di ampia portata e di importanza storica: sono questi i termini utilizzati per descrivere la nuova legge del Senato, approvata in sede di “ 2 marzo”, che impone alle aziende che gestiscono infrastrutture critiche e alle agenzie federali civili di segnalare gli attacchi informatici e i pagamenti effettuati a seguito di attacchi ransomware, nonché di adottare un approccio alla sicurezza informatica basato sul rischio.
Cosa prevede la legge del 2022 sul rafforzamento della sicurezza informatica americana?
I tre disegni di legge contenuti nella legge “ : Strengthening American Cybersecurity Act” (), approvati all’unanimità dal Senato, sono ora in attesa di approvazione alla Camera dei Rappresentanti. Si applicano alle imprese operanti in settori critici, tra cui l’energia, i servizi finanziari, la sanità e i trasporti. La proposta di legge è stata respinta dal Senato lo scorso anno.
La sua recente approvazione sottolinea una nuova urgenza che si avverte in tutti i partiti politici e le organizzazioni dell’Occidente. «Questo disegno di legge riveste un’importanza fondamentale, soprattutto in questo momento in cui continuiamo a sostenere l’Ucraina», ha affermato in un recente tweet il senatore Gary Peters, democratico del Michigan e presidente della Commissione per la sicurezza interna e gli affari governativi del Senato. «Dobbiamo continuare a prepararci a possibili attacchi informatici di ritorsione da parte del governo russo», ha aggiunto.
L’ultima volta che il Congresso ha approvato una legge di portata così ampia risale al 2015, con una normativa che incoraggiava le aziende a fornire volontariamente informazioni relative agli attacchi informatici (promettendo loro protezione legale in caso di collaborazione). La nuova legge impone a banche, centri sanitari, aziende di servizi pubblici e altre organizzazioni di segnalare un “incidente informatico di rilevanza” alla Cybersecurity and Infrastructure Security Agency (CISA) entro 72 ore, nonché eventuali pagamenti effettuati a titolo di riscatto entro 24 ore dal momento in cui sono stati effettuati.
L’obiettivo della segnalazione obbligatoria è quello di acquisire una maggiore comprensione del numero e della tipologia di attacchi informatici che colpiscono quotidianamente le organizzazioni statunitensi (un aspetto con cui i responsabili della sicurezza informatica si confrontano da anni) e di poter avvertire altre entità che potrebbero essere a rischio quando si verificano tali attacchi.
Questa nuova normativa segna un cambiamento fondamentale sia per le grandi che per le piccole organizzazioni. Endpoint, che pubblica regolarmente articoli sulle strategie, le competenze e i processi necessari alle imprese per garantire la propria resilienza informatica, ne presenta tre tra i più importanti.
Migliori il Suo punteggio relativo al rischio informatico
Oltre al mandato di rendicontazione, la più recente normativa del Senato richiede che il governo adotti un approccio alla sicurezza informatica basato sul rischio, come indicato all’indirizzo . Ciò significa che le organizzazioni necessitano di un punteggio accurato relativo al rischio informatico, disponibile all’indirizzo . Devono inoltre adottare misure (e stanziare fondi per attuarle) sulla base di una chiara valutazione del rischio, che includa la probabilità di un attacco e le conseguenze derivanti dall’adozione di una specifica risposta. I legislatori sperano che questa strategia si diffonda anche alle imprese del settore privato.
Jen Easterly, direttrice della CISA, lo ha definito «un passo avanti fondamentale per garantire la sicurezza della nostra nazione».
«Dobbiamo continuare a prepararci a possibili attacchi informatici di ritorsione da parte del governo russo.»Il senatore Gary Peters, democratico del Michigan, presidente della Commissione per la sicurezza interna e gli affari governativi del Senato
Assumere il controllo della propria strategia di sicurezza informatica e ridurre il rischio informatico è un processo graduale, che comprende una serie di elementi fondamentali. La valutazione del rischio informatico in sé costituisce solo una di queste componenti. Il punteggio di rischio di un’organizzazione è influenzato da una serie di altre variabili che richiedono un intervento, tra cui il patrimonio complessivo dell’azienda (che deve essere regolarmente inventariato), i principi zero-trust (applicati regolarmente), la risposta agli incidenti (rivista), le configurazioni (gestite) e il software (aggiornato).
Affrontare così tante procedure operative contemporaneamente può sembrare un compito arduo. È sempre saggio procedere un passo alla volta.
