Un punteggio di rischio informatico indica il livello di esposizione di un’organizzazione alla criminalità informatica e le responsabilità derivanti dalle vulnerabilità informatiche. Consideri i punteggi di rischio informatico come una sorta di punteggio di affidabilità creditizia per la sicurezza informatica. Un rapporto sul punteggio di rischio costituisce uno strumento prezioso per comunicare l’efficacia del programma di gestione delle risorse IT di un’organizzazione, sia a livello interno che esterno.
Le organizzazioni utilizzano i punteggi relativi al rischio informatico per valutare i fornitori e per la gestione interna delle vulnerabilità. Nel settore privato, la valutazione del rischio informatico sta diventando una pratica abituale nell’ambito delle attività commerciali; Dun & Bradstreet ha persino aggiunto alla propria offerta di informazioni aziendali un prodotto denominato “ ” (Valutazione del rischio informatico) Risk Rating .
Il punteggio relativo al rischio informatico di un’azienda può influire su ogni aspetto, dalle opportunità di fusione e acquisizione ai premi assicurativi. Il monitoraggio del proprio punteggio di rischio informatico e la ricerca di soluzioni per migliorarlo sono diventati fondamentali per la sicurezza informatica, nonché un compito essenziale per i responsabili della sicurezza informatica (CISO).
I punteggi relativi ai rischi informatici possono essere espressi in termini numerici, proprio come un punteggio di affidabilità creditizia, oppure possono essere presentati sotto forma di percentuali, dove il 100% rappresenta la completa visibilità su tutte le vulnerabilità di sicurezza informatica dell’organizzazione. Il punteggio indica quale percentuale del rischio è stata mitigata grazie a misure di controllo quali una gestione efficace delle patch , strumenti di monitoraggio e . Ciò che rimane è il rischio accettato, ovvero il livello di rischio residuo che l’organizzazione è disposta a tollerare.
Il livello di rischio accettabile per un’organizzazione dipenderà dal suo budget destinato alla sicurezza informatica, dalla facilità con cui è possibile mitigare le vulnerabilità note e dalla sua tolleranza al rischio.
Come viene calcolato il punteggio di rischio informatico?
Il primo passo per elaborare un punteggio di rischio informatico consiste nel tracciare un quadro dei rischi intrinseci presenti in tutta la Sua organizzazione, assegnando un ordine di priorità alle risorse IT e valutando il fattore di rischio per ciascuna di esse. Tale valutazione dovrebbe includere:
- Dati nel cloud. Il cloud è uno strumento straordinario per i team che hanno bisogno di condividere dati, ma può aumentare il rischio di violazioni dei dati a causa della mancanza di osservabilità.
- Valutazione delle vulnerabilità. Iniziate individuando i potenziali punti deboli dei vostri sistemi.
- Controlli attuali e previsti. Quali misure ha già adottato la Sua organizzazione per la gestione delle vulnerabilità e quali controlli aggiuntivi sono necessari?
- Valore delle attività. È possibile valutare l’importanza di una risorsa di dati in base al ruolo che essa riveste nelle operazioni dell’organizzazione, attribuendo priorità ai dati critici nella pianificazione della sicurezza informatica.
«La valutazione del rischio informatico è un elemento indispensabile, piuttosto che un semplice optional, per le organizzazioni di medie dimensioni e di livello aziendale.»
- Sensibilità dei dati. Un altro parametro per valutare il rischio informatico consiste nel comprendere le conseguenze di una violazione dei dati. I dati soggetti alle norme sulla privacy dei consumatori o ad altri quadri normativi richiedono un livello più elevato di protezione dei dati, poiché il costo di una violazione, sia in termini di sanzioni che di perdita di fiducia da parte del pubblico, può essere elevato.
- Individuazione delle risorse IT. Già prima della pandemia di COVID-19, i confini tra vita lavorativa e vita privata si erano ormai sfumati. Ora che sono sempre più numerose le persone che lavorano da remoto, il numero di endpoint che rappresentano potenziali vulnerabilità in materia di sicurezza informatica è aumentato, mentre è cresciuta anche la difficoltà di individuare le risorse IT. I lavoratori da remoto scaricano spesso software che non è stato verificato dal reparto IT, il che comporta un rischio aggiuntivo. Inoltre, il personale che beneficia di una minore supervisione informatica potrebbe omettere di installare gli aggiornamenti software, lasciando le applicazioni esposte a vulnerabilità critiche. L’individuazione continua delle risorse è fondamentale per l’ , la gestione dell’inventario e la gestione delle patch.
