Recentemente, l’Associazione Nazionale dei Responsabili Informatici Statali (NASCIO) ha compiuto un passo insolito, , esprimendo pubblicamente il proprio sostegno a una proposta di legge federale, nella fattispecie lo “State and Local Cybersecurity Government Act of 2019”. Tale disegno di legge, presentato a giugno da un gruppo bipartisan, modificherebbe la legge sulla sicurezza interna del 2002 per migliorare le modalità con cui i governi federali, statali e locali possono collaborare e condividere risorse al fine di arginare l’ondata di attacchi informatici.
È facile capire perché questa dichiarazione di sostegno abbia suscitato così tanta attenzione. La NASCIO indica la sicurezza informatica come la principale priorità tecnologica per gli Stati degli Stati Uniti, e non passa settimana senza che un’agenzia statale o locale finisca sui titoli dei giornali a causa di un attacco appena scoperto; l’operazione di ripristino in corso a Baltimora a seguito di un attacco ransomware ne è solo un esempio.
Tuttavia, mentre leggevo sia il testo della proposta di legge sia la dichiarazione di sostegno della NASCIO a tale proposta, un aspetto discutibile ha attirato la mia attenzione.
Come riportato da StateScoop, «L’accesso a nuovi finanziamenti e alle tecnologie federali rappresenterebbe una manna dal cielo per i CIO statali… che faticano a finanziare adeguatamente le proprie iniziative in materia di sicurezza informatica». Secondo i dati della NASCIO, la maggior parte degli Stati non dispone di un bilancio specifico per la sicurezza informatica, il che significa che i fondi devono provenire dal bilancio generale destinato all’IT… I CIO e i CISO non dispongono di risorse umane sufficienti per garantire di poter far fronte a tutte le minacce che devono affrontare.”
Quanto sopra è tutto esatto, ma problematico. Per le organizzazioni governative statali e locali, disporre delle risorse necessarie per acquisire ulteriori tecnologie, oltre a quelle già presenti nello stack tecnologico esistente che rimangono inutilizzate o sono implementate in modo inadeguato, può sembrare una manna dal cielo, ma non risolverà le sfide fondamentali che le rendono vulnerabili alle perturbazioni. Non è possibile “sbarazzarsi” dei vettori di minaccia semplicemente investendo in soluzioni; la maggior parte delle violazioni che vanno a buon fine si verifica perché le organizzazioni non hanno adottato le misure adeguate per migliorare la sicurezza informatica, correggere le vulnerabilità e configurare correttamente i propri ambienti in modo da garantire l’accesso con il minimo privilegio.
Come mi ha spiegato Chris Hallenbeck, il nostro CISO per le Americhe, un modo di considerare questa normativa è che essa consentirebbe ai CIO di disporre di strumenti più adeguati. Un altro aspetto è che, qualora si verificasse un evento negativo, si darebbe adito a un gioco di scaricabarile.
«I CIO possono aumentare il proprio budget IT grazie ai finanziamenti federali oppure attribuire la responsabilità degli incidenti al mancato rispetto delle promesse fatte loro dal governo federale», ha affermato Chris. «Attualmente, la maggior parte dei CIO statali agisce con la massima integrità e intende proteggere i propri sistemi e i propri cittadini dalle minacce informatiche incessanti e sempre presenti. «Tuttavia, l’attuale formulazione del disegno di legge non incoraggia quei comportamenti che, in ultima analisi, renderanno i loro ambienti più resilienti alle perturbazioni».
Le servono davvero tutti quegli attrezzi? Sono gli strumenti giusti?
Come sottolinea Chris, lo sgravio di bilancio apporterebbe maggiori benefici se fosse indirizzato verso i settori giusti. Se gli Stati dovessero ricevere fondi federali, potrebbero destinarli a questioni relative alla sicurezza informatica che in passato sono state sottofinanziate o in gran parte trascurate, in particolare la gestione delle patch, l’inventario delle risorse e il controllo degli accessi. Le agenzie governative sono consapevoli della necessità di migliorare in questi ambiti; La Fase 1 del programma “Continuous Diagnostics and Mitigation” (CDM) del DHS rappresenta una delle iniziative attualmente in corso. Ma assicuriamoci che vi siano controlli in atto che rendano i CIO e i CISO responsabili dei risultati, anziché che si limitino a dare la colpa agli altri, quando si verifica un incidente.
