Nella seconda puntata della nostra serie in tre parti “ ”, David Damato, CSO di Tanium , illustra come utilizzare i modelli basati sul rischio per sviluppare un programma di sicurezza informatica maturo e sostenibile.
Nel definire un programma di sicurezza informatica, molte organizzazioni si concentrano esclusivamente sulla prevenzione. In teoria sembra un'ottima idea. Tuttavia, in base alla mia esperienza, concentrarsi esclusivamente sulla prevenzione aumenta di fatto il rischio di subire una grave violazione, poiché qualsiasi aggressore in grado di aggirare i controlli preventivi iniziali rimane completamente libero di agire.
Di conseguenza, se non state utilizzando un quadro di riferimento per la sicurezza informatica per gestire una serie di attività relative alle buone pratiche di sicurezza, vi state esponendo a rischi (si apre in una nuova scheda).
Nella prima parte di questa serie, intitolata “ ” ( ), ho illustrato come la comprensione dello stato del vostro ambiente attuale possa aiutarvi a individuare eventuali lacune nei controlli di sicurezza fondamentali. In questo modo si ottengono risultati immediati per migliorare le pratiche di sicurezza sfruttando gli investimenti già effettuati. Il passo successivo consiste nell’affrontare in modo globale le attività relative alla sicurezza informatica, comprese tutte le aree relative alle buone pratiche di sicurezza, adottando un quadro di riferimento all’avanguardia in materia di sicurezza informatica.
L'utilizzo di un framework offre numerosi vantaggi, tra cui:
- Garantire che le vostre attività siano equilibrate tra le diverse misure di sicurezza pertinenti, non limitandosi alla sola prevenzione o al solo rilevamento;
- Offrire una struttura flessibile in grado di crescere e adattarsi alle esigenze di qualsiasi organizzazione;
- Facilitare la vostra capacità di soddisfare i vari requisiti legali e normativi; e
- Contribuire a definire un linguaggio comune affinché possiate comunicare più efficacemente con i colleghi che utilizzano framework simili.
Esistono numerosi framework tra cui scegliere. Tra gli esempi più noti figurano l’ , , NIST, il Cybersecurity Framework (CSF),, , , ISO 27001, e , , COBIT,.
L'utilizzo di un quadro di riferimento per la sicurezza informatica al fine di affrontare in modo globale le misure di igiene informatica
I principali modelli di riferimento in materia di sicurezza informatica riguardano un’ampia gamma di attività che definiscono un programma di sicurezza delle informazioni. Ciò comprende le misure di sicurezza di base, quali la tenuta di un inventario dei sistemi e dei software e l’applicazione tempestiva delle patch ai sistemi.
Per implementare un quadro di riferimento in materia di sicurezza informatica, la maggior parte delle organizzazioni procederà a una valutazione delle lacune, a una valutazione dei rischi e all’elaborazione di un piano di implementazione. Una valutazione delle lacune viene utilizzata per mappare lo stato attuale dei controlli di sicurezza delle informazioni sulla base di un quadro di riferimento definito. Se avete già effettuato un’analisi delle lacune rispetto ai Controlli di sicurezza critici del CIS ( ) o alla Top 20 del SANS, constaterete che parte del lavoro è già stata completata. Il risultato consiste in una comprensione dello stato attuale del Suo programma di sicurezza delle informazioni, oltre che delle principali vulnerabilità o lacune rispetto al quadro di riferimento definito. Il passo successivo consiste nell'effettuare una valutazione dei rischi per determinare la probabilità e l'impatto di un evento specifico in materia di sicurezza. I risultati della valutazione dei rischi determinano il modo in cui un’organizzazione definisce il proprio stato obiettivo. Una volta completate l’analisi delle lacune e la valutazione dei rischi, un piano di attuazione definisce in che modo un’organizzazione intende passare dalla propria situazione attuale a una situazione desiderata, in linea con il profilo di rischio definito.
I tre elementi fondamentali di qualsiasi piano di implementazione sono le persone, i processi e la tecnologia. Per raggiungere lo stato desiderato, avrete bisogno delle persone giuste e delle competenze adeguate. Processi ben documentati e consolidati garantiranno che le attività siano ripetibili e tengano conto dei rischi. Ma è proprio la tecnologia a mettere tutto insieme, integrando le persone e supportando i processi attraverso l’automazione delle attività più importanti, favorendo operazioni più efficienti e consentendo al Suo team di crescere.
Investire nelle tecnologie adeguate per il proprio quadro di sicurezza informatica
Quando si tratta di effettuare nuovi investimenti in materia di sicurezza, la maggior parte delle organizzazioni ha difficoltà a stabilire le priorità tra le diverse esigenze e a selezionare le tecnologie più adatte a soddisfarle.
È possibile stabilire le priorità degli investimenti in materia di sicurezza tenendo conto dei seguenti due aspetti di una specifica esigenza: il rischio e le dipendenze. Si dia priorità alle esigenze ad alto rischio, secondo quanto stabilito dalla valutazione dei rischi effettuata. Tuttavia, come la maggior parte delle organizzazioni, è probabile che vi troviate ad affrontare numerosi rischi “elevati”. Per stabilire le priorità tra i rischi “Elevati”, le organizzazioni dovrebbero tenere conto dei requisiti dipendenti o dei prerequisiti.
Una dipendenza è simile a una gerarchia dei bisogni e descrive le capacità necessarie per l’efficace realizzazione di altre capacità di livello superiore. Ad esempio, supponiamo che il Suo database di gestione delle risorse e il Suo programma di ricerca delle minacce siano inefficaci, il che rappresenta un rischio significativo per la Sua azienda. In questo caso, non è possibile sviluppare un programma efficace di ricerca delle minacce finché il Suo team di sicurezza non avrà compreso quali risorse sta difendendo.