Rendano la sicurezza una priorità assoluta nella strategia di trasformazione digitale della vostra azienda
Se si considera la sicurezza informatica come parte integrante del flusso di valore di qualsiasi impresa, allora la questione dovrebbe essere ovvia: La sicurezza e la trasformazione digitale vanno di pari passo, il che significa che i team di sicurezza devono essere coinvolti sin dalle prime fasi di qualsiasi iniziativa digitale.
Questo dovrebbe essere ovvio. Ma gli amministratori delegati delle società “ ” e i loro consigli di amministrazione devono sentirlo.
«Le normative governative stanno cambiando, il comportamento dei consumatori sta cambiando e, cosa più importante, i fornitori di software stanno cambiando.»Eric Kimberling, CEO e fondatore della Third Stage Consulting Group
La trasformazione digitale consente alle imprese di intrattenere rapporti commerciali con i consumatori in modo sicuro e prevedibile. Sempre più spesso, le aziende stanno abbracciando l’idea della trasformazione digitale non solo come strumento per proteggere i propri clienti, ma anche per infondere in essi un senso di sicurezza e fiducia nell’azienda stessa.
Mentre alcuni stanno attuando questa trasformazione per scelta, nella speranza di ottenere un vantaggio competitivo rispetto ai propri rivali sul mercato, molti altri vengono trascinati in questo processo, osserva Eric Kimberling, CEO , fondatore del Third Stage Consulting Group e conduttore del podcast “ : Transformation Ground Control” .
«La maggior parte delle organizzazioni si trova costretta a farlo, sia perché l’economia mondiale sta cambiando, sia perché le normative governative stanno cambiando, sia perché il comportamento dei consumatori sta cambiando e/o — cosa più importante — perché i fornitori di software stanno cambiando», afferma Kimberling , in un articolo intitolato “”. In molti casi, spiega, i fornitori di software stanno imponendo la dismissione dei propri prodotti obsoleti, il che a sua volta costringe numerose organizzazioni ad affrontare una trasformazione digitale per la quale non erano preparate.
Considerando che le organizzazioni spendono attualmente circa 700 miliardi di dollari all’anno in progetti di trasformazione digitale, si tratta sicuramente di un aspetto che le parti interessate desiderano gestire al meglio. Ecco come fare.
[Per saperne di più: La sicurezza al passo con la trasformazione digitale]
Monitorare e prepararsi alla “proliferazione normativa”
La nuova normativa del Senato è solo l’ultima di una serie di regolamenti in materia di integrità dei dati che stanno vedendo la luce negli Stati Uniti e in tutto il mondo. L’evoluzione dell’approccio normativo a Capitol Hill, dal 2015 ad oggi , costituisce un buon indicatore della direzione che stanno prendendo le cose. Quella che era iniziata come una cortese richiesta di informazioni su base volontaria si è trasformata in un’esigenza incontrovertibile.
«È un vero e proprio rompicapo elaborare un programma che sia conforme a livello globale.»Kenneth Citarella, amministratore delegato senior responsabile delle indagini presso Guidepost Solutions LLC
La realtà per le multinazionali è questa: oggi sono sottoposte a un controllo più rigoroso che mai per quanto riguarda il rispetto delle leggi in materia di sicurezza digitale e tutela della privacy. E l'invasione dell'Ucraina ha messo il mondo con il fiato sospeso. Le normative, almeno per il prossimo futuro, non potranno che diventare più severe. E moltiplicatevi.
«Elaborare un programma che sia conforme alle normative a livello globale è un vero e proprio rompicapo», ha dichiarato Kenneth Citarella lo scorso anno a Endpoint . In qualità di amministratore delegato senior responsabile delle indagini presso Guidepost Solutions LLC, Citarella risolve questioni relative alla conformità, aiutando i clienti a comprendere le giurisdizioni in cui operano, i dati che possono raccogliere e le modalità con cui possono o non possono condividerli.
«Bisogna entrare nei minimi dettagli», afferma.
Non esiste alcun software già pronto che La aiuti a farlo. Per il momento, le organizzazioni devono individuare soluzioni efficaci per valutare in modo attendibile il proprio livello di rischio in materia di “ ” e garantire la conformità alle nuove normative, sia a livello nazionale che internazionale.
La proliferazione di nuove norme e regolamenti è vertiginosa — e costosa. Se si supera il limite, un marchio rischia di perdere ricavi e di compromettere la propria reputazione. Ciò rende la conformità la più recente minaccia informatica — e i professionisti della sicurezza la migliore linea di difesa in un mondo sempre più complesso.