- Analisi delle minacce. La valutazione dell’ecosistema delle minacce comporta lo studio e l’analisi del contesto esterno dei rischi legati alla sicurezza informatica.
Quali sono i vari modelli di riferimento relativi ai rischi di sicurezza informatica?
Un quadro di riferimento per i rischi di sicurezza informatica è l'insieme dei processi e delle linee guida che un'organizzazione ha sviluppato per mitigare i rischi informatici.
I programmi di gestione dei rischi legati alla sicurezza informatica spesso si attengono ai requisiti di uno o più quadri di riferimento per la sicurezza informatica definiti dall’ . Tra i quadri di riferimento più diffusi in materia di sicurezza informatica figurano:
- Istituto Nazionale di Standard e Tecnologia. NIST Ha progettato il proprio framework “ ” ( ) per proteggere le risorse governative di importanza vitale, ma i suoi standard “” per la valutazione del rischio informatico ( ) possono essere applicati a qualsiasi organizzazione.
- Organizzazione internazionale per la normazione. ISO definisce norme internazionali su una vasta gamma di argomenti, tra cui la gestione della sicurezza delle informazioni. La famiglia di norme ISO /IEC 2700 fornisce un quadro di riferimento per la gestione delle vulnerabilità a livello internazionale, fondamentale per le imprese che operano in più paesi.
- Regolamento generale sulla protezione dei dati. Il Regolamento generale sulla protezione dei dati ( ) GDPR è un insieme di norme volte a tutelare i dati personali dei cittadini dell’Unione europea. Poiché le norme si applicano alla raccolta dei dati quando i cittadini dell’UE visitano siti web, indipendentemente dalla sede del titolare del sito, molte organizzazioni in tutto il mondo si attengono agli standard previsti dal “ GDPR ”.
- Legge sulla tutela della privacy dei consumatori della California. La legge californiana sulla privacy dei consumatori “ ” ( ) è simile alla legge “ GDPR ” per quanto riguarda l’obiettivo della protezione dei dati personali e i requisiti relativi al trattamento dei dati. Analogamente alle normative dell’Unione Europea, le disposizioni del “ CCPA” in materia di raccolta dei dati online hanno implicazioni per le imprese al di fuori della California. Un aggiornamento di questa legge entrerà in vigore nel 2023.
- Standard di sicurezza dei dati del settore delle carte di pagamento. Le organizzazioni che intendono elaborare pagamenti con carta di credito devono dimostrare la conformità allo standard DSS ( ) PCI DSS, uno standard elaborato dal settore e concepito per proteggere i dati dei consumatori e prevenire le frodi.
- Legge sulla portabilità e la responsabilità in materia di assicurazione sanitaria. L'HIPAA stabilisce uno standard statunitense in materia di protezione dei dati per le organizzazioni che gestiscono le cartelle cliniche dei pazienti.
- Certificazione del Modello di Maturità in materia di Sicurezza Informatica. CMMC prevede che qualsiasi organizzazione che stipuli un contratto con il Dipartimento della Difesa (DoD) rispetti determinati protocolli di sicurezza informatica al fine di proteggere i dati del DoD lungo l’intera catena di approvvigionamento.
Le aziende che trattano dati sensibili dei consumatori devono spesso attenersi a quadri normativi in materia di rischi di sicurezza informatica specifici per i rispettivi settori. L'elaborazione di una serie di standard interni conformi ai quadri normativi previsti in materia di rischi di sicurezza informatica è fondamentale per la creazione di un piano di gestione dei rischi informatici.
Quali fonti di dati incidono sul Suo punteggio di rischio IT?
La risposta breve è: tutti. Le risorse sconosciute rappresentano un rischio non controllato; pertanto, l’individuazione delle risorse IT è fondamentale ai fini della valutazione del rischio.
Queste sono le principali fonti di dati che influenzeranno il Suo punteggio di rischio informatico:
- Dati nel cloud. Il cloud è uno strumento straordinario per i team che hanno bisogno di condividere dati, ma può aumentare il rischio di violazioni dei dati a causa della mancanza di osservabilità.
- Server. La protezione dei server dell’organizzazione dalle minacce interne ed esterne rappresenta una priorità fondamentale nella gestione del rischio informatico.
- File presenti sui dispositivi dei dipendenti. Il Suo inventario delle risorse IT deve includere i dati di lavoro archiviati su computer portatili, tablet, smartphone e altri dispositivi endpoint che i dipendenti utilizzano per svolgere le proprie mansioni. Ogni endpoint deve essere inventariato e valutato al fine di elaborare un punteggio di rischio informatico completo e accurato.
