altri elenchi di controllo sono altrettanto dettagliati.
L’ASD ha aggiornato in modo sostanziale i controlli previsti dall’“Essential Eight” nel documento “ novembre 2023”, introducendo nuovi requisiti, tra cui l’obbligo di applicare una patch entro 48 ore dalla scoperta di una vulnerabilità critica. Gli aggiornamenti hanno riguardato la maggior parte degli indicatori principali.
"Non si tratta più di una semplice serie di controlli", afferma Jamie Norton, membro del consiglio di amministrazione dell’ISACA, organizzazione internazionale senza scopo di lucro specializzata in materia di controlli. "Si tratta di una serie piuttosto ampia di comandi."
Non è così semplice come “slip, slop, slap”
La presentazione delle prime quattro “migliori pratiche” originarie dell’ASD riprendeva lo stile semplicistico dei messaggi di sensibilizzazione del pubblico in cui l’Australia eccelle: slogan brevi e incisivi che vanno dritti al punto. Like the “slip, slop, slap” campaign that encouraged people to fight melanoma by wearing sunscreen and hats; the anti-speeding slogan "Wipe off five," which encouraged reducing road speed by just five kilometers per hour; and the fabulously Australian 1980s corker "If you drink and then drive, you're a bloody idiot."
“Cattura, Patch, e abbina.””Uno dei primi slogan in materia di sicurezza informatica lanciato dal governo australiano che non è riuscito a prendere piede (né a migliorare i tassi di conformità in ambito informatico)
La campagna video online dell’ASD dedicata alla sicurezza informatica, intitolata “Catch, Patch, and Match”, ha sintetizzato le prime quattro regole (unendo con grande efficacia le due relative all’applicazione delle patch) e ha affermato che il loro rispetto consentirebbe di eliminare il 85% degli incidenti di sicurezza informatica. Ma quando si tratta di sicurezza informatica non si può puntare sulla semplicità; un argomento così complesso richiede ben più di una campagna di sensibilizzazione accattivante.
"Questo tipo di approccio basato su slogan relativi alla sicurezza pubblica… è ottimo per i consumatori che intendono semplicemente proteggere la propria posta elettronica e il proprio PC", afferma Norton, "ma forse non lo è altrettanto per le aziende".
Da qui l’evoluzione verso l’“Essential Eight”, meno accessibile, che non era accompagnato da video online così accattivanti. Al contrario, la questione è stata comunicata dietro le quinte, nel corso di riunioni di gestione del rischio , in cui la sua vasta rete di controlli secondari poteva essere analizzata nei minimi dettagli dagli esperti.
La questione è stata inoltre regolamentata, nell’ambito di un’iniziativa che ha ottenuto risultati limitati.
Gli “Essential Eight” alla luce dei dati (deludenti in termini di conformità)
A partire dal 2022, il livello E8 -2 è diventato obbligatorio per gli enti pubblici non aziendali, e le imprese di maggiori dimensioni hanno maggiori probabilità di aver raggiunto tale livello di maturità rispetto a quelle più piccole. Detto questo, sembra che nessuno se la sia cavata particolarmente bene. Secondo un rapporto dell’ASD ( ) intitolato “ ” (Conformità alle norme ) del 2024, solo il 15% degli enti governativi ha raggiunto il livello di maturità complessivo due, in calo rispetto al 25% dell’anno precedente.
Le PMI possono permettersi di effettuare tale investimento anche al livello uno?
"Non è probabile", afferma Ash Raina, membro del comitato di un think tank presso la Small Business Association of Australia e direttore di una società di consulenza informatica per le PMI denominata KPPro.
"Quando si parla di rafforzamento della sicurezza delle applicazioni, di applicazione delle patch alle applicazioni e ai sistemi operativi, a seconda della fase del ciclo di vita in cui ci si trova all’interno di un progetto, tali operazioni possono richiedere tempo, impegno e risorse finanziarie", afferma.
I costi elevati legati all’attività imprenditoriale sul mercato australiano hanno aggravato il problema, afferma Raina. I dati più recenti dell’Ufficio australiano di statistica (del 2022) hanno evidenziato che il 57% di tutte le imprese ha registrato un aumento dei costi di gestione nel corso di un periodo di tre mesi. Un caso su cinque segnalato ha registrato un aumento significativo dei costi.
Le PMI all’“Essential Eight”: non ci crediamo
Di fronte a priorità quali semplicemente riuscire a sopravvivere, poche PMI hanno aderito all’iniziativa in materia di sicurezza informatica. Da un’indagine “ ” condotta dall’Australian Cyber Security Centre (ACSC), che fa parte dell’ASD, su oltre 1.700 aziende è emerso che quasi la metà di esse valuta il proprio livello di consapevolezza in materia di sicurezza informatica come nella media o al di sotto della media. E i bilanci destinati alla sicurezza informatica? Circa lo stesso numero di persone ha speso non più di 500 dollari all’anno per la sicurezza informatica.
«Sebbene [l’Essential Eight] fosse comunque una buona pratica da seguire, questa sfumatura sfugge alle PMI che non dispongono di un responsabile della sicurezza informatica, o probabilmente nemmeno di un responsabile IT.»”Jamie Norton, membro del consiglio di amministrazione dell’ISACA, organizzazione internazionale senza scopo di lucro specializzata in controlli
Eppure, più piccola è un’azienda, maggiore è il sostegno di cui ha bisogno. Dallo stesso sondaggio è emerso che il costo medio dichiarato delle vittime di crimini informatici per il 92% delle aziende con un fatturato annuo inferiore a 2 milioni di dollari era pari a quasi 50.000 dollari nel FY2023-24. Si è registrato un aumento del 8% rispetto all’anno precedente. Al contrario, le imprese di medie e grandi dimensioni hanno registrato una diminuzione delle perdite medie.
