La resilienza informatica comprende la capacità di un’organizzazione di garantire la continuità delle operazioni e di riprendersi da attacchi, calamità naturali e altri eventi informatici. Un piano di resilienza informatica integra i concetti di sicurezza informatica, tecnologia dell’informazione e continuità operativa al fine di proteggere i sistemi informativi mission-critical e i componenti da essi dipendenti.
Il miglioramento della resilienza aiuta le organizzazioni a prepararsi e ad anticipare potenziali attacchi, quali violazioni dei dati e altre interruzioni dell’attività, al fine di garantire che i sistemi, i processi e le infrastrutture siano solidi e adattabili. Comprende inoltre le misure di ripristino volte a mitigare le conseguenze negative, quali i tempi di inattività, il danno alla reputazione e le perdite finanziarie.
Forse si starà chiedendo: ma non si tratta semplicemente di descrivere le iniziative di un’organizzazione in materia di sicurezza informatica? Sì e no. Quando si parla di sicurezza informatica, i termini che utilizziamo assumono un’importanza sempre maggiore. Spesso costituiscono una scorciatoia per spiegare problemi complessi.
“Due termini che vengono spesso utilizzati in modo intercambiabile sono “sicurezza informatica” e “resilienza informatica”. Tuttavia, tale distinzione assumerà un’importanza sempre maggiore nel corso del 2024 e oltre.”Forbes1
All’inizio della mia carriera, ho trascorso un’ora piuttosto tesa durante una riunione sui requisiti di un progetto. Tuttavia, una semplice domanda ha contribuito a dissipare tutta la tensione: «Cosa intende con “X”?» Ebbene, è emerso che i due gruppi attribuivano definizioni diverse alla stessa parola e utilizzavano termini diversi per indicare ciò a cui si riferiva l’altro gruppo. Quell’esperienza e quella domanda mi sono state di grande utilità, soprattutto quando si tratta di discutere questioni relative all’attuale panorama delle minacce, in cui il significato dei termini cambia continuamente.
Ora, ci sono alcune parole ed espressioni che cerco di evitare di utilizzare, come “” (caccia alle minacce) o “” (Zero Trust). Se devo utilizzarli, inizio sempre spiegando cosa significhi quel termine per l’interlocutore, al fine di evitare confusione.
Mi è venuto in mente che “resilienza informatica” sta diventando una di quelle espressioni che necessitano di una definizione. In questo articolo illustrerò il concetto di resilienza informatica, le sue componenti principali e la sua importanza. Illustrerò inoltre in che modo le organizzazioni possano contribuire a migliorare la propria resilienza informatica ponendosi cinque domande fondamentali. Concluderò quindi il post sottolineando come l’utilizzo dei dati in tempo reale dell’ endpoint , centralizzati in un’unica piattaforma, sia essenziale per allineare i team utilizzando un’unica fonte di verità.
Definizione di resilienza informatica
Quando parlo di resilienza informatica, mi riferisco alla capacità di un’organizzazione di continuare a perseguire i propri obiettivi nonostante un attacco informatico devastante. Francamente, la resilienza informatica ha più punti in comune con la strategia di ripristino in caso di disastri che con il rilevamento degli incidenti.
La resilienza informatica implica la comprensione dei propri processi aziendali critici e delle apparecchiature che li supportano. Ciò comporta conoscere quali macchine sono presenti nel proprio ambiente e quali strumenti sono necessari sia per i processi aziendali che per la propria infrastruttura di sicurezza informatica, ad esempio individuandone l’ubicazione e individuando le lacune presenti nella propria infrastruttura di sicurezza informatica.
«Le misure di resilienza sono concepite per garantire la continuità operativa anche a seguito di una violazione riuscita. Sviluppare la capacità di ripristinare il funzionamento in modo agile, riducendo al minimo la perdita di dati e i tempi di inattività, costituirà una priorità strategica nel 2024.”Forbes1
Approfondiamo gli elementi chiave di un piano efficace di resilienza informatica. Questi elementi sono fondamentali per garantire che un’organizzazione sia in grado di resistere alle minacce informatiche e di riprendersi rapidamente.
Elementi chiave della pianificazione della resilienza informatica
A mio avviso, diversi elementi essenziali di un piano di resilienza informatica non garantiscono la resilienza del sistema se utilizzati separatamente.
- Piano di risposta agli incidenti: Ogni organizzazione dovrebbe disporre di un piano per la risoluzione dei problemi in caso di violazione della sicurezza. Ad esempio, chi occorre contattare e quando. Se il referente principale è una persona, chi è il sostituto designato nel caso in cui questa non sia disponibile? Qualora si ricorra a un soggetto esterno per l’intervento di bonifica, chi lo contatta e in che modo? Quali sono gli obblighi di segnalazione previsti in caso di violazione? Chi è responsabile di stabilire se sia stata raggiunta la soglia che comporta l’obbligo di segnalazione e chi provvede effettivamente alla segnalazione? Se l’incidente non raggiunge la soglia di una violazione, quali misure occorre adottare e chi occorre informare?
