Una strategia statale globale per la sicurezza informatica denominata “ ” (si apre in una nuova scheda) riunisce tutti gli enti governativi di uno Stato per collaborare al miglioramento collettivo delle loro capacità in materia di sicurezza informatica. Tale strategia, spesso promossa dall’ufficio del governatore e dal corpo legislativo, consente a tutti gli enti governativi di uno Stato — anche al distretto scolastico o al comune più piccolo — di beneficiare di una formazione più approfondita in materia di sicurezza, di informazioni sulle minacce più tempestive e di strumenti più recenti ed efficaci.
Una strategia di sicurezza informatica a livello statale si articola in tre fasi:
- Governance e definizione delle politiche
- Attuazione
- Convalida
Nella fase di governance e definizione delle politiche del programma “ ” (si apre in una nuova scheda), i responsabili dei settori IT e della sicurezza provenienti da tutto lo Stato si riuniscono per adottare quadri di riferimento in materia di sicurezza e definire politiche e migliori pratiche. Nella fase di implementazione del programma “ ” (si apre in una nuova scheda), vengono offerti corsi di formazione e messi a disposizione strumenti che consentono agli enti pubblici di qualsiasi dimensione di attuare tali politiche.
Ho trattato queste due fasi in alcuni post precedenti del blog. Nel post del blog di oggi mi concentrerò sulla fase di convalida, in cui i team a livello statale analizzano e convalidano il proprio lavoro in materia di sicurezza informatica in qualsiasi momento. In questa fase, i gruppi di lavoro di tutto lo Stato affrontano questioni quali:
- Come possiamo sapere se gli strumenti e le procedure di sicurezza che abbiamo adottato stanno effettivamente migliorando le nostre difese in materia di sicurezza informatica?
- Quali aspetti del nostro programma di sicurezza informatica funzionano bene e quali no?
- A quali attività e investimenti si dovrebbe dare la priorità in futuro?
- Esistono organizzazioni specifiche che hanno urgente bisogno di aiuto? In tal caso, in che modo le altre organizzazioni potrebbero aiutarle?
Di seguito sono riportati alcuni consigli per garantire il successo della fase di convalida.
La collaborazione continua ad avere la sua importanza
La prima cosa da sapere riguardo alla fase di convalida di una strategia a livello statale è che le relazioni e la fiducia che i team hanno instaurato nelle fasi precedenti di tale strategia continuano ad avere la loro importanza anche in questa fase. In realtà, sono indispensabili.
La convalida consiste nel condividere informazioni e nell’aiutare lo Stato nel suo complesso a stabilire le priorità tra le questioni che richiedono maggiore attenzione. Questo lavoro richiede collaborazione, sia all’interno dei singoli enti governativi sia tra tutti gli enti che partecipano al programma a livello statale. Ed è proprio in questa fase che i frutti di tale collaborazione diventano evidenti, poiché è proprio attraverso la validazione che si può realmente constatare che l’intero team sta compiendo progressi.
Concentrarsi sugli obiettivi e sui risultati
Per valutare nel complesso il programma di sicurezza informatica a livello statale, i responsabili devono stabilire quali obiettivi e indicatori ritengono rilevanti e garantire che tali obiettivi e indicatori vengano monitorati. È probabile che abbiano già individuato tali obiettivi nelle fasi di elaborazione e attuazione delle politiche. In effetti, tali obiettivi hanno probabilmente influenzato le decisioni relative alle esigenze di bilancio, alla scelta degli strumenti e ad altri aspetti.
Nel mio post sul blog dedicato alla fase di attuazione, ho raccomandato di stilare una lista delle “venti principali” metriche o obiettivi su cui le entità dovrebbero concentrarsi, in particolare nel primo o nei primi due anni dell’iniziativa a livello statale. Sicuramente vorrà monitorare quelle “venti principali” metriche o obiettivi nella fase di convalida.
