In questo blog, Chris Hodson, CISO globale presso Tanium , ha incontrato Geoff Fisher, responsabile della sicurezza informatica e della risposta agli incidenti presso EY, per discutere del ruolo dei CISO e di come esso si sia trasformato a seguito della pandemia di COVID-19.
Tradurre la sicurezza informatica in indicatori aziendali
Chris Hodson: Vorrei iniziare con una domanda che mi è stata posta piuttosto spesso dall’inizio della pandemia: i CISO comprendono davvero la propria azienda? Sono in molti a considerare ancora la funzione di sicurezza come un ambito fortemente incentrato sull’IT e slegato dalle normali attività aziendali. Qual è la Sua opinione al riguardo?
Geoff Fisher: Ritengo quindi che, a livello aziendale, i CISO comprendano effettivamente la propria attività, ma ciò che manca loro sia la telemetria necessaria per spiegare ai propri dirigenti perché la sicurezza informatica " " e la risposta agli incidenti siano importanti. Tutti i CISO, in definitiva, comprendono l’attività della propria azienda e cercano di analizzarla attraverso la lente della sicurezza. In molti casi, semplicemente non dispongono dei dati adeguati per spiegare ai propri vertici aziendali il motivo per cui stanno cercando di realizzare un determinato obiettivo. Inoltre, non dispongono della visibilità necessaria per quantificare tali aspetti. Ritengo che ciò di cui abbiano bisogno sia un modo per illustrare le proprie esigenze basandosi sui dati, proprio come fa il settore aziendale quando espone le proprie esigenze in materia di budget e crescita.
Chris Hodson: È certamente questa la lacuna che ho riscontrato. Gli addetti alla sicurezza conoscono bene gli indicatori di sicurezza, vero? Comprendiamo perché siano necessari i firewall, perché siano necessarie le patch e perché sia necessaria una solida gestione delle identità; tuttavia, tradurre tutto ciò in una serie di indicatori allineati agli obiettivi aziendali è tutta un’altra questione.
Come orientarsi nel nuovo panorama dei rischi
Chris Hodson: Questo mi porta alla mia prossima domanda: ritiene che il panorama delle minacce sia cambiato per i CISO durante la pandemia?
Geoff Fisher: Coloro che hanno perpetrato gli attacchi continueranno a prosperare in questo periodo, poiché la pandemia non ha cambiato nulla. In realtà, ciò non ha modificato le tattiche, le tecniche e le procedure (TTP) di nessuno degli autori degli attacchi. Di conseguenza, per quanto riguarda la sicurezza informatica, si tratta ancora di porsi la stessa domanda: so dove si trovano tutte le mie risorse? Sto applicando le patch a tutti? Li sto tenendo d'occhio? Posso effettuare rapidamente un'analisi e mettere in quarantena gli endpoint dei miei utenti finali, per poi passare rapidamente alle misure appropriate? Nulla di tutto ciò è cambiato.
Ciò che è cambiato è dove si desidera spendere il proprio denaro. Oggi potrei spendere di più per garantire la sicurezza delle persone rispetto a quanto abbia fatto in passato. Ora so che questo anello più debole è destinato a diventare un rischio sempre più rilevante.
Chris Hodson: Per quanto riguarda la questione della sicurezza delle persone, dobbiamo tenere presente che, dal punto di vista dell’utente finale, tutti stanno lavorando da casa. Sono più esposti al rischio di phishing, sono stanchi e stressati e stanno cercando di conciliare la vita familiare, i figli e il lavoro in un ambiente insolito. Ritengo quindi che ciò La renda più esposto ad attività dolose.
Lo stesso vale per i difensori, ovvero le squadre addette alle operazioni di sicurezza. In genere sono abituati a operare in un ambiente SOC o NOC. Stanno organizzando riunioni stand-up interfunzionali e collaborando per risolvere i problemi, e adattarsi a svolgere tutto ciò da remoto rappresenta una sfida non da poco.
L’altra sfida fondamentale riguarda l’accesso a Internet e alle applicazioni. Il numero di organizzazioni che hanno dovuto consentire lo split tunneling a causa di problemi legati alla larghezza di banda e alle prestazioni di rete e che devono distribuire i propri aggiornamenti tramite una VPN. Ma ora il settore delle VPN è ormai completamente saturo e viene utilizzato per fornire applicazioni aziendali fondamentali. È un periodo difficile per il CISO.
L’evoluzione del ruolo del CISO
Chris Hodson: Ritiene che il ruolo stesso del CISO sia cambiato?