- Terze parti. I rischi legati a soggetti terzi comprendono il software as a service (SaaS), i dati condivisi con i partner e i fornitori a cui concedete l’accesso al vostro ecosistema IT.
Quali sono i vantaggi della valutazione del rischio informatico?
La valutazione del rischio informatico traduce un insieme di dati complesso in un concetto di facile comprensione. Un punteggio di rischio rappresenta un modo efficace per comunicare il valore delle politiche e delle prassi di controllo dei rischi informatici della vostra organizzazione agli stakeholder esterni e interni.
In un mondo così digitalizzato come il nostro, la valutazione del rischio informatico rappresenta un elemento indispensabile, piuttosto che un semplice optional, per le organizzazioni di medie dimensioni e di livello aziendale. Per citare un esempio, le compagnie assicurative prendono in considerazione i punteggi relativi al rischio informatico per stabilire se un’organizzazione sia assicurabile. Le organizzazioni con livelli di rischio di sicurezza informatica più bassi potranno negoziare tariffe assicurative più convenienti, poiché gli attacchi informatici e le violazioni dei dati comportano costi elevati.
«Le organizzazioni con livelli di rischio di sicurezza informatica più bassi potranno negoziare tariffe assicurative più convenienti, poiché le violazioni comportano costi elevati.»
Anche le politiche della Sua organizzazione in materia di protezione dei dati e di gestione degli incidenti relativi all’ e possono avere un impatto significativo sulle transazioni finanziarie. Questo perché il punteggio relativo al rischio informatico è uno degli indicatori che altre entità prendono in considerazione nel valutare partner e fornitori. Inoltre, una prospettiva sfavorevole in materia di sicurezza informatica può rappresentare un ostacolo durante le trattative di fusione e acquisizione.
Inoltre, i punteggi relativi ai rischi informatici offrono ai CISO uno strumento efficace per comunicare agli altri dirigenti l’importanza dei programmi di mitigazione, quali (monitoraggio delle prestazioni), e (gestione delle configurazioni) . Sebbene i recenti attacchi ransomware di grande risonanza abbiano attirato l’attenzione dei vertici aziendali, comunicare le sfumature della sicurezza informatica a dirigenti molto impegnati rimane una sfida. Un punteggio relativo al rischio informatico fornisce un dato che la direzione può comprendere rapidamente e un indicatore per monitorare il miglioramento dei controlli di sicurezza informatica.
Che cos’è una valutazione dei rischi informatici?
Una valutazione dei rischi informatici consiste in un inventario dei potenziali rischi per la sicurezza informatica, delle misure di controllo volte a gestirli e del rischio residuo non mitigato.
L'approccio migliore per raccogliere i dati necessari al calcolo di un punteggio di rischio informatico è articolato su più fronti. Sia che l’attività venga svolta da un partner di fiducia o avvalendosi delle risorse IT interne, i CISO possono iniziare raccogliendo i pareri dei responsabili di reparto e dei dirigenti in merito ai requisiti e alle prassi in materia di protezione dei dati. Possono inoltre chiedere al personale di redigere un inventario dei dispositivi e degli strumenti che utilizzano per il lavoro. Tuttavia, sebbene tali dati siano essenziali, possono tralasciare informazioni fondamentali per calcolare con precisione il punteggio di rischio informatico.
Senza un inventario completo delle risorse IT ,, , una gestione del software e un piano di analisi delle minacce, non sarà possibile mettere in atto piani adeguati di risposta agli incidenti. L'implementazione di uno strumento per l'individuazione automatizzata delle risorse IT Le offre una maggiore visibilità sulla Sua rete, consentendoLe di elaborare una valutazione precisa del rischio informatico per la Sua organizzazione.
Qual è la differenza tra rischio informatico esterno e interno?
Per rischio informatico esterno si intendono le minacce provenienti dall’esterno della vostra azienda. I rischi esterni comprendono gli attacchi di tipo “distributed denial of service” (DDoS), le violazioni dei dati e il ransomware. Anche la migliore strategia di gestione delle vulnerabilità comporta un certo rischio residuo; pertanto, è fondamentale disporre di un piano di risposta agli incidenti solido. Per la maggior parte dei CISO di oggi, la questione non è se i criminali informatici prenderanno di mira la vostra azienda, ma quando ciò avverrà — e come reagirete.
