Vai al contenuto principale
Blog Tanium

Le tre fasi dell'igiene della sicurezza: condivisione della misurazione

Il concetto di “igiene della sicurezza” assume un significato diverso per ciascuno. Per questo motivo, occuparsi delle buone pratiche di sicurezza può rivelarsi un compito arduo. Nell’ultima puntata della nostra serie di blog in tre parti, David Damato, CSO di Tanium , fornisce alcune linee guida su cosa valga la pena misurare e perché.

Dopo aver implementato un programma all’avanguardia in materia di sicurezza delle informazioni, la maggior parte delle organizzazioni dichiara: «Missione compiuta». Di conseguenza, le procedure di sicurezza e i controlli tecnici perdono efficacia e/o diventano irrilevanti nel corso del tempo, e l’organizzazione non riesce a stare al passo con l’evoluzione dei rischi. Le aziende che si distinguono in materia di sicurezza monitorano costantemente il proprio programma alla ricerca di punti deboli e migliorano continuamente i controlli esistenti.

Nella prima parte di questa serie, disponibile all’indirizzo , , ho approfondito la fase di valutazione del processo di igiene della sicurezza. Nell’articolo “ ” (), parte seconda (), ho illustrato come l’adozione di un programma di sicurezza informatica all’avanguardia possa contribuire a bilanciare gli investimenti in sicurezza, soddisfare i vari requisiti legali e normativi e fungere da quadro flessibile per gestire la crescita futura. Il passo successivo consiste nel monitorare costantemente il vostro programma per garantire che rimanga efficace e pertinente.

Igiene della sicurezza: misure, metriche e indicatori chiave di prestazione (KPI)

Nel settore si discute molto sulla differenza tra misurazioni, metriche e KPI. In generale, si tratta di concetti correlati, ma comunque distinti. Una misurazione è semplicemente un dato. Tra gli esempi figurano il numero di vulnerabilità o di incidenti. Un indicatore, che è un tipo di misura, va oltre, fornendo un'indicazione dei progressi o delle prestazioni. Ad esempio, un indicatore potrebbe includere il numero totale di politiche di sicurezza completate, rispetto a un obiettivo definito (ad esempio, 50 politiche specifiche). Un KPI è semplicemente un indicatore importante che è in linea con gli obiettivi aziendali fondamentali. Un esempio potrebbe essere il tempo mediano impiegato dalla vostra organizzazione per implementare le patch critiche, il che si traduce in un rischio misurabile.

A prescindere dal nome che le si attribuisca, una buona misura di sicurezza dovrebbe sempre:

  • Fornisca informazioni pertinenti e significative su ciò che sta cercando di misurare;
  • Siate concreti: se non siete in grado di influenzare un indicatore con azioni chiare e specifiche, allora potrebbe non valere la pena misurarlo;
  • Siano misurabili nel tempo, consentendo alla dirigenza di monitorarne i progressi; e
  • Essere all’altezza dei propri pari del settore, laddove un vantaggio competitivo riveste grande importanza.

Molte organizzazioni utilizzano indicatori che non soddisfano i requisiti sopra indicati. NIST 800-55 (si apre in una nuova scheda) fornisce il seguente esempio di indicatore per determinare l’efficacia di un processo di correzione delle vulnerabilità: «la percentuale di vulnerabilità del sistema operativo aziendale per le quali sono state applicate patch o che sono state altrimenti mitigate». La difficoltà di tale misurazione risiede nel fatto che essa è influenzata in larga misura dal numero di patch rilasciate da un determinato fornitore, nonché dalla capacità di un’organizzazione di applicare rapidamente le patch alle vulnerabilità. Per questo motivo, è difficile tracciare un andamento nel tempo di tale parametro e non è agevole confrontarlo con quello di altre aziende del settore, che potrebbero avere applicazioni diverse e un numero di vulnerabilità associato diverso.

Igiene informatica: misurare l’efficacia dell’applicazione delle patch

Un valido approccio per misurare l’efficacia delle operazioni di patch (ovvero la correzione delle vulnerabilità) consiste nel calcolare il tempo mediano necessario per correggere le vulnerabilità del software. In altre parole: «Quanto tempo impiega la nostra organizzazione ad applicare una patch critica?» Questo approccio consente di misurare con precisione il nostro obiettivo finale, ovvero la riduzione del rischio. Più tempo occorre per correggere una vulnerabilità critica, maggiore è il rischio per la vostra organizzazione. È facile individuare una tendenza che illustra il miglioramento o il peggioramento nel corso del tempo. Il dato può inoltre essere confrontato con quello di altre aziende del settore o con valori di riferimento.

