La gestione di un’azienda di successo si basa su una gestione efficace del rischio . Tuttavia, nel reparto informatico di molte aziende si riscontra un grave problema. I team IT continuano ad avere difficoltà a gestire i propri programmi di gestione delle vulnerabilità in un'ottica orientata al rischio. Il risultato è uno spreco di energie, sistemi esposti a gravi rischi e persone di talento vincolate a processi complessi e dispendiosi in termini di manodopera.
In qualità di relatrice ospite in un nuovo video della serie “To the Point”, Renee Murphy di Forrester sottolinea che, adottando un approccio automatizzato alla valutazione e alla gestione dei rischi, le organizzazioni possono ottimizzare le attività di audit e conformità, migliorare la visibilità sull’ endpoint e e ridurre al minimo il rischio di gravi violazioni informatiche.
Una valanga di " CVE "
The NIST National Vulnerability Database (NVD) revealed that more vulnerabilities were published in 2021 than any year previously. Per il quinto anno consecutivo, abbiamo registrato un numero record di vulnerabilità e esposizioni comuni (CVE): questa volta sono state 20.139, con un aumento del 10% rispetto alle 2020 dell’anno precedente.
Più di 4000 sono stati classificati come di elevata gravità, il che rappresenterebbe un impegno notevole anche per il team IT dotato delle migliori risorse; il compito risulta inoltre notevolmente più arduo quando tali team non sono in grado di stabilire l’ordine di priorità dei bug da correggere per primi.
Nel frattempo, una vulnerabilità legacy CVE del sito 2019 may potrebbe essere sfruttata attivamente per prendere di mira un’organizzazione a causa di una vulnerabilità non corretta a livello di applicazione o di sistema.
Risk e le soluzioni di conformità che garantiscono piena visibilità e controllo sugli endpoint di un’organizzazione, in crescita esponenziale, sia in ambiente on-premise che ibrido e multi-cloud, sono essenziali per ridurre la superficie di attacco e assicurare che gli utenti siano pienamente protetti. Tuttavia, molti team IT si trovano a dover gestire dati obsoleti e incompleti e continuano a utilizzare strumenti manuali, tra cui fogli di calcolo e diverse soluzioni puntuali, che aggravano il fenomeno dei silos informativi. Ciò rende difficile stabilire le priorità in base al rischio, poiché non è possibile avere una visione d’insieme di ciò che è presente nell’intero ambiente.
Come sostiene la Murphy nella sua presentazione: «Se ci si trova a terra, si può vedere solo ciò che si ha sotto i piedi». «Dovete salire sul vostro drone e vedere com’è il paesaggio boschivo dall’alto.»
Alzare il livello della discussione
Pertanto, in che modo i CISO e i responsabili della gestione dei rischi possono elevare il livello del dibattito e orientarsi verso una gestione efficace delle vulnerabilità basata sul rischio? Disporre di soluzioni integrate che forniscano telemetria in tempo reale, funzionalità investigative e la capacità di risolvere rapidamente le vulnerabilità è essenziale per affrontare l’attuale panorama delle minacce. Si ponga alcune domande fondamentali riguardo a ogni nuova pubblicazione “ CVE”:
- Viene sfruttata in contesti reali?
- Qual è la probabilità che la mia organizzazione sia la prossima a essere presa di mira?
- Esistono sistemi vulnerabili?
- Esistono sistemi vulnerabili in produzione?
- I tempi di inattività dovuti all’applicazione delle patch avranno ripercussioni sui servizi chiave rivolti ai clienti?
Concentrarsi sul rischio significa essenzialmente ottimizzare la gestione delle vulnerabilità. Si tratta di concentrare l’investimento di tempo e risorse laddove è più necessario. Come dice Murphy: «Non posso far bollire l’oceano». «Devo prestare attenzione a ciò che comporterà il rischio maggiore.»
In definitiva, i vertici aziendali si aspettano che i team responsabili delle operazioni IT e della sicurezza monitorino e gestiscano le attività operative al fine di mantenere le prestazioni aziendali e garantire la continuità del servizio ai clienti.
Gli strumenti automatizzati di valutazione del rischio sono fondamentali
Per Murphy, l’automazione rappresenta un fattore determinante per la gestione delle vulnerabilità basata sul rischio. Ciò può consentire ai team di audit interno, conformità, operazioni IT e sicurezza di dedicare più tempo alle proprie attività. Un punteggio di rischio affidabile consente di stabilire le priorità nell’applicazione delle patch e di dimostrare ai revisori esterni che i programmi funzionano in modo efficiente. Soprattutto, in un mondo in cui si verifica un attacco ransomware ogni 11 secondi, comprendere il proprio profilo di rischio consentirà di evitare gravi violazioni e di garantire la conformità dell’organizzazione. «Nessuna organizzazione dovrebbe rassegnarsi a un onere di bonifica incessante», sostiene la Murphy nella sua presentazione.
«Il settore dell’audit informatico avrebbe già dovuto essere messo in bancarotta dal software di monitoraggio, e avremmo dovuto tutti voltare pagina», aggiunge. «Credo che coloro che oggi gestiscono i centri dati siano le persone più fortunate del mondo. Quello che voi riuscite a fare oggi, noi non potevamo farlo 20 anni fa. «Non dovrebbero esserci scuse per non adottare un approccio basato sul rischio nell’analisi delle vulnerabilità e delle minacce».
Potete ottenere maggiori informazioni sull’esposizione al rischio “ ” della vostra azienda grazie alla valutazione del rischio “ Tanium”, disponibile all’indirizzo. La valutazione dei rischi, della durata di cinque giorni e gratuita, offre una panoramica completa del profilo di rischio e suggerisce misure proattive per proteggere la Sua organizzazione. Iscrivetevi oggi stesso.