- Difesa a più livelli: Disporre di più livelli di sicurezza è fondamentale per la vostra resilienza. Se si prendono in considerazione solo i dati di un singolo endpoint, non si riescono a individuare gli aspetti relativi ai dati della propria rete o alle anomalie nell’utilizzo dell’account. La sovrapposizione delle funzionalità garantisce che, qualora un tipo di rilevamento fallisca o venga disattivato, un malintenzionato non possa muoversi liberamente all’interno del Suo ambiente informatico.
- Elenchi delle risorse critiche: Comprendere la criticità delle risorse presenti nel proprio ambiente è una conoscenza fondamentale per tutti coloro che sono coinvolti nella loro protezione. Qualora vi siano sistemi che richiedono un failover prima di essere messi in quarantena, tale informazione è necessaria per chiunque possa intervenire sulla macchina. I difensori potrebbero causare accidentalmente danni all’azienda nel corso delle attività quotidiane, qualora ciò non fosse noto in anticipo.
- Monitoraggio e rilevamento continui: Il monitoraggio del proprio ambiente per individuare eventuali attività dannose è fondamentale. Non si tratta semplicemente di un monitoraggio di “ ” tramite il Suo EDR, sebbene ciò ne costituisca una parte. Comprendere cosa è normale nel proprio ambiente e individuare eventuali variazioni rispetto a tale situazione di riferimento può rappresentare un approccio fondamentale. Ad esempio, l’analisi dei processi avviati automaticamente e dello stato dei servizi può rivelare attività dannose che sfuggono al Suo EDR. Inoltre, è importante comprendere dove si trovano i vostri dati critici e dove dovrebbero trovarsi. È possibile evitare un numero sempre maggiore di minacce adottando piani di protezione dei dati e assicurandosi di sapere chi ha accesso ai propri dati e come vengono utilizzati.
- Risk Direzione: . È fondamentale comprendere i rischi a cui siete esposti. Ciò comprende non solo la natura del rischio, ma anche il modo in cui decide di affrontarlo. Alcuni rischi saranno mitigati, ma altri dovranno essere accettati o compensati. È proprio in questo ambito che i controlli di conformità, la gestione delle patch e le analisi delle vulnerabilità risultano fondamentali per comprendere il rischio a cui è esposto.
- Piano di backup e ripristino: Il backup dei dati è fondamentale. Tuttavia, disporre di un backup non è sufficiente; un piano di ripristino è altrettanto importante. Tale piano dovrebbe illustrare in che modo intendete ripristinare i dati e garantire che i sistemi che si basano su tali dati siano operativi e protetti.
- Posizionamento dello stack di sicurezza: Non tutti gli strumenti saranno presenti in ogni area della vostra azienda. Potrebbero esistere sistemi OT in cui non sia possibile implementare i Suoi strumenti di sicurezza. Non è possibile distribuire gli strumenti sugli appliance. I container leggeri e “di breve durata” e i dispositivi IoT potrebbero non essere in grado di integrare lo stack di sicurezza. Comprendere quali elementi della vostra infrastruttura di sicurezza siano carenti è fondamentale per il vostro team di sicurezza, poiché deve ovviare alla mancanza di strumenti su tali dispositivi.
- Test: Naturalmente, lo sviluppo di processi e procedure non è sufficiente. Tali procedure devono essere testate e convalidate periodicamente per garantire che funzionino in caso di crisi e contribuiscano alla resilienza informatica di un’organizzazione.
Sebbene la progettazione di un sistema realmente resiliente alle minacce informatiche possa spesso sembrare un compito quasi impossibile, riflettere su ciò che è necessario per una strategia di resilienza informatica e sulle misure da adottare per aumentare tale resilienza rimane comunque utile per migliorare il livello complessivo di sicurezza e la difesa contro le minacce informatiche.
Perché la resilienza informatica è importante?
Maggiore è la resilienza di un sistema, minore sarà, in media, il tempo di inattività causato da un attacco. Tuttavia, il fatto che un sistema debba essere messo fuori servizio non significa che non possieda alcuna resilienza.
Anche se non è possibile mantenere operativi i sistemi critici durante un incidente, è comunque possibile ridurne i tempi di inattività sapendo in cosa consiste il processo e cosa è necessario per portarlo a termine. In questo modo, potrete stabilire le priorità delle vostre difese e individuare eventuali lacune.
È possibile aumentare la resilienza del proprio sistema in molti modi; tra gli esempi figurano la riduzione della vulnerabilità agli attacchi, della superficie di attacco, della capacità di un aggressore di tipo “ ” di muoversi lateralmente, del tempo necessario per Detect un’intrusione e del tempo necessario per rispondere a un’intrusione.
[Legga anche: Perché la resilienza informatica può trarre vantaggio da una strategia “left-of-bang”]
Affinché un piano di resilienza informatica sia efficace, è necessario disporre di una solida comprensione del proprio ambiente, del modo in cui esso influisce sui processi aziendali e della capacità dell’organizzazione di garantire la continuità operativa.
In che modo un’organizzazione può migliorare la propria resilienza informatica?
Tenendo presenti questi obiettivi, da dove si comincia? Potete iniziare ponendovