In occasione dell’ 9 marzo 2022 (Giornata della trasparenza), la Securities and Exchange Commission ha rivolto un monito agli amministratori delegati e ai consigli di amministrazione delle società quotate in borsa. Secondo quanto affermato, il pubblico degli investitori ha il diritto di sapere se le aziende sono preparate ad affrontare attacchi alla sicurezza informatica.
Pertanto, l’agenzia ha proposto alcune modifiche normative in materia di gestione dei rischi informatici, governance informatica e segnalazione degli incidenti informatici. Le norme proposte rafforzeranno la responsabilità delle imprese in materia di rischi informatici, a partire dal consiglio di amministrazione fino ai vertici aziendali e ai livelli inferiori. «Oggi la sicurezza informatica rappresenta un rischio emergente con cui gli emittenti pubblici devono confrontarsi sempre più spesso», ha affermato il presidente della SEC Gary Gensler. «Gli investitori desiderano saperne di più su come gli emittenti stanno gestendo tali rischi crescenti.»
Poiché gli attacchi informatici sferrati dagli Stati rappresentano una minaccia costante e il ransomware “ ” è ormai entrato nel linguaggio comune, le organizzazioni di tutto il mondo si stanno comprensibilmente preparando al peggio. Ma sono pronti?
Per molti, la risposta è un no categorico. Solo il 46% delle organizzazioni dichiara di disporre di un piano di risposta agli incidenti di sicurezza informatica (IRP) volto a identificare, affrontare e risolvere specifici tipi di attacchi informatici, e solo il 26% delle organizzazioni dispone di un IRP applicato in modo coerente a livello aziendale, secondo un rapporto intitolato “ ” 2021 , disponibile all’indirizzo e pubblicato da IBM Security.
«Il ransomware e altri attacchi informatici stanno colpendo aziende sia di piccole che di grandi dimensioni, e stiamo assistendo a un aumento sia del numero che dell’impatto che tali attacchi possono avere», afferma Erin Bajema, managing associate e responsabile del settore informatico presso Hagerty Consulting. «Le aziende devono partire dal presupposto che saranno colpite da un attacco informatico e assicurarsi di disporre di un piano pronto all’uso qualora dovesse verificarsi un evento del genere.»
Sebbene i team IT e di sicurezza siano responsabili degli aspetti tecnici della risposta agli incidenti , l’ CEO e e gli altri membri della dirigenza devono svolgere un ruolo attivo. Il problema: secondo Quentin Hodgson, ricercatore senior in materia di affari internazionali e difesa, specializzato in sicurezza informatica e gestione dei rischi presso la Rand Corporation, molti leader non comprendono il ruolo che dovrebbero svolgere.
«I vertici aziendali sanno quali sono le loro responsabilità quotidiane, ma potrebbero non comprendere chi sia incaricato di prendere decisioni e di intervenire nel corso di un incidente informatico», afferma Hodgson. Ecco perché è fondamentale definire un piano di risposta agli incidenti e tenerne informati i vertici aziendali. «Quando non si dispone di un piano collaudato, si va incontro a una situazione di grande caos in un contesto già di per sé stressante.»
Un buon piano tiene conto di cinque elementi. Tali elementi sono in linea con le fasi principali del modello di risposta agli incidenti “ ” , secondo l’IEEE Computer Society: preparazione, identificazione, contenimento ed eliminazione, ripristino e insegnamenti tratti.
1. Preparate il vostro personale e i vostri processi alla gestione degli incidenti
Secondo l’IEEE, la fase di preparazione rappresenta la fase più cruciale della risposta agli incidenti, poiché determina il livello di efficacia con cui un’organizzazione reagisce a una crisi. Per prepararsi a un attacco informatico, il team di risposta agli incidenti di sicurezza informatica (CSIRT) — che è solitamente composto da personale addetto alla sicurezza e all’IT, nonché da membri delle risorse umane, delle relazioni pubbliche, dell’ufficio legale e del consiglio di amministrazione — dovrebbe riesaminare le politiche e gli strumenti di sicurezza esistenti ed effettuare una valutazione dei rischi “ ” per determinare quali vulnerabilità permangano, la probabilità che tali vulnerabilità possano essere sfruttate e la facilità con cui possono essere individuate.
“Coinvolgere le parti interessate nella preparazione vi pone sulle basi giuste per il successo.”Erin Bajema, socio responsabile e responsabile del settore informatico presso Hagerty Consulting
Gli amministratori delegati e i dirigenti dovrebbero mettere in luce le loro potenziali preoccupazioni e mettere in discussione alcuni dei presupposti alla base del loro piano di risposta, afferma Hodgson. Ciò potrebbe comportare la valutazione delle risorse effettivamente disponibili in caso di attacco informatico, nonché della capacità dell’organizzazione e di specifici individui di attuare rapidamente le misure necessarie per limitare i danni e ripristinare la situazione.