"La loro sfida principale riguarda le competenze e le conoscenze specialistiche", afferma Norton riferendosi alle PMI. "Sebbene [l’Essential Eight] fosse comunque una buona pratica da seguire, questa sfumatura sfugge alle PMI che non dispongono di un responsabile della sicurezza informatica, o probabilmente nemmeno di un responsabile IT." "Il concetto di patch può essere compreso, ma quando si inizia ad addentrarsi nei dettagli su quando, perché e come si applica una patch, si entra in un livello di dettaglio eccessivo."
Il problema “umano” degli “Essential Eight”
Paradossalmente, per trattarsi di una campagna di sensibilizzazione, l’ASD tende anche a sottovalutare l’importanza di poter contare su utenti informati, afferma Louise McGrath, responsabile dello sviluppo settoriale e delle politiche presso l’Australian Industry Group (Ai Group).
«Credo che se dovessero realizzare nuovamente “Essential Eight”, l’opera avrebbe un carattere più umano.”Louise McGrath, responsabile dello sviluppo e delle politiche del settore presso l’Australian Industry Group
L’attenzione riservata dall’“Essential Eight” ai controlli tecnici risulta particolarmente problematica, alla luce dell’aumento degli attacchi di ingegneria sociale. Secondo l’ACSC, nel FY2023-24 le aziende australiane hanno subito una perdita pari a 84 milioni di dollari a causa di un attacco di tipo “business email compromise” . E sebbene misure tecniche quali la segmentazione e i backup possano contribuire a proteggere dal ransomware, è fondamentale anche una buona dose di consapevolezza da parte degli utenti .
«Credo che se dovessero riproporre “Essential Eight”, l’iniziativa avrebbe un carattere più umano», afferma McGrath. "Le aziende stanno comprendendo sempre meglio che il vero rischio per le persone è sempre legato al comportamento, e si stanno destinando molti più investimenti alla formazione del personale."
Tuttavia, anche in questo caso, la formazione dei dipendenti richiede tempo, risorse finanziarie e personale addetto alla sua realizzazione, tutti elementi di cui le PMI dispongono in misura limitata. In un recente sondaggio condotto tra le PMI dell’Australia Occidentale dai ricercatori della Murdoch University, solo il 35% degli intervistati ha stanziato un budget per la sicurezza informatica, il 34% ha formato i propri dipendenti in materia di sensibilizzazione alla sicurezza informatica e sulle truffe online, e una percentuale molto inferiore era a conoscenza dell’esistenza stessa dei quadri di riferimento per la sicurezza informatica progettati per aiutarli: il 32% era a conoscenza del quadro normativo dell’ e degli Stati Uniti, il National Institute of Standards and Technology (NIST), meno di un quarto conosceva gli “Essential Eight” e il 17% non ne era a conoscenza affatto.
Le otto alternative principali (pensate appositamente per le PMI)
Ufficialmente, l’Essential Eight è obbligatorio solo per gli enti pubblici. In pratica, afferma McGrath, si sono progressivamente affermati nell’uso comune all’interno della catena di approvvigionamento.
"Quando si è un nuovo fornitore, il cliente, soprattutto se di grandi dimensioni, vi fornirà un'autovalutazione dei livelli di maturità relativi all'Essential Eight", afferma. Le piccole imprese potrebbero riuscire a cavarsela senza, «mentre se si tratta di un’impresa di medie dimensioni, è più probabile che vi vengano poste tali domande».
Ciononostante, esistono standard alternativi concepiti appositamente per le PMI. Il quadro di riferimento “ ” ( SMB ) 1001 , elaborato da Dynamic Standards International, con sede a Canberra, ne costituisce un esempio.
Per chi desidera qualcosa di ancora più semplice, l’ACSC mette a disposizione una guida separata sulla sicurezza informatica, disponibile all’indirizzo SMB. Qui troverete alcune semplici indicazioni, come ad esempio consigli sulla formazione del personale. Il Centro raccomanda alle PMI di passare successivamente al livello uno del modello di sicurezza “Essential Eight”.
Ciò che potrebbe davvero essere d’aiuto è una certificazione minima a sé stante per le piccole imprese, semplicemente per dimostrare che hanno compiuto uno sforzo, per quanto minimo, oltre all’acquisto di una copia di Norton per il computer della receptionist.
Il modello “Cyber Essentials” del Centro nazionale per la sicurezza informatica del Regno Unito ( ) costituisce un valido punto di riferimento. Prevede cinque controlli tecnici relativamente brevi (sebbene, purtroppo, non vi siano controlli specifici relativi alla sensibilizzazione e alla formazione del personale). Inoltre, mette a disposizione un questionario di valutazione della preparazione che gli imprenditori possono compilare online per individuare le azioni più urgenti da intraprendere.
Quando si tratta di convincere le piccole imprese a intraprendere qualsiasi iniziativa in ambito informatico, è fondamentale rendere le cose il più possibile comprensibili, convenienti e prive di ostacoli. Questi, più di ogni altra cosa, sono fondamentali.
