Aggiornamento di hardware e software di base. Miglioramento del rilevamento di endpoint. Introduzione di controlli fondamentali in materia di identità e accesso. Applicazione delle patch ai sistemi di sicurezza chiave dell' .
Queste sono alcune delle iniziative che i responsabili della sicurezza informatica (CISO) delle amministrazioni statali e locali hanno intrapreso grazie ai finanziamenti ricevuti nel primo anno del programma di sovvenzioni per la sicurezza informatica legato alla legge bipartisan sulle infrastrutture del presidente Biden. I richiedenti per l’anno 2 del programma federale sono attualmente in attesa di sapere se riceveranno i finanziamenti.
Possono fare ben altro che limitarsi ad aspettare. C’è molto da imparare dall’inizio incerto del programma – e vi sono validi motivi affinché tali enti inizino a pianificare la fase successiva.
Affermare che il Programma di sovvenzioni per la sicurezza informatica a livello statale e locale (SLCGP) dell’ , del valore di 1 miliardo di dollari, avviato nel 2022, si sia svolto senza intoppi potrebbe essere un’esagerazione: si sono verificati episodi sporadici di confusione riguardo ai requisiti di ammissibilità e alle tempistiche; le tribù, con loro grande disappunto, non sono state incluse nel primo anno del programma; e molti operatori del settore si chiedono se il programma verrà prorogato oltre la sua attuale durata quadriennale.
Nonostante tutto ciò, gli osservatori del settore rimangono ottimisti, affermando che il progetto SLCGP sta procedendo come previsto. Nel 2022 gli Stati e i territori degli Stati Uniti hanno presentato domanda per un finanziamento pari a 185 milioni di dollari; nel 2023, con 380 milioni di dollari a disposizione, 48 Stati e sei territori hanno rispettato la scadenza di settembre per la presentazione di piani dettagliati in materia di sicurezza informatica alla Cybersecurity and Infrastructure Security Agency (CISA) e alla Federal Emergency Management Agency (FEMA), che supervisionano il programma. Tali piani sono attualmente in fase di revisione.
Sebbene coloro che hanno presentato proposte negli ultimi mesi possano ritenere di potersi dedicare ad altre attività nell’attesa, questo è in realtà il momento opportuno per iniziare a delineare i piani per l’Anno 3. Nel corso del prossimo anno, i finanziamenti SLCGP inizieranno a diminuire (saranno disponibili 300 milioni di dollari per l’anno fiscale 2024 e 100 milioni di dollari per l’anno fiscale 2025), rendendo la concorrenza molto agguerrita. Quanto prima i governi statali e locali e i loro responsabili della sicurezza riusciranno a valutare i vantaggi dell’SLCGP, ora che il programma sta entrando nella sua fase adolescenziale, tanto più efficaci saranno nel pianificare la prossima fase di maturità e, molto probabilmente, il periodo successivo, quando tali fondi potrebbero non essere più disponibili. In tal caso, le organizzazioni che si saranno preparate per prime avranno maggiori possibilità di proteggere le proprie reti e i propri utenti.
Come funziona l’SLCGP
Attualmente, gli Stati che ricevono finanziamenti nell’ambito del programma SLCGP devono garantire che almeno il 80% di tali fondi venga trasferito agli enti locali. Inoltre, almeno il 25% dei fondi complessivi messi a disposizione nell’ambito della sovvenzione deve essere trasferito alle comunità rurali. Ogni Stato pubblica le proprie procedure e scadenze alle quali gli enti locali devono attenersi per presentare domanda di sovvenzione.
«Questo programma sta rendendo la nostra nazione più resiliente.»Alaina Clark, vicedirettrice per il coinvolgimento delle parti interessate, CISA
Le nazioni tribali presentano alcune differenze. Avrebbero dovuto presentare i propri piani di sicurezza informatica all’inizio di questo mese tramite il programma “Tribal Cybersecurity Grant Program” (TCGP) , di recente istituzione nell’ambito dell’“” (SLCGP), un’iniziativa derivata da quest’ultimo. Nell’ambito di tale programma sono stati stanziati circa 8 milioni di dollari a favore delle tribù. Più grande è la tribù, maggiore sarà l’importo a cui avrà diritto.