Idealmente, gli obiettivi e gli indicatori da voi selezionati dovrebbero fornire una misura significativa dei progressi compiuti nel tempo. Monitorando questi indicatori, i dirigenti e le parti interessate dovrebbero essere in grado di stabilire se il livello di sicurezza informatica dello Stato nel suo complesso stia migliorando o peggiorando. Se gli indicatori che state monitorando mostrano un miglioramento, ma gli enti pubblici subiscono un numero di attacchi informatici mai visto prima, è giunto il momento di riesaminare i vostri dati e selezionare indicatori più significativi.
Una volta selezionati gli indicatori e gli obiettivi, sarà necessario stabilire dei valori di riferimento, soprattutto all’inizio del progetto. Chieda:
- Quali sono i risultati tipici di questi indicatori nelle organizzazioni che partecipano al programma a livello statale?
- Qual è il punto di riferimento che intendiamo stabilire come base di partenza per i miglioramenti?
Nel complesso, tutti i team IT e di sicurezza dello Stato stanno lavorando con un’enorme quantità di dati, che spaziano dagli indirizzi di rete, agli inventari dei dispositivi, allo stato delle patch e alle scansioni antivirus, fino ai framework di sicurezza, agli elenchi delle vulnerabilità e ai feed di intelligence sulle minacce. Per monitorare e verificare gli obiettivi e gli indicatori, è necessario stabilire quali dati si intende raccogliere e in che modo.
E una volta raccolti questi dati, dovrete capire come presentarli. Passiamo ora ad esaminare la rendicontazione.
Stabilire tre livelli gerarchici
Per verificare l’efficacia dell’attuazione degli strumenti e delle pratiche adottati nell’ambito di una politica di sicurezza informatica a livello statale, a partire dal lavoro dei tecnici informatici nelle organizzazioni di tutto lo Stato fino ai responsabili di team che operano, molto probabilmente, in collaborazione con l’ufficio del governatore e il corpo legislativo, sono necessari tre livelli di rendicontazione:
- Documentazione tecnica
- Reportistica a livello dirigenziale
- Reportistica a livello aziendale
Documentazione tecnica
Si tratta del livello più basilare di reportistica, che fornisce informazioni su ciò che accade sulle reti e sui dispositivi. Gli analisti del Security Operations Center (SOC), i responsabili di rete, gli amministratori di sistema e altri specialisti tecnici si avvalgono quotidianamente di questi report per comprendere lo stato delle proprie reti e delle risorse IT e per stabilire se vi siano aspetti che richiedono un intervento tempestivo.
Le informazioni ricavate da questo livello di rendicontazione dovrebbero essere utilizzabili a fini operativi. Ad esempio, dovrebbe essere in grado di fornire report relativi all’inventario dei dispositivi, allo stato delle patch, allo stato delle minacce e così via. Se c'è qualcosa da correggere, dovrebbe risultare in questo livello di rendicontazione. E una volta risolto il problema, tale modifica di stato dovrebbe apparire anche qui.
I rapporti tecnici dovrebbero fornire dati utili per valutare lo stato di avanzamento di ciascuno dei principali obiettivi di sicurezza previsti dalla strategia a livello statale. Se un obiettivo di sicurezza non è misurabile, sono necessari nuovi strumenti e mezzi di valutazione.
Reportistica a livello dirigenziale
Il livello successivo è quello della rendicontazione a livello dirigenziale. Il presente rapporto offre una visione d’insieme delle prestazioni di un determinato ente pubblico in materia di sicurezza informatica. Questo livello riassume i dettagli riportati nel livello di rendicontazione tecnica. Fornisce approfondimenti concisi sullo stato generale della sicurezza in un linguaggio comprensibile sia ai dirigenti con competenze tecniche che a quelli senza.