È possibile che non vi sia pieno accordo tra i membri del team; pertanto, è fondamentale che questi ultimi abbiano un primo colloquio per definire cosa si aspettano di fare nel corso di un potenziale incidente, quali tipi di azioni intendono intraprendere e quali sono le conseguenze che li preoccupano maggiormente.
«Cosa succede se Sally è in vacanza quando si verifica un incidente?» chiede Hodgson. “Chi ha il potere decisionale? Stiamo forse formulando ipotesi sulla nostra capacità di fare cose che potrebbero rivelarsi infondate? “Queste sono domande importanti da porre e discussioni da affrontare per definire le linee guida della pianificazione.”
Gli amministratori delegati dovrebbero garantire che i piani di ripristino in caso di emergenza (IRP) prendano in considerazione gli scenari più sfavorevoli, come raccomanda l’Agenzia per la sicurezza informatica e delle infrastrutture (CISA) del Dipartimento per la Sicurezza Interna ( ). In caso di intrusione, potrebbe essere necessario adottare misure estreme per proteggere le risorse più critiche di un’organizzazione, come ad esempio scollegare alcune parti della rete che potrebbero subire gravi conseguenze.
La CISA raccomanda alle imprese di prendere visione delle ultime linee guida del governo degli Stati Uniti in materia di sicurezza informatica ( ) e delle guide operative per la risposta agli incidenti e alle vulnerabilità (Incident and Vulnerability Response Playbooks), pubblicate dalla CISA alla fine dello scorso anno. Anche gli amministratori delegati e i vertici aziendali dovrebbero partecipare alle simulazioni per assicurarsi di conoscere bene le modalità con cui l’organizzazione gestirà un grave incidente informatico. Questi esercizi dovrebbero essere eseguiti almeno una volta all’anno, aggiunge Hodgson.
«La gestione e la risposta agli incidenti procedono senza intoppi quando gli aspetti relativi al coordinamento sono stati messi in pratica in anticipo», afferma Bajema. “Ciò vi offre l’opportunità, in un contesto privo di giudizi di colpa, di individuare gli aspetti positivi delle relazioni all’interno dell’organizzazione, le difficoltà e gli aspetti su cui è necessario lavorare. “Coinvolgere costantemente le parti interessate nelle attività di preparazione vi garantisce il successo.”
2. Individuare gli incidenti informatici e segnalarli
Durante la fase di identificazione, le organizzazioni stabiliscono quando una deviazione dalla sicurezza debba essere considerata un incidente. L'identificazione di un incidente comporta la raccolta di prove, la determinazione della priorità dell'incidente e la documentazione di tutte le azioni intraprese. Il CSIRT dovrebbe individuare il momento opportuno per contattare le parti interessate e i soggetti esterni coinvolti.
L’aspetto più importante della pianificazione di questa fase consiste nel saper classificare la gravità di un incidente, afferma Bajema. «Proprio come gli uragani, gli incidenti informatici possono presentarsi con diversi livelli di gravità, a seconda dell’entità dell’impatto che possono avere», afferma. «Gli attacchi informatici che colpiscono una singola componente di un sistema sono considerati meno gravi rispetto a quelli che mettono fuori uso l’intera infrastruttura informatica.» «Gli amministratori delegati dovrebbero comprendere quali aspetti sono attualmente interessati e quali potrebbero esserlo in futuro».
Considerati gli attuali livelli elevati di minaccia, la CISA raccomanda agli amministratori delegati di abbassare le soglie di segnalazione degli incidenti. Qualsiasi indizio di attività informatica dolosa — anche qualora i controlli di sicurezza blocchino un attacco — deve essere segnalato alla CISA. (È possibile contattare il Centro Operativo 24/7 della CISA inviando un’e-mail all’indirizzo report@cisa.gov o chiamando il numero 888-282-0870; in alternativa, è possibile contattare un ufficio locale dell’FBI.) «L’abbassamento delle soglie ci consentirà di individuare immediatamente un problema e di contribuire a proteggere da ulteriori attacchi o vittime», afferma l’agenzia.
Una volta che i dirigenti hanno determinato la gravità di un incidente, i vertici aziendali devono essere pronti a illustrare i ruoli e le responsabilità del CSIRT, a individuare le attività di monitoraggio e di analisi delle cause da svolgere, a stabilire le misure necessarie per contenere attivamente l’incidente, a identificare gli aspetti relativi alla gestione delle informazioni da discutere e ad assegnare chiaramente le responsabilità per ciascuno di essi, afferma Bajema.
Il nucleo centrale di persone coinvolte nella pianificazione delle discussioni relative a questa fase può variare a seconda dell’organizzazione e del tipo di attacco, afferma Bajema. In caso di incidente di minore entità, gli amministratori delegati dovrebbero probabilmente coinvolgere il responsabile senior dell’IT, una persona che sovrintenda all’
lle operazioni aziendali critiche, alle risorse umane, alle relazioni pubbliche, all’ufficio legale e al marketing.
[Leggi anche: La crescente necessità di integrare l'IT e la sicurezza]
Gli amministratori delegati dovrebbero essere pronti a facilitare il dialogo tra i vari gruppi dell’organizzazione: «In qualità di dirigente, non sarete voi a risolvere i problemi del software, ma contribuirete a coordinare i diversi aspetti della risposta e a mantenere la comunicazione a tutti i livelli», afferma Bajema, autore di *
*.
3. Contenere ed eliminare le infezioni di rete
Una volta individuato l’incidente, è necessario contenerlo per evitare ulteriori danni. A quel punto è necessario eliminarlo per rimuovere le infezioni esistenti e qualsiasi agente malevolo rimasto nel sistema. Questa fase prevede l’isolamento delle parti della rete interessate o la disattivazione dei dispositivi infetti, la sostituzione dei sistemi o dei dispositivi infetti con versioni non infette e l’applicazione tempestiva ( ) delle patch relative alle vulnerabilità già sfruttate e a quelle di nu . Tale responsabilità ricade in gran parte sui team addetti alla sicurezza informatica e all’IT.
«Spesso i piani vengono semplicemente elaborati da singoli individui isolati e poi accantonati, dove finiscono per diventare obsoleti e perdere di rilevanza.”Quentin Hodgson, ricercatore senior in materia di affari internazionali e difesa presso la Rand Corporation
In questo periodo, secondo Bajema, gli amministratori delegati dovranno concentrarsi sulla continuità operativa. «Se, ad esempio, la Sua banca dovesse subire un incidente informatico, come farebbe a garantire che le filiali rimangano aperte?» chiede lei. Gli amministratori delegati dovrebbero inoltre garantire che gli investimenti nella sicurezza e nella resilienza siano concentrati sui sistemi che supportano le funzioni aziendali critiche della propria organizzazione.
Hodgson raccomanda che gli amministratori delegati partecipino alle discussioni relative ai costi necessari per l’eradicazione completa del problema e alla sostituzione dell’infrastruttura informatica, al fine di ripristinare la piena operatività dell’organizzazione. «Il costo è una questione rilevante che l’ CEO e e gli altri dovranno comprendere e valutare attentamente per poter prendere delle decisioni», afferma.
4. Ripristinare e testare i sistemi e i dispositivi di rete
Durante la fase di ripristino, è necessario riavviare i sistemi e i dispositivi e sottoporli a test per assicurarsi che non siano più vulnerabili. Il personale addetto all’informatica e alla sicurezza monitora tali sistemi per un periodo di tempo prestabilito al fine di garantire che gli autori degli attacchi siano stati eliminati e di
prevenire una nuova infezione.
A livello dirigenziale, gli amministratori delegati dovrebbero essere coinvolti nelle discussioni su come ripristinare i servizi in modo tale da consentire loro di gestire i cambiamenti che hanno subito. «Ci si trova di fronte a un ritorno a una nuova normalità. «State adeguando il vostro modo di lavorare — forse state utilizzando nuove apparecchiature — e, cosa più importante, state valutando le funzioni e i servizi essenziali e il modo in cui continuerete a fornirli in questo nuovo contesto», afferma Bajema.
5. Rediga un rapporto post-operativo per individuare cosa ha funzionato e cosa no
A seguito del superamento di un incidente, le organizzazioni dovrebbero prevedere la redazione di un rapporto post-evento. Nell’ambito di tale relazione, i dirigenti elaborano un piano di miglioramento che individua sia i punti di forza che quelli di debolezza della loro risposta, nonché le problematiche emerse in assenza di protocolli, afferma Bajema. Una volta redatto il rapporto, è importante esaminare attentamente gli insegnamenti tratti e dare seguito a tali insegnamenti con misure concrete.
«Non si può dare per scontato che, solo perché si è già subita [un’aggressione] una volta, ciò non possa ripetersi», afferma Hodgson. I CEO dovrebbero guidare il dibattito su come prepararsi al meglio per il futuro, afferma. “Sarebbe opportuno che le persone seguissero una formazione supplementare? Cosa non sapevamo che sarebbe stato utile sapere in quel momento? Come possiamo comunicare meglio? «L’ CEO e non risponderà a tali domande, ma dovrebbe spingere la propria squadra ad affrontarle», afferma Hodgson.
«Più si dedica attenzione, si effettuano prove e ci si esercita nell’ambito di un IRP, più agevole sarà il recupero», afferma Hodgson. «Spesso i piani vengono semplicemente elaborati da singoli individui o da piccoli gruppi e poi accantonati, dove finiscono per diventare obsoleti e perdere di rilevanza», afferma. «Naturalmente, è impossibile prevedere come si evolverà un incidente, ma più accurata sarà la pianificazione, meglio sarete preparati ad affrontarlo.»
In altre parole, gli amministratori delegati che svolgono un ruolo attivo nell’elaborazione di un piano di risposta agli incidenti possono stare più tranquilli, sapendo che la loro organizzazione ha ulteriormente rafforzato le proprie difese di sicurezza contro eventuali attacchi.
