Per far fronte alle minacce alla sicurezza informatica in continua evoluzione, molti dirigenti aziendali si concentreranno sulla tecnologia, sovrapponendo strumento su strumento e approccio su approccio in aree aziendali isolate tra loro.
Ad esempio, le aziende elettriche che servono complessivamente 56 milioni di clienti hanno installato strumenti per Detect meglio gli attacchi informatici oppure si sono impegnate a farlo. Infatti, secondo l’Enterprise Strategy Group (ESG), il 60% dei dirigenti senior del settore IT e aziendale intervistati nell’ambito dell’indagine “ ” prevede di aumentare la spesa IT, indicando la sicurezza come priorità assoluta.
Una risposta decisa è un ottimo inizio. Tuttavia, gli strumenti tecnologici da soli non bastano a impedire le violazioni. Gli hacker più esperti di oggi sono troppo intelligenti per cadere in una trappola del genere.
A seguito di una grave violazione della sicurezza, ciò che spesso viene trascurato nelle iniziative federali e nelle strategie dettate dal panico adottate dagli amministratori delegati delle aziende è lo sforzo volto a rafforzare due delle armi più efficaci nell’arsenale di un’azienda: il proprio personale in prima linea e i propri processi.
Per rafforzare la difesa informatica, è opportuno andare oltre il semplice insegnamento ai dipendenti di come predisporre un piano di risposta agli incidenti o metterli in guardia dal rispondere a e-mail di phishing del tipo “ ”. Queste sono le misure più immediate tra le numerose azioni che i leader dovrebbero intraprendere.
Per ottimizzare le risorse umane e i processi è necessario riflettere a fondo sugli ostacoli che limitano l’efficacia dei professionisti della sicurezza su cui le aziende fanno affidamento per la propria difesa. Se qualcuno è costantemente sommerso da avvisi di sicurezza, non dispone delle competenze adeguate o è ostacolato dall’inerzia organizzativa che gli impedisce di fare ciò che è necessario, un’azienda non avrà alcuna possibilità di difendersi.
Per iniziare a stabilizzare i primi due elementi del “treppiede” costituito da “persone, processi e tecnologia”, le aziende dovrebbero concentrarsi sull’adozione di misure concrete nelle tre aree seguenti.
Lavorate in modo intelligente
Dopo oltre un anno di sforzi eroici volti a garantire la sicurezza delle proprie aziende a seguito del più grande esperimento di lavoro da remoto della storia, i professionisti della sicurezza stanno raggiungendo livelli record di esaurimento . «Il tributo in termini di vite umane pagato nell’ultimo anno è stato enorme», ha recentemente dichiarato Martin Fisher, direttore della sicurezza informatica e responsabile della sicurezza informatica presso il Northside Hospital di Atlanta, a Endpoint. «Siamo nervosi. Ogni segnalazione dà luogo a un'indagine di risposta agli incidenti di minore entità. «Un tale livello di impegno è estenuante.»
Da un sondaggio condotto da è emerso che un’azienda media riceve oltre 10.000 avvisi di sicurezza al giorno, con quasi il 30% delle aziende che dichiara di ricevere più di 1 milione di avvisi. Rispetto al lavoratore americano medio, i professionisti della sicurezza sono più che doppiamente inclini a segnalare uno squilibrio tra vita lavorativa e vita privata e più che triplicatamente inclini a non godersi tutte le ferie a cui hanno diritto.
[Leggi anche: Costruire il futuro del lavoro]
Un processo di flusso di lavoro agile denominato “ ” (kanban), adottato da tutti gli stabilimenti Toyota nel 1963, può aiutare i professionisti della sicurezza a stabilire le priorità delle attività quando la situazione cambia di minuto in minuto. Funziona visualizzando il flusso di lavoro di un team, in modo che tutti possano vedere sia le priorità del team sia ciò su cui stanno lavorando gli altri membri del team.
Lavorare insieme
Troppo spesso, in molte organizzazioni, i programmatori ritengono che la loro genialità sia sufficiente. Si limitano a sviluppare i prodotti finché non funzionano, e il resto è “un problema dei professionisti della sicurezza”. Al contrario, una pratica emergente denominata “ ” (DevSecOps) mira a creare ponti tra questi e altri ambiti in contrapposizione, al fine di individuare tempestivamente le vulnerabilità integrando i membri e i processi del team di sicurezza nel ciclo di vita dello sviluppo del software.
