Per Andy Ellis, il ruolo di responsabile informatico (CIO) è un “lavoro senza prospettive”.
Ellis lo saprebbe bene. Ha lavorato nel settore della sicurezza informatica presso organizzazioni tra le più disparate, tra cui l’Aeronautica Militare degli Stati Uniti; ha contribuito a trasformare Akamai Technologies in un colosso di Internet; attualmente ricopre il ruolo di partner operativo presso YL Ventures, società che finanzia e sostiene iniziative nel campo della sicurezza informatica, ed è stato inserito nella CSO Hall of Fame.
Secondo il parere di questo esperto di sicurezza informatica: «La sicurezza sarà integrata ovunque» nel prossimo futuro. Per questo motivo, afferma, «la figura del CIO cesserà di esistere come posizione a livello dirigenziale a sé stante» e verrà integrata nel ruolo del responsabile della sicurezza informatica (CISO) come funzione aziendale.
Si tratta semplicemente dell’opinione di un esperto. Ma una simile dichiarazione non mancherà di inasprire i rapporti, già difficili, tra le due professioni e i rispettivi team. Ecco perché: ormai da anni, i settori delle operazioni IT e della sicurezza informatica sono in contrasto tra loro.
Sebbene entrambi abbiano il compito di proteggere le reti della propria organizzazione e endpoint i dispositivi (che possono includere decine di migliaia di laptop, PC, tablet e macchine virtuali nel cloud), il reparto IT desidera garantire che funzionino senza intoppi, mentre il reparto sicurezza vuole assicurarsi che ogni singolo dispositivo sia protetto in modo rigoroso.
Da questa semplice dicotomia è nata una rivalità che può mettere a rischio la sicurezza informatica e lo stato di salute generale di un’azienda.
I CIO e e i CISO hanno «obiettivi diversi, e ciò può rappresentare una sfida importante», afferma Duncan Miller, direttore della sicurezza endpoint presso Tanium. Raggiungere un accordo sui parametri di valutazione del successo rappresenta uno dei maggiori ostacoli all’unificazione dei due dipartimenti.
«Le due squadre vengono valutate in base a obiettivi diversi», afferma Miller. «La vostra organizzazione IT ha il compito di garantire il corretto funzionamento e l’accessibilità dei sistemi. Il vostro team di sicurezza ha il compito di garantire che tali sistemi vengano utilizzati correttamente e che non siano accessibili a persone che non dispongono delle autorizzazioni necessarie. «Esiste un conflitto intrinseco tra questi ruoli e nel garantire che le persone agiscano in modo coordinato».
Affrontare un panorama delle minacce notevolmente ampliato e complesso
Come ogni altra cosa, la pandemia e il rapido passaggio al lavoro da remoto stanno modificando tale dinamica. Oggi, le forze lavoro distribuite — in cui ogni dipendente dispone di almeno un dispositivo che si collega alla rete aziendale tramite Internet — hanno aggravato le sfide sia per il reparto IT che per quello della sicurezza.
«Esiste un conflitto intrinseco tra questi ruoli e nel garantire che le persone siano allineate.»Duncan Miller, responsabile della sicurezza presso l’ endpoint , Tanium
Tre quarti degli oltre 3.000 dirigenti dei settori della sicurezza, del mondo degli affari e dell’informatica intervistati dalla società di revisione PwC nell’ambito del suo rapporto “ 2022 Global Digital Trust Insights Survey” segnalano un’eccessiva complessità nei propri ambienti tecnologici, di dati e operativi. Ciò, a sua volta, ha portato alla creazione di troppi punti ciechi.
Di conseguenza, i team IT spesso non dispongono di visibilità su una percentuale che arriva fino al 20% dei propri endpoint. Ciò significa che tali dispositivi potrebbero essere configurati in modo errato, non disporre degli aggiornamenti software necessari e contenere applicazioni non autorizzate, fattori che possono comportare prestazioni insoddisfacenti per l’utente. Queste stesse cose costituiscono anche delle vulnerabilità.