Altri esempi di metriche consolidate che offrono la visione più ampia e completa dell’efficacia del vostro programma di sicurezza includono:

  • Tempo medio che intercorre tra il rilevamento e la risoluzione degli eventi di sicurezza. Questo rappresenta un ottimo modo per descrivere le attività operative relative al rilevamento e alla risposta agli incidenti.
  • Rapporto tra i falsi positivi e il numero totale di eventi di rilevamento. Ciò consente di comprendere meglio come il personale impiega il proprio tempo.
  • Percentuale di sistemi conformi agli standard di configurazione di riferimento definiti. Ciò consente di valutare l'efficacia del Suo programma di gestione delle configurazioni e il rischio di configurazioni errate.
  • Percentuale del patrimonio gestito. Ciò consente di valutare l’efficacia della vostra soluzione di gestione delle risorse “ ” e il rischio rappresentato dai dispositivi sconosciuti.

Non si preoccupi se al momento non sta utilizzando queste misure. Le misure sopra indicate richiedono processi consolidati e controlli tecnici. Non è possibile monitorare il tempo medio necessario per risolvere un incidente se non si dispone di una procedura documentata di risposta agli incidenti. In tali casi, si consiglia di iniziare con misurazioni più semplici e di puntare a migliorare nel corso del tempo. È meglio avere qualche misurazione piuttosto che nessuna.

In che modo i nostri clienti utilizzano " Tanium " per misurare e migliorare le prestazioni

Molti dei nostri clienti utilizzano Tanium per misurare le prestazioni del proprio programma di sicurezza, avvalendosi della visibilità immediata e scalabile offerta dalla nostra piattaforma di comunicazione. Tra le semplici misurazioni figurano il numero di patch critiche mancanti, le configurazioni errate dei firewall basati su host o i computer portatili privi di crittografia completa del disco (FDE). Gli utenti più esperti utilizzano Tanium per facilitare la raccolta dei dati necessari a misurare il tempo mediano necessario per la correzione delle vulnerabilità o il tempo medio che intercorre tra il rilevamento e la correzione.

Il concetto di "igiene della sicurezza" assume un significato diverso per ciascuno. Per questo motivo, occuparsi delle buone pratiche di sicurezza può rivelarsi un compito arduo. Ci auguriamo che questa serie di tre articoli sul blog  possa fornire alcuni spunti su come strutturare un piano d’azione volto ad affrontare in modo metodico tutti gli aspetti dell’igiene della sicurezza. Anche l’igiene della sicurezza è un percorso. Potete scegliere un momento specifico per valutare la vostra efficacia in materia di igiene e, in base ai vostri sforzi, tale efficacia subirà fluttuazioni nel corso del tempo. Tanium può aiutarLa a iniziare a valutare il Suo livello di igiene.

Per ulteriori informazioni sulle buone pratiche di sicurezza, legga:

Informazioni sull’autore: In qualità di responsabile della sicurezza (Chief Security Officer), David Damato definisce la direzione strategica dei prodotti per lo sviluppo dei moduli della piattaforma di sicurezza per dispositivi mobili ( Tanium Platform ) e gestisce il programma di sicurezza interno dell’azienda. David apporta ad Tanium una vasta esperienza nel campo della sicurezza, che spazia dalla risposta agli incidenti e dall’analisi forense, alle valutazioni delle vulnerabilità, allo sviluppo di programmi di sicurezza, alle operazioni di sicurezza e all’architettura di rete e di sicurezza. Prima di entrare a far parte di Tanium, David ha ricoperto, da ultimo, il ruolo di amministratore delegato presso Mandiant , una società del gruppo FireEye, dove il suo team ha guidato le attività di risposta agli incidenti e di risanamento post-violazione presso oltre 100 aziende della classifica Fortune 500 . Presso Mandiant, David ha inoltre svolto un ruolo fondamentale nello sviluppo di nuove capacità relative ai servizi di risposta agli incidenti e nell’apertura di uffici di consulenza sia a livello nazionale che internazionale. Prima di entrare a far parte di Mandiant, David ha guidato i team di consulenza in materia di sicurezza presso PwC nell’ambito della divisione Washington Federal Practice e ha ricoperto incarichi nel settore IT presso Raytheon, occupandosi in particolare della gestione delle reti interne e governative. David condivide spesso le proprie competenze e riflessioni in occasione di eventi di settore e con i media.