Il lavoro ibrido si è rapidamente evoluto da misura provvisoria a pratica diffusa. Secondo un e di McKinsey (si apre in una nuova scheda), oltre la metà (58%) degli americani dichiara ora di avere la possibilità di lavorare da casa almeno un giorno alla settimana. Ma vi sono delle difficoltà. È più difficile tenere traccia dei dispositivi all’interno di reti altamente distribuite e di ambienti cloud. Molti rimangono senza patch o sono configurati in modo errato, ampliando così la superficie di attacco.
Recentemente ho avuto un colloquio con Barbara Call, di CIO, per illustrare le sfide che i CIO devono affrontare e spiegare perché la “cyber igiene” sia una disciplina fondamentale.
Al buio
È un periodo difficile per i CIO, sia che gestiscano reti del settore pubblico sia del settore privato. Oggi i lavoratori da remoto potrebbero voler accedere al sistema da qualsiasi luogo e con qualsiasi dispositivo. Come si fa a sapere se quell’utente è davvero chi dice di essere? Oppure, qualora utilizzassero un endpoint correttamente aggiornato e configurato? Man mano che l’ambiente IT si espande in questo modo, diventa più importante che mai ottenere una visibilità completa su questi endpoint. E poiché le politiche e le procedure si evolvono di conseguenza, è fondamentale mettere ordine nella governance aziendale.
La posta in gioco non potrebbe essere più alta. Ransomware, violazioni dei dati e un'ondata travolgente di rischi finanziari e reputazionali minacciano di travolgere i responsabili IT. Tuttavia, in molti casi, le organizzazioni faticano a reperire i professionisti della sicurezza informatica di cui hanno bisogno per ricevere assistenza. La sfida è aggravata dall’utilizzo di strumenti disgiunti e isolati, il che accentua le lacune di visibilità e rende la “cyberigiene” poco più che un’utopia. Gli strumenti devono essere standardizzati e consolidati, nonché progettati per mettere in luce tali lacune di visibilità attraverso dati in tempo reale e utilizzabili. Qualsiasi misura inferiore lascerà all’oscuro i team addetti alle operazioni IT, alla sicurezza e alla gestione degli incidenti.
Metterlo in pratica
Avendo ricoperto per tre decenni il ruolo di dirigente di alto livello nel settore IT pubblico, mi sono occupato in prima persona di risolvere queste sfide. In qualità di CIO della contea di San Joaquin, in California, ho elaborato un piano triennale di trasformazione a livello dell’intera organizzazione. Si è iniziato con la visibilità e la gestione delle risorse, concentrandosi poi sull’analisi continua delle vulnerabilità, sulla loro correzione e sulla gestione degli incidenti di sicurezza, al fine di gestire il rischio in modo continuativo. Inoltre, è stato fondamentale definire un approccio comune in materia di sicurezza per favorire una migliore comunicazione tra i vertici aziendali.
Parte di questo processo di standardizzazione ha riguardato il consolidamento dei nostri strumenti informatici e di sicurezza, riducendone il numero da 20 a circa sei. I conseguenti miglioramenti in termini di visibilità e controllo non solo hanno potenziato le iniziative di gestione dei rischi informatici, ma hanno anche consentito di ottenere risparmi sui costi, mettendo in evidenza le licenze software inutilizzate di cui era possibile fare a meno.
Tutto inizia con la "cyberigiene"
Da dove dovrebbero quindi iniziare i CIO? Una buona governance aziendale è davvero fondamentale: occorre mettere in atto quel quadro di riferimento per poter prendere decisioni efficaci in materia di sicurezza informatica. Una soluzione “single pane of glass” per la gestione della sicurezza a livello aziendale renderà tutto questo molto più semplice, oltre a garantire un monitoraggio in tempo reale per una visibilità completa dell’ endpoint e e il controllo necessario per intervenire qualora qualcosa non funzioni correttamente.
Grazie a questa infrastruttura, i CIO possono finalmente iniziare a migliorare la propria "cyber igiene" (si apre in una nuova scheda), concentrandosi su:
- Asset Analisi finalizzata a una maggiore sensibilizzazione in materia di sicurezza e al recupero del software
- Identificazione delle vulnerabilità al fine di ridurre al minimo la superficie di attacco
- Coerenza delle configurazioni per ridurre le anomalie e il rischio informatico
- Patch efficienza su tutte le piattaforme, in modo da non lasciare alcuna falla che i malintenzionati possano sfruttare
- Gestione dell'utilizzo delle licenze in modo che solo gli utenti autenticati possano accedervi
- Individuare e risolvere rapidamente gli incidenti per mitigare i rischi
- Misurazione e gestione continua dei rischi al fine di soddisfare i requisiti assicurativi
L’igiene informatica costituisce davvero il fondamento di una sicurezza e di una gestione dei sistemi efficaci. Prendendo questo come punto di riferimento, i CIO possono tracciare un percorso che consenta all’organizzazione di diventare un’entità a basso rischio.
Potete approfondire come gettare tali basi nel nostro eBook * : The Ultimate Guide to Cyber Hygiene* (si apre in una nuova scheda).