La seconda sfida che molti responsabili delle decisioni devono affrontare consiste nel capire come selezionare le tecnologie adeguate per soddisfare le funzionalità richieste all’interno di un determinato contesto. Oltre ai requisiti di collaudo previsti nell’ambito di un POC, i responsabili delle decisioni dovrebbero allineare le tecnologie esistenti e quelle proposte a ciascuna funzionalità prevista dal quadro di riferimento selezionato. Noterete che alcune soluzioni riguardano molti aspetti di un framework, mentre altre potrebbero riguardare solo una singola attività. Il vostro obiettivo dovrebbe essere quello di investire nel minor numero possibile di soluzioni che rispondano al maggior numero di esigenze e vi consentano di raggiungere le capacità target richieste.
Perché attribuisco tanta importanza alla limitazione del numero di soluzioni? È semplice: l’acquisto di un numero eccessivo di soluzioni è costoso e comporta una maggiore complessità, soprattutto quando i vostri strumenti presentano notevoli sovrapposizioni in termini di caratteristiche e funzionalità. La complessità aumenta il rischio ampliando la superficie di attacco, grava sul personale, fa lievitare i costi di assistenza e crea silos di dati che richiedono integrazione.
In che modo i nostri clienti utilizzano “ Tanium ” per adeguarsi ai quadri normativi in materia di sicurezza informatica e migliorare le pratiche di sicurezza
I nostri clienti utilizzano Tanium per soddisfare molti dei requisiti previsti dai principali framework, anche al di là delle attività generalmente considerate parte integrante delle buone pratiche di sicurezza. Nel complesso, il documento “ Tanium ” affronta le competenze richieste in tutte e cinque le funzioni individuate nel quadro di riferimento “ ” NIST Framework Core e ISO 27001. Tanium può aiutare le organizzazioni ad allinearsi ai principali elementi dei principali quadri di riferimento in materia di sicurezza informatica, come illustrano i seguenti esempi:
- Un’importante istituzione finanziaria ha utilizzato , , Tanium discover, e per aumentare in modo significativo l’accuratezza del proprio inventario di beni e software.
- Un’azienda operante nel settore dell’intrattenimento ha utilizzato Tanium Comply per migliorare endpoint la sicurezza , individuando e risolvendo le vulnerabilità e le discrepanze rispetto agli standard definiti per le configurazioni di base di sicurezza.
- Un’importante compagnia di assicurazioni sanitarie ha utilizzato Tanium Core per individuare gli account di dominio dotati di privilegi inappropriati su workstation e server, riducendo così il rischio di movimenti laterali da parte degli aggressori.
- Un importante rivenditore di , , ha utilizzato , Tanium Detect, , , Tanium Tracee per accelerare la capacità di indagare sugli incidenti e porvi rimedio, consentendo al personale addetto di passare dal rilevamento alla risoluzione di un evento in meno di un’ora.
- Un ente governativo ha utilizzato Tanium Patch per individuare e correggere rapidamente decine di migliaia di vulnerabilità su una rete globale.
La creazione di un programma di sicurezza informatica sostenibile e consolidato richiede l’allineamento a un quadro di riferimento leader nel settore. Tanium, grazie a un portafoglio di prodotti in continua espansione, aiuta i clienti ad affrontare molte delle attività previste dai quadri normativi in materia di sicurezza informatica, riducendo al contempo le complessità e i costi legati alla gestione di più soluzioni.
Ci auguriamo che abbiate già intrapreso questo percorso seguendo i passaggi descritti in , prima parte di questa serie, e che stiate valutando le indicazioni su come allineare gli investimenti a un quadro di riferimento per la sicurezza informatica al fine di garantire una corretta igiene della sicurezza. Il mio prossimo post analizzerà come monitorare costantemente l’efficacia delle attività igieniche in corso, utilizzando indicatori di prestazione significativi e misurabili.
Informazioni sull’autore: In qualità di responsabile della sicurezza (Chief Security Officer), David Damato definisce la direzione strategica dei prodotti per lo sviluppo dei moduli della piattaforma di sicurezza per dispositivi mobili ( Tanium Platform ) e gestisce il programma di sicurezza interno dell’azienda. David apporta ad Tanium una vasta esperienza nel campo della sicurezza, che spazia dalla risposta agli incidenti e dall’analisi forense, alle valutazioni delle vulnerabilità, allo sviluppo di programmi di sicurezza, alle operazioni di sicurezza e all’architettura di rete e di sicurezza. Prima di entrare a far parte di Tanium, David ha ricoperto, da ultimo, il ruolo di amministratore delegato presso Mandiant , una società del gruppo FireEye, dove il suo team ha guidato le attività di risposta agli incidenti e di risanamento post-violazione presso oltre 100 aziende della classifica Fortune 500 . Presso Mandiant, David ha inoltre svolto un ruolo fondamentale nello sviluppo di nuove capacità relative ai servizi di risposta agli incidenti e nell’apertura di uffici di consulenza sia a livello nazionale che internazionale. Prima di entrare a far parte di Mandiant, David ha guidato i team di consulenza in materia di sicurezza presso PwC nell’ambito della divisione Washington Federal Practice e ha ricoperto incarichi nel settore IT presso Raytheon, occupandosi in particolare della gestione delle reti interne e governative. David condivide spesso le proprie competenze e riflessioni in occasione di eventi di settore e con i media.