Per migliorare endpoint la gestione e la produttività, nonché per proteggere tali endpoint dalle minacce, entrambi i team necessitano innanzitutto di una visione a 360 gradi di tutte queste risorse, non solo di una visione parziale. La sicurezza degli endpoint non può essere un aspetto secondario. «Se si integra la sicurezza in un secondo momento, il sistema è destinato a fallire», afferma Miller.
L'emergere di un unico responsabile per le operazioni IT e la sicurezza
Per colmare il divario, i feudi devono unirsi o, quantomeno, operare sulla base degli stessi dati in tempo reale; ciò può essere realizzato attraverso una piattaforma che riunisca i loro interessi e i loro strumenti. Tra queste dovrebbero figurare l’ l’asset discovery, la gestione dei rischi e della conformità , il monitoraggio dei dati sensibili e l’ la ricerca delle minacce. L’unione delle due leadership presenta sia aspetti positivi che negativi.
«La fusione è una struttura interessante» che va presa in considerazione, poiché potrebbe aiutare le organizzazioni a diventare più produttive e sicure, afferma Ellis, che ricopre il ruolo di CISO consulente presso Orca Security, azienda specializzata nel cloud. «Tuttavia, [nell’unificare le funzioni dirigenziali], si corre il rischio di perdere il punto di vista di chi si concentra esclusivamente sul funzionamento tecnico del rischio.»
Wim Remes è membro del consiglio di amministrazione di (ISC)², l’organizzazione internazionale senza scopo di lucro che si occupa della formazione e della certificazione dei professionisti della sicurezza informatica, nonché amministratore delegato di Damovo Security Services, società che fornisce consulenza alle organizzazioni sulle migliori pratiche in materia di sicurezza informatica. Non è convinto che l'IT e la sicurezza debbano essere gestiti da un'unica direzione. «I loro obiettivi sono troppo diversi perché ciò possa avere successo», afferma.
Ad esempio, il settore IT pone l’accento sulla “disponibilità”. Se un sistema smette di funzionare, l’impatto sull’attività è immediato. Pertanto, un team addetto alle operazioni IT potrebbe decidere di non applicare una patch a una vulnerabilità qualora la sua correzione potesse causare il crash del sistema. La sicurezza è finalizzata a tutelare l'integrità dell'intero sistema e dei dati che esso elabora e archivia. Se un responsabile della sicurezza fa capo al reparto IT, i vertici di quest’ultimo daranno quasi sempre la priorità alla disponibilità operativa dell’azienda. Ciò rende la piena integrazione tra le operazioni IT e la sicurezza una sfida: «La sicurezza riguarda tutte le funzioni», afferma Remes.
Egli ritiene che un solido programma di sicurezza parta da una strategia informatica ben attuata. «Molte delle funzionalità di sicurezza più ricercate nelle grandi organizzazioni si basano su una solida gestione delle risorse, sulla gestione delle configurazioni, sulla gestione della sicurezza delle applicazioni e sulla gestione delle patch, che sono tutte funzioni IT», afferma. «I reparti IT e sicurezza dovrebbero collaborare per individuare e mitigare i rischi.»
Abbattere i compartimenti stagni tra IT e sicurezza
Nel contesto aziendale odierno, una strategia di sicurezza può avere successo solo se opera in sincronia con le operazioni IT. È ora necessario adottare un approccio gestionale “convergente”. Ciò significa operare superando i confini tra i vari reparti, come un’unica squadra.
«IT ha una lista di cose da fare davvero lunga». Un team di sicurezza che condivida lo stesso obiettivo finale può essere d’aiuto in tal senso.”Allan Alford, CISO e CTO, TrustMAPP
Gli esperti sostengono che sia del tutto possibile allineare le due squadre, poiché i loro obiettivi finali sono gli stessi. «Il reparto di sicurezza individua il problema, ma alla fine spetta al reparto IT risolverlo», afferma Allan Alford, CISO e CTO di TrustMAPP, una società specializzata nella gestione delle prestazioni in materia di sicurezza informatica. «Il reparto IT ha una lista di attività da svolgere molto lunga e un elenco di priorità altrettanto ampio, ma è in grado di destinare solo una certa quantità di risorse. «Un team di sicurezza che condivida lo stesso obiettivo finale può essere d’aiuto in tal senso.»
La sfida, tuttavia, può ricondursi a diverse concezioni del tempo. Il team addetto alla sicurezza potrebbe desiderare che tutto venga risolto dall’oggi al domani, afferma Alford, ma il reparto IT non è sempre in grado di soddisfare tempistiche così ravvicinate. A volte non è possibile effettuare un aggiornamento perché la persona che ha sviluppato il software non lavora più presso l’azienda, oppure perché un software commerciale è stato ritirato dal mercato.
Il semplice fatto di riunire i responsabili della sicurezza e dell’IT nella stessa stanza per discutere delle soluzioni non risolverà necessariamente il problema, soprattutto se i responsabili hanno stili di leadership diversi. Il CIO può talvolta trovarsi costretto a scegliere tra due fazioni in conflitto.
Spesso la sicurezza viene messa in secondo piano a favore di un altro reparto che è più direttamente collegato agli obiettivi finanziari dell’IT. «Il successo del reparto IT si misura in base a quanto non viene speso», afferma Alford. «Se la sicurezza viene integrata nel settore IT, potrebbe subire pressioni affinché non si effettuino spese, mentre ciò di cui la sicurezza ha realmente bisogno è proprio investire risorse finanziarie.» «Non vorrete certo che la sicurezza venga rapidamente messa in secondo piano dall’IT.»
Far collaborare i reparti IT e sicurezza su una soluzione di gestione delle identità e degli accessi
Alford offre un caso di studio. Nel suo precedente incarico come CISO responsabile delle operazioni presso NTT Data Services, ha coordinato 50.000 collaboratori in tutto il mondo. Il suo gruppo viveva sia in aree urbane che rurali.
All’inizio della pandemia di , si è trovato ad affrontare una sfida globale: dotare il personale dei computer adeguati alle diverse esigenze e garantire alle persone che vivono nelle zone rurali un accesso affidabile a Internet. «Ci siamo trovati di fronte a una grande varietà di scenari e i reparti IT e sicurezza hanno dovuto collaborare per superare tali difficoltà», afferma.
Per garantire il corretto funzionamento del sistema, i due team hanno adottato una soluzione comune per la gestione delle identità e degli accessi. «Tradizionalmente, la gestione delle identità era di competenza del reparto IT», afferma Alford. «Abbiamo constatato che era parte integrante dell’apparato di sicurezza, poiché ogni strumento di sicurezza di cui disponevamo ruotava attorno a una soluzione di gestione delle identità e degli accessi. «Alla fine, quindi, la questione è stata presa in carico dalla sicurezza, grazie alla collaborazione tra i due dipartimenti».
I team hanno implementato una soluzione SASE (Secure Access Service Edge) per collegare i flussi di dati provenienti dai data center centralizzati a una serie di servizi nel cloud. L’azienda ha inoltre provveduto a garantire l’adozione di misure di protezion endpoint i per la gestione degli accessi al cloud da parte dei dipendenti.
La preparazione, osserva Alford, è la chiave per conciliare sicurezza e tecnologia informatica in
un mondo senza confini, caratterizzato da una forza lavoro dispersa e ibrida. Si raccomanda di essere preparati e di disporre degli strumenti adeguati, suggerisce. Eliminate i compartimenti stagni, ma mantenete ai vertici esperti che comprendano appieno il ruolo del proprio team.
«Non dovrebbe fare alcuna differenza se una persona si trovi da Starbucks o a casa propria», afferma. «È necessario che vi siano le infrastrutture adeguate per far fronte all’assenza di confini. È tutto possibile. «La chiave sta nel garantire un ottimo coordinamento tra il reparto IT e quello della sicurezza».