Paula Starr, responsabile informatico della Nazione Cherokee, afferma che il suo team sta perseguendo attivamente un finanziamento del TCGP pari a circa 1 milione di dollari, con sentimenti contrastanti. Da un lato, hanno bisogno di denaro. La Nazione Cherokee, che sovrintende alle agenzie che forniscono servizi a circa 460.000 cittadini della tribù – molti dei quali residenti in comunità rurali – ha rafforzato la propria strategia di sicurezza informatica nonostante le risorse finanziarie limitate. Pertanto, i fondi federali potrebbero essere ingenti, afferma.
Tuttavia, lei avrebbe voluto che le tribù fossero state prese in considerazione fin dall’inizio, insieme a tutti gli altri.
«Mi piacerebbe che, in futuro, le nazioni tribali potessero beneficiare delle stesse opportunità offerte agli Stati , alle contee, , alle contee e ai comuni di tutto il Paese in termini di ulteriori opportunità di finanziamento che aiuterebbero le comunità indigene ad affrontare meglio le esigenze in materia di sicurezza informatica e a fornire il tipo di protezione informatica che le nazioni tribali e i loro cittadini meritano», afferma.
A difesa dei malfunzionamenti dell’SLCGP
Alla domanda sul ritardo nei finanziamenti alle tribù, Alaina Clark, vicedirettrice della CISA per il coinvolgimento delle parti interessate, ha difeso il programma, affermando che esso incoraggia gli Stati, le tribù e i territori a presentare piani strategici di sicurezza informatica su misura per le loro esigenze e che, una volta approvati, riceveranno finanziamenti per i progetti.
«. È auspicabile garantire una continuità che vada oltre il ciclo di vita di queste sovvenzioni; pertanto, a un certo punto dovremo dimostrare al Congresso che non può trattarsi semplicemente di un investimento finanziario una tantum.»Alex Whitaker, direttore degli affari governativi della NASCIO
«Siamo orgogliosi del lavoro svolto per creare un nuovo programma che convogli le risorse in modo mirato proprio dove possono avere il massimo impatto», afferma Clark. «Questo programma sta rendendo la nostra nazione più resiliente, poiché gli Stati elaborano piani di sicurezza informatica a livello statale e definiscono le migliori pratiche in materia.»
Alex Whitaker, direttore degli affari governativi presso l’Associazione Nazionale dei Responsabili Informatici Statali (NASCIO), afferma che finora, ad eccezione di alcune questioni relative alle tribù e alle modalità di erogazione dei fondi agli Stati e alle amministrazioni locali, il programma sta procedendo «piuttosto bene».
Una preoccupazione a più lungo termine, afferma, è che il programma SLCGP sia previsto solo fino al 2026; pertanto, è difficile stabilire se gli Stati, gli enti locali, le tribù e i territori saranno in grado di proseguire le iniziative relative al finanziamento oltre tale data. Infatti, un responsabile informatico statale ha dichiarato alla NASCIO di essere riluttante a lanciare un nuovo programma per gli enti locali, poiché esso dovrebbe essere interrotto qualora i finanziamenti del programma SLCGP non fossero più disponibili.
«È necessario garantire una continuità che vada oltre il ciclo di vita di queste sovvenzioni», afferma, «pertanto, a un certo punto dovremo dimostrare al Congresso che non può trattarsi semplicemente di un investimento finanziario una tantum».
Un’altra questione che talvolta viene sollevata è che l’ammontare dei finanziamenti destinati alla sicurezza informatica erogati tramite l’SLCGP non è poi così elevato, soprattutto se si considera quanto tempo e quanto impegno i team di sicurezza investono per ottenerli. Tuttavia, i CISO come Ryan Murray, responsabile della sicurezza informatica ( ) dello Stato dell’Arizona, di norma si adoperano per ottenere diverse sovvenzioni federali e stringono partnership con altri Stati per contribuire a finanziare le proprie iniziative in materia di sicurezza informatica. "Ogni piccolo contributo è utile", pensano.