I rischi informatici interni hanno origine all’interno della vostra organizzazione, presso un fornitore o un partner. Tali vulnerabilità riguardano sia i fattori umani che la sicurezza informatica. Tra le fonti di rischio interno in materia di sicurezza informatica figurano:
- Mancanza di visibilità dell’ endpoint . Il Suo inventario delle risorse IT comprende non solo il software installato sui dispositivi gestiti e controllati dal Suo reparto IT, ma anche le app presenti su tutti gli endpoint che i Suoi dipendenti utilizzano per motivi di lavoro, compresi i dispositivi personali. Un processo di individuazione delle risorse IT solido e continuo rappresenta la strategia migliore per garantire che i dati sensibili non siano presenti su dispositivi non autorizzati privi di adeguati controlli di sicurezza.
- Errore umano. Tra gli errori più comuni commessi dalle persone figurano l’invio di un’e-mail al destinatario sbagliato o la divulgazione di una password a seguito di una truffa di phishing su . I dipendenti dovrebbero essere formati per individuare le e-mail sospette e tenuti a utilizzare password sicure . La formazione risulta più efficace se abbinata all’uso di un software in grado di filtrare e bloccare le comunicazioni dannose.
- Software non autorizzato. Quando un dipendente scarica un software che non è stato verificato dal team del CISO, tale software potrebbe contenere malware. E anche se il software non contiene codice dannoso, può comunque rappresentare un rischio per la sicurezza. Il vostro programma di gestione delle patch non può correggere ciò che non è stato inventariato. La gestione dell'inventario dei software, in particolare sui dispositivi remoti, è fondamentale per ridurre il rischio informatico.
- Sabotaggio interno. Potrebbe risultare difficile immaginare che un dipendente scontento possa divulgare dati sensibili o sferrare un attacco informatico dall’interno, ma il rischio è reale. È possibile ridurre i rischi legati al personale adottando rigorosi protocolli di sicurezza e di gestione dell’ endpoint , nonché attraverso un processo di cessazione del rapporto di lavoro rapido e accurato.
- Attacco alla catena di approvvigionamento. L’attacco informatico alla catena di approvvigionamento di SolarWinds, denominato “ ” ( ), descritto all’indirizzo dicembre 2020 , ha evidenziato la facilità con cui i malintenzionati possono avvalersi di un fornitore di fiducia per ottenere l’accesso non autorizzato ad aziende e agenzie governative. La verifica del punteggio relativo al rischio informatico dei partner esterni rappresenta ormai uno dei primi passi da compiere nell’instaurazione di un rapporto commerciale. Prima di avviare una collaborazione che consenta a un soggetto esterno di accedere ai dati sensibili della Sua organizzazione, è fondamentale assicurarsi che entrambe le parti dispongano di solide politiche di protezione dei dati volte a ridurre le vulnerabilità.
Che cos’è il rischio residuo nel campo della sicurezza informatica?
Il rischio residuo è il rischio che permane dopo l’applicazione dei controlli. Per quantificare il rischio residuo, si inizi con una valutazione accurata del rischio intrinseco, unitamente all’efficacia delle misure di mitigazione del rischio adottate. Ciò che rimane è il rischio residuo. Un programma di individuazione delle risorse IT rappresenta una fase essenziale nell’elaborazione di una valutazione attendibile del rischio residuo.
In che modo la valutazione del rischio può contribuire a prevenire il ransomware?
Il processo di valutazione del rischio informatico La aiuta a prevenire gli attacchi ransomware di tipo “ ” , concretizzando l’impegno della Sua organizzazione in materia di sicurezza informatica. Le organizzazioni che attribuiscono importanza a un punteggio di rischio informatico contenuto prendono sul serio la gestione delle vulnerabilità.
«Per i CISO, la questione non è se i criminali informatici prenderanno di mira la vostra organizzazione, ma quando ciò avverrà e come reagirete.»
La valutazione dei rischi informatici Le offre una visione chiara dei punti di forza e delle debolezze del Suo sistema, consentendoLe di allocare le Sue risorse in modo oculato. Gli attacchi informatici talvolta vanno a buon fine a causa di errori evitabili, quali la mancata installazione degli aggiornamenti software e una gestione inadeguata delle patch. La valutazione del rischio informatico può mettere in luce tali problemi prima che sfociano in una violazione. La valutazione classifica il valore delle vostre risorse IT e le minacce rappresentate dalle vulnerabilità note. Ciò Le fornisce una base fondata su dati concreti per una strategia mirata di prevenzione del ransomware.
Il momento migliore per affrontare le minacce rappresentate dai ransomware è prima che si verifichi un attacco. Risk Il punteggio Le fornisce una tabella di marcia da seguire per la prevenzione del ransomware.
[Leggi anche: Ransomware 101—what : che cos’è e come si previene un attacco?]
In che modo la gestione delle vulnerabilità basata sul rischio semplifica l’IT?