«. Il tributo in termini umani dell’ultimo anno è stato enorme: le persone stanno crollando.»Martin Fisher, direttore della sicurezza informatica e responsabile della sicurezza informatica, Northside Hospital
Un modo per colmare il divario interno consiste nel rendere la sicurezza una parte più integrante del processo di sviluppo informatico. Secondo una ricerca di EY, quasi due terzi delle aziende oggi non coinvolgono i team di sicurezza nelle fasi iniziali dei progetti IT. Un altro modo per colmare tale divario consiste nell’adottare l’approccio “shift left” nel collaudo del software, dando priorità ai test di sicurezza in una fase molto più precoce del ciclo di sviluppo, anziché aggiungerli a posteriori. Tale approccio incoraggia, se non addirittura richiede, una maggiore collaborazione tra i team di sicurezza e gli sviluppatori.
Patch il bacino di talenti nel settore tecnologico
Secondo il Bureau of Labor Statistics, si prevede che l’occupazione degli analisti e degli ingegneri della sicurezza informatica negli Stati Uniti crescerà del 31% , passando da 2019 a 2029. Tuttavia, il Cybersecurity Group dell’Aspen Institute stima che quest’anno, solo negli Stati Uniti, 500.000 posizioni nel settore della sicurezza informatica rimarranno vacanti. Da un rapporto californiano è emerso che, anche se tutti gli studenti iscritti a un corso di laurea incentrato sull’informatica decidessero di dedicarsi alla sicurezza informatica, ciò non sarebbe sufficiente a coprire tutti i posti di lavoro disponibili nello Stato.
Per colmare il divario di competenze, le aziende devono guardare oltre i laureati dei corsi di laurea quadriennali in ingegneria e informatica. I responsabili della sicurezza informatica e dell’IT invitano i datori di lavoro ad accogliere i lavoratori “ ”“new collar”, ovvero persone che, pur non possedendo costose lauree quadriennali, dispongono delle competenze fondamentali e dell’attitudine naturale necessarie per i lavori nel settore tecnologico oggi più richiesti. Ad esempio, Mastercard ha contribuito alla creazione della Cybersecurity Talent Initiative, una partnership pubblico-privata che inserisce i partecipanti — la maggior parte dei quali sono donne, appartenenti a minoranze o persone che hanno deciso di cambiare professione — in ruoli di livello base nel campo della sicurezza informatica. Dopo due anni, potranno candidarsi per un posto di lavoro presso una delle aziende partner del programma e ricevere un contributo di 75.000 dollari a copertura del prestito studentesco.
Tanium gestisce due programmi di sostegno alla carriera volti a promuovere il talento e la diversità sul posto di lavoro. Ogni anno, l’azienda ospita un gruppo della Society of Women Engineers (SWE), un’organizzazione senza scopo di lucro che si occupa di formazione e servizi, con sede presso l’ , UC Berkeley. Il programma, gestito dalla sede centrale dell' Tanium, offre agli studenti l'opportunità di affiancare gli ingegneri dell' Tanium , ricevere formazione sul posto di lavoro e partecipare a simulazioni di colloqui di programmazione. Oltre all’esperienza pratica e ai contatti che offre agli studenti, il programma fornisce all’ Tanium e prospettive nuove e diversificate — per non parlare dell’entusiasmo — riguardo al settore tecnologico.
In collaborazione con il Dipartimento della Difesa, l’ Tanium gestisce il programma di tirocinio “ ” SkillBridge , che offre ai membri delle forze armate statunitensi un’esperienza lavorativa durante i loro ultimi mesi di servizio attivo. I nuovi assunti seguono una formazione sulla piattaforma “ Tanium” e collaborano con i team e i clienti di “ Tanium”, sperimentando in prima persona un approccio creativo e fuori dagli schemi alla risoluzione dei problemi. Possono partecipare tutti, indipendentemente dal grado, sia i soldati semplici che gli ufficiali.
Si stanno verificando cambiamenti nei settori della diversità, dei partenariati pubblico-privati e delle assunzioni di “new collar”. In questo modo, le aziende miglioreranno le proprie difese in modi ben più efficaci di quanto possa garantire da solo uno strumento tecnologico.