Come garantire i benefici del programma SLCGP nel lungo periodo
I responsabili della sicurezza più esperti ottimizzano i processi e riducono l’impegno in termini di tempo grazie alle migliori pratiche, che probabilmente applicheranno quando presenteranno domanda per ottenere sovvenzioni in occasione della prossima opportunità prevista per questo autunno. Tra questi figurano:
- Aggiornamento costante dei piani di sicurezza informatica: Poiché ogni anno è necessario presentare un piano aggiornato circa un mese dopo l’apertura delle procedure di candidatura, non ha senso attendere l’ultimo momento per redigerlo. Proprio come i piani di risposta agli incidenti e di gestione degli incidenti devono essere aggiornati periodicamente, anche le proposte in materia di sicurezza informatica per l’SLCGP dovrebbero essere monitorate e valutate regolarmente. Ciò significa nominare il personale e attuare fin da ora le procedure necessarie per aggiornare i piani nel corso dell’anno.
- Dialogo con le autorità locali: Per soddisfare il requisito di trasferire i finanziamenti alle amministrazioni locali, gli Stati devono dialogare con i responsabili delle contee e con altri leader in merito a quanto devono fare per poter beneficiare dei fondi.
- L’adeguamento dei Suoi piani “Whole-of-State” (WOS) relativi all’ —o la loro definizione ex novo: Una volta che avrà iniziato a comunicare maggiormente con gli attori locali, avrà maggiori possibilità di ottenere il consenso su una nuova strategia WOS o di modificare e migliorare quella già esistente. Gli enti governativi che non uniscono le forze perdono un’enorme opportunità di collaborare, scambiare dati e condividere equamente l’onere della carenza di manodopera nel settore dell’ e.
- Una visione d’insieme: Prendendo spunto dall’esempio dell’Arizona, gli Stati, le tribù e i territori devono riconoscere che le sovvenzioni non devono necessariamente costituire iniziative una tantum. Una volta messo in atto un modello sostenibile, è possibile perseguire altre opportunità di finanziamento federale.
La maggior parte dei richiedenti governativi dei fondi SLCGP prevede di impiegare il denaro in modo proficuo, afferma Whitaker. Il sondaggio “NASCIO 2023 State of CIO Survey” condotto dall’, ad esempio, ha rilevato che i richiedenti utilizzeranno i fondi per migliorare la formazione in materia di sicurezza informatica, endpoint il rilevamento delle minacce, le valutazioni dei rischi, il supporto alla migrazione dei siti .gov e l’adozione dell’autenticazione a più fattori (MFA) .
Ciò è in linea con quanto Jon James, CISO della Cherokee Nation, ha in mente per le agenzie di cui si occupa.
James afferma che, fino a pochi anni fa, gli hacker ignoravano in gran parte le tribù. Ma man mano che intensificavano gli attacchi contro le reti governative e sanitarie, scoprirono che anche le nazioni tribali ne disponevano – e che erano poco protette. Di conseguenza, hanno iniziato a sferrare un numero maggiore di attacchi contro le tribù.
Oggi, dopo aver implementato un «programma completo di sicurezza informatica», afferma, la Nazione Cherokee si trova in una situazione decisamente migliore. Egli avverte tuttavia che nessuna delle tribù può permettersi di stare con le mani in mano. Devono cogliere ogni opportunità, comprese le sovvenzioni come il TCGP, per potenziare il proprio livello di sicurezza, afferma.
«È importante che le tribù riconoscano che anche noi siamo bersagli», afferma. «Dobbiamo rafforzare il nostro quadro di sicurezza complessivo, ridurre i rischi e ottenere una maggiore visibilità e un miglior controllo sulle vulnerabilità dei nostri endpoint e dell’infrastruttura di rete».