Il Suo reparto IT deve far fronte a numerosi obiettivi in competizione tra loro e la gestione delle vulnerabilità spesso non figura tra le priorità. Un approccio basato sul rischio assegna ai responsabili IT compiti concreti da portare a termine, quali la gestione dell’inventario software, la gestione delle patch e la gestione delle configurazioni.
Un approccio basato sul rischio offre inoltre al reparto IT una visione chiara del proprio ruolo nella gestione delle vulnerabilità, oltre a un indicatore per misurare i progressi compiuti. Ciò consente al Suo reparto IT di partecipare attivamente alla mitigazione dei rischi informatici attraverso compiti ben definiti.
Come è possibile migliorare il proprio punteggio relativo al rischio informatico e mitigare tale rischio?
Una volta che avrà individuato il proprio punteggio di rischio informatico, l’obiettivo successivo sarà quello di migliorare i propri controlli e ridurre il livello di rischio residuo. Ecco alcuni dei passaggi che possono aiutarLa a migliorare il Suo punteggio:
- Attuare un monitoraggio continuo delle prestazioni. Il panorama delle minacce informatiche e le vostre vulnerabilità possono cambiare rapidamente. Pertanto, il Suo punteggio relativo al rischio informatico non può limitarsi a rappresentare semplicemente un’istantanea di un determinato momento. Grazie a uno strumento di monitoraggio delle prestazioni di , potrete ottenere un rapporto accurato e aggiornato in tempo reale sui problemi di sicurezza presenti in uno qualsiasi delle migliaia di endpoint del vostro sistema.
- Dare priorità alla gestione della configurazione. Una configurazione errata delle impostazioni predefinite del sistema può causare diversi tipi di danni, tra cui una maggiore vulnerabilità del sistema agli attacchi degli hacker. Includete controlli periodici sulla gestione della configurazione di sicurezza nell’ambito del vostro piano di mitigazione dei rischi informatici.
- Utilizzate software e strumenti di automazione per ridurre i rischi. L'automazione vi consente di monitorare costantemente il vostro livello di rischio. Fornisce un sistema di allerta precoce sulle potenziali vulnerabilità, consentendovi di essere meglio preparati a mitigare le minacce informatiche emergenti.
- Rendete la sicurezza informatica parte integrante della cultura aziendale. Nelle organizzazioni che dimostrano un solido impegno nella mitigazione dei rischi informatici, i dipendenti entrano a far parte di una cultura aziendale in cui la protezione dei dati è considerata parte integrante delle mansioni di ciascuno. La formazione in materia di sicurezza informatica dovrebbe iniziare già durante il processo di inserimento, con frequenti corsi di aggiornamento e promemoria.
- Si ricorra al controllo “ endpoint ”. Identifichi e protegga tutti i dispositivi che i dipendenti utilizzano per il proprio lavoro.
- Elaborare piani di risposta agli incidenti. Quando si verifica una violazione della sicurezza, una risposta tempestiva all’incidente può mitigare la perdita di dati aziendali e il danno alla reputazione.
In che modo il rischio informatico può essere utilizzato per giustificare la strategia del CISO?
La valutazione del rischio informatico offre ai CISO uno strumento eccellente per quantificare il livello di vulnerabilità del sistema informatico di un’organizzazione. Il punteggio rappresenta uno strumento efficace per comunicare il livello di rischio informatico a un pubblico interno che potrebbe non disporre delle conoscenze tecniche necessarie per cogliere le sfumature di specifici fattori di rischio legati alla sicurezza informatica. Il fatto che i partner esterni facciano affidamento sulla vostra valutazione dei rischi informatici contribuisce a giustificare l’investimento di tempo e denaro necessario per garantire la sicurezza di tale sistema.
Gli indicatori di rischio informatico sono inoltre utili per comunicare l’urgenza della sicurezza informatica all’interno della vostra organizzazione. Un punteggio relativo al rischio informatico può aiutarLa a coinvolgere i responsabili di reparto e il personale nell’impegno volto a ridurre il rischio residuo attraverso il rispetto dei protocolli di sicurezza informatica.
La qualità dei dati che utilizzate per calcolare il vostro punteggio di rischio informatico determina, in ultima analisi, il valore che ne ricavate. La valutazione continua dei rischi richiede un certo impegno, ma le risorse che impiegherete per mitigare i rischi informatici sono minime rispetto al costo della risposta agli incidenti in caso di una grave violazione.
Ulteriori risorse:
Tool Sprawl Threatens Post-Pandemic Security Cyber Hygiene 101 Ultimate Guide to AI Cybersecurity: Benefits, Risks, and Rewards