I nostri team SLED qui presso Tanium trascorrono molto tempo con i responsabili tecnologici a livello statale e locale che hanno investito in una serie di prodotti specifici e strumenti di sicurezza, subiscono incidenti che causano gravi disagi e poi trascorrono settimane, mesi e persino anni in accese discussioni con i propri fornitori, chiedendosi perché tali strumenti non siano stati d’aiuto. Investire maggiori risorse nella sicurezza e nelle operazioni IT non risolve i problemi. In definitiva, si tratta comunque di mettere in atto un piano tenendo presenti gli obiettivi giusti.
L’assistenza tecnica federale avrebbe un impatto maggiore se venisse utilizzata dagli Stati per la formazione e le valutazioni. Ciò comporterebbe l’individuazione di iniziative in materia di igiene e l’esecuzione di un’analisi delle lacune per comprendere in quali ambiti gli strumenti attualmente in uso si sovrappongano e quali capacità risultino ancora carenti di conseguenza. I CIO e i CISO statali più proattivi potrebbero cogliere questa analisi come un’opportunità per razionalizzare e ridurre il numero complessivo dei propri strumenti.
Reporting le cose giuste
La domanda più importante che mi pongo in merito al disegno di legge riguarda gli obblighi di rendicontazione previsti dalla nuova normativa. Già oggi il Dipartimento per la Sicurezza Interna mette a disposizione degli Stati una vasta gamma di servizi di assistenza tecnica e formazione. La normativa prevede espressamente che il DHS riferisca ogni due anni alla Commissione del Senato per la sicurezza interna e gli affari governativi (HSGAC) in merito allo stato di sicurezza di ciascuno Stato.
Tuttavia, il DHS potrà fornire informazioni solo nella misura in cui gli Stati forniscano volontariamente dati utili, e gli Stati non saranno incentivati a fornire tali informazioni se ritengono che il Congresso si limiterà a metterli a confronto con gli altri Stati. Se il DHS intende rendere efficace l’obbligo di segnalazione – e aiutare gli Stati a migliorare concretamente le misure di sicurezza dei propri ambienti informatici – la normativa dovrebbe prevedere l’obbligo di segnalazione come condizione imprescindibile per l’accesso ai finanziamenti federali da parte degli Stati. Ciò può essere effettuato in forma aggregata.
Se, in seguito alle valutazioni, dovesse emergere che alcuni Stati presentano un ritardo considerevole nonostante i finanziamenti e l’accesso alle risorse, la normativa dovrà essere rivista in modo da richiedere una rendicontazione specifica, Stato per Stato. Ma soprattutto, questa normativa dovrebbe mirare a promuovere comportamenti adeguati per risolvere effettivamente le sfide poste dagli incessanti attacchi informatici.
Non puoi proteggere ciò che non puoi vedere
I responsabili tecnologici del settore pubblico, come tutti i responsabili tecnologici, vengono sommersi da messaggi e promesse vuote da parte di fornitori di ogni dimensione, che promettono di risolvere i loro problemi attraverso l’acquisto degli strumenti e dei servizi più recenti. Tuttavia, quando si trovano a dover affrontare budget limitati, personale ridotto e tecnologie talvolta inaffidabili, i dirigenti devono compiere scelte più oculate e investire in ciò che renderà effettivamente i loro ambienti più resilienti alle perturbazioni.
Tanium offre una vera e propria soluzione platform che consente alle organizzazioni SLED di migliorare la sicurezza informatica grazie alla visibilità e al controllo in tempo reale dei dispositivi endpoint . Per ulteriori informazioni, visitate il sito , , la nostra pagina dedicata alle risorse per le amministrazioni statali e locali.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
Informazioni sull’autore: Tyker Fagg ricopre la carica di vicepresidente responsabile dei programmi per le amministrazioni statali e locali degli Stati Uniti e per l’istruzione presso Tanium.