Geoff Fisher: Ritengo che, in un passato non troppo lontano, il ruolo del CISO fosse incentrato soprattutto sulla governance e basato su regole precise. Ritengo che ora stiano assumendo un ruolo paritario dal punto di vista del CIO e del CTO e stiano prendendo decisioni aziendali. I CISO godono oggi di un ruolo più rilevante rispetto a quanto potessero avere in passato. Stanno acquisendo dimestichezza nel gestire un certo livello di incertezza e di rischio all’interno della propria organizzazione, sapendo di disporre di strumenti di controllo dinamici a portata di mano per poterlo fare in modo adeguato. Stanno cercando di trovare un equilibrio tra rischio e funzionalità, tenendo conto esclusivamente della necessità di portare a termine il lavoro. Ritengo che sia proprio in questo ambito che l’evoluzione registrata negli ultimi due mesi si rivelerà effettivamente un fattore positivo per il settore. Il rapporto che i CISO, i CIO e i CTO stanno instaurando, in ultima analisi, grazie a tutto ciò si rivelerà davvero utile.
Chris Hodson: Sì, ritengo che il ruolo del CISO stia evolvendo verso una funzione di consulenza. Durante la pandemia, il CISO ha il compito di definire misure di controllo o fornire consulenza al fine di garantire un livello di rischio adeguato all’organizzazione. I ruoli dei CISO hanno dovuto evolversi, ma ritengo che, a loro merito, lo stesso valga anche per i CIO e i CTO. Si trovano a dover adottare un approccio molto più flessibile e molto più orientato alla consultazione.
Ampliare l’orizzonte oltre il rilevamento
Chris Hodson: L’ultima domanda che mi è stata posta oggi riguardava l’importanza di basi solide in materia di sicurezza e delle migliori pratiche. Tutte queste notizie sensazionali sulle minacce informatiche sponsorizzate dallo Stato hanno reso più difficile per i CISO stabilire le priorità?
Geoff Fisher: Sa, credo che sia proprio qui che sta la difficoltà. Quelle minacce “sensazionali” sono sempre esistite, ma sono rimaste un po’ nascoste sotto la superficie e forse riguardavano maggiormente le infrastrutture critiche. Non sono sicuro che la situazione sia davvero la stessa nel resto del mondo. Sono fermamente convinto che tutti dovrebbero concentrarsi sull’acquisizione delle nozioni fondamentali, e non ritengo affatto che dare troppo risalto a tutti questi singoli eventi, legati a un preciso momento nel tempo e riguardanti organizzazioni molto specifiche, contribuisca in alcun modo alla formazione.
Si dovrebbe prestare attenzione al malware senza file? Al cento per cento. Dovrebbe preoccuparsi del fenomeno dell’hollowing di processo? Credo di sì. Ma se non sapete dove si trovano tutte le vostre risorse e non state applicando le patch a Java e al PDF Reader, avete fallito nelle nozioni di base. Sono fermamente convinto che il modello CSF ( NIST ) rappresenti effettivamente l’approccio corretto con cui dovreste concepire il vostro programma di sicurezza. Ma se vi mancano gli aspetti relativi alla risposta e al ripristino — cosa che accade a molte organizzazioni di piccole dimensioni — ciò vi causerà dei problemi.
Chris Hodson: Sono pienamente d’accordo. Ritengo che molte organizzazioni tendano a concentrarsi esclusivamente sul rilevamento. Tuttavia, individuare le minacce senza disporre dei mezzi per porvi rimedio e reagire equivale quasi a mettere i CISO in una situazione ancora più difficile. Scatta un allarme antincendio e loro non hanno né l’autorità né la capacità di intervenire in alcun modo.
È un principio in cui crediamo fermamente qui all' Tanium. La protezione è estremamente importante, ma lo è altrettanto la capacità di mettere in quarantena un computer, applicare una patch o disattivare un sistema. Le organizzazioni devono disporre di una visibilità in tempo reale su ciò che accade nella propria rete – soprattutto dopo aver trasferito quasi l’intera forza lavoro in ambienti di lavoro da remoto – ed essere in grado di reagire alle minacce e porvi rimedio con rapidità e sicurezza, prima che una minaccia si trasformi in una violazione a livello aziendale.
La ringrazio per il tempo che mi ha dedicato oggi, Geoff. Non vedo l’ora di proseguire la nostra discussione in occasione della nostra prossima tavola rotonda dal titolo “ 23 luglio ”, insieme all’ex hacker Alissa Knight di Knight Ink e all’analista di sicurezza informatica Chris Wilder di Moor Insights & Strategy.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento su per una dimostrazione individuale oppure rivolgetevi ai nostri esperti di Tanium in occasione dei nostri prossimi eventi .