Quando ho collaborato con lo Stato dell’Arizona alla definizione della loro strategia di sicurezza informatica a livello statale, abbiamo ritenuto utile utilizzare una rappresentazione grafica con i colori verde, giallo e rosso per questo tipo di rendicontazione. Un dirigente dovrebbe essere in grado, dando una rapida occhiata a questo tipo di rapporto, di individuare immediatamente quali aree procedono secondo i piani (verde), quali sono potenzialmente preoccupanti a causa di qualche tipo di carenza (giallo) e quali richiedono un intervento immediato (rosso).
I responsabili IT e i dirigenti possono avvalersi di questo livello di reportistica per:
- Chieda al team IT di occuparsi delle questioni che richiedono maggiore attenzione.
- Si assicuri che le risorse siano assegnate in modo adeguato.
- Condividano le proprie riflessioni ed esperienze con i colleghi di altri enti pubblici.
- Contribuisca alla realizzazione di questa analisi per aiutare il team a livello statale a produrre un’analisi di altissimo livello — un’analisi a livello aziendale.
Reportistica a livello aziendale
La rendicontazione a livello aziendale aggrega e sintetizza i rapporti destinati ai vertici dirigenziali di tutti gli enti pubblici dello Stato. Tale rendicontazione consente al governatore, al corpo legislativo e a tutti i membri del team coinvolti nell’iniziativa a livello statale di comprendere il grado di preparazione informatica dello Stato nel suo complesso. Raccoglie tutti i rapporti di livello dirigenziale generati dalle entità presenti in tutto lo Stato e li sintetizza in modo utile.
Proprio come nel caso dei report a livello dirigenziale, anche i report a livello aziendale dovrebbero avvalersi di dati concreti senza perdersi nei dettagli. Dovrebbe trasmettere informazioni importanti in modo semplice e chiaro, al fine di garantirne la comprensibilità da parte dei dirigenti governativi responsabili di un vasto numero di questioni amministrative, non solo della sicurezza informatica.
Raccomando di continuare ad adottare lo schema di segnalazione basato sul sistema a semaforo che ho descritto in precedenza, utilizzando simboli grafici verdi/gialli/rossi per comunicare rapidamente cosa sta andando bene e cosa richiede attenzione, magari anche urgente.
Grazie a questo livello di rendicontazione, i dirigenti dovrebbero essere in grado di comprendere il grado di preparazione al rischio di ciascun ente pubblico. Tale rendicontazione potrebbe mettere in luce aree di rischio che in precedenza erano state trascurate.
La presente relazione svolge diverse funzioni importanti:
- Approfondimenti esaustivi
Il documento offre ai leader governativi una visione completa dello stato della sicurezza informatica dello Stato (ovvero la resilienza complessiva dei suoi strumenti e delle sue pratiche in materia di sicurezza informatica). È molto probabile che questi dirigenti non abbiano mai avuto a disposizione prima d’ora una rendicontazione così completa. - Informazioni utili
Consente ai dirigenti di individuare quali iniziative stanno dando buoni risultati e quali potrebbero richiedere maggiore attenzione. Tali iniziative potrebbero riguardare determinati tipi di minacce che interessano tutte le organizzazioni, oppure potrebbero riguardare problemi specifici che alcune organizzazioni stanno affrontando. Ad esempio, il rapporto potrebbe evidenziare che le scuole primarie e secondarie stanno incontrando difficoltà nell’attuare misure di rilevamento delle minacce. Il team interorganizzativo potrà quindi decidere quale sia il modo migliore per affrontare la questione. - Motivazioni per il finanziamento
L’analisi comparativa e la dimostrazione dei progressi compiuti dovrebbero aiutare i partecipanti a livello statale a giustificare il finanziamento da parte dello Stato e, potenzialmente, da parte delle risorse federali.
Si raccomanda di adottare un sistema di rendicontazione continua, anziché ricorrere a verifiche una tantum
Potreste considerare la rendicontazione e la convalida come una sorta di revisione contabile. Tuttavia, un audit riflette lo stato della vostra sicurezza informatica in un determinato momento. Tale situazione potrebbe cambiare da un momento all’altro, nel momento in cui un dispositivo infetto si connetta alla rete, venga resa nota una nuova vulnerabilità di sicurezza o si riscontri in ambiente reale un nuovo tipo di attacco zero-day.
Per fornire un quadro realmente accurato dello stato di sicurezza informatica di qualsiasi ente pubblico, è necessario un monitoraggio e un’analisi continui e in tempo reale. Questo tipo di analisi è possibile solo grazie all’automazione. Gli strumenti di sicurezza informatica dovrebbero essere in grado di raccogliere e comunicare i dati in modo continuo e automatico, anziché richiedere un intervento manuale da parte dei tecnici informatici che comporta un notevole dispendio di tempo.
Grazie al monitoraggio e alla rendicontazione continui, i team a ogni livello possono consultare i dati più recenti senza che sia necessario ricorrere a una task force dedicata per raccogliere le metriche settimanali o mensili. I dati potrebbero essere condivisi con cadenza settimanale o mensile, ma, indipendentemente dalla frequenza di condivisione, essi sono sempre aggiornati e forniscono un quadro accurato dei punti di forza e di debolezza attuali in materia di sicurezza informatica.
Si consideri la gamification
Il team statale per la sicurezza informatica potrebbe prendere in considerazione l’idea di introdurre elementi ludici nella rendicontazione, incoraggiando uno spirito di competizione amichevole tra i vari enti governativi nel perseguimento dei propri obiettivi in materia di sicurezza informatica. I responsabili dei team potrebbero assegnare distintivi o altri riconoscimenti per i risultati ottenuti, quali il raggiungimento di una determinata serie di obiettivi o il primato in una categoria come la copertura delle patch.
È stato dimostrato che la gamification migliora la motivazione e il coinvolgimento dei dipendenti (si apre in una nuova scheda) nella formazione in materia di sicurezza informatica. Probabilmente potrà essere d’aiuto anche agli Stati nell’ambito dei loro programmi di sicurezza informatica a livello statale.
L'importanza della visibilità ai fini della riduzione dei rischi
Nella sicurezza informatica, la visibilità è fondamentale. Non è possibile proteggere qualcosa se non la si vede. Non è possibile risolvere un problema se non si è consapevoli della sua esistenza.
Man mano che le capacità di reporting del team a livello statale si consolideranno e Lei avrà una maggiore visibilità sul Suo stato di sicurezza e sulle Sue operazioni, alcuni aspetti Le appariranno evidenti. Scoprirete quali prodotti funzionano efficacemente e quali no. Potreste inoltre scoprire alcuni prodotti che risultano superflui o che vengono utilizzati pochissimo.
Reporting offre la visibilità necessaria per ottimizzare la scelta degli strumenti e la strategia di acquisto. Aiutandovi a scegliere gli strumenti giusti, la reportistica contribuisce a rendere più efficaci i vostri investimenti complessivi nella sicurezza informatica.
In definitiva, un programma di sicurezza informatica a livello statale mira alla riduzione dei rischi. Reporting consente di individuare i rischi, adottare misure correttive e dimostrare il valore di tale lavoro a tutti coloro che ne sono coinvolti.
Maggiori informazioni
Le minacce alla sicurezza informatica continuano ad aumentare in termini di frequenza e sofisticazione. Fortunatamente, anche gli enti pubblici di piccole dimensioni possono migliorare le proprie pratiche di sicurezza partecipando a una strategia di sicurezza informatica a livello statale. Attraverso l’attuazione di queste strategie di ampio respiro e inclusive, gli Stati possono garantire che ogni ente pubblico presente sul proprio territorio disponga della migliore formazione, degli strumenti e delle conoscenze disponibili per proteggere i propri dati e le proprie infrastrutture e per portare avanti le proprie missioni.
Per scoprire in che modo la piattaforma Tanium Converged Endpoint Management (si apre in una nuova scheda) possa aiutare la Sua organizzazione o il Suo Stato a sviluppare una strategia di sicurezza informatica ben consolidata, La preghiamo di contattarci.
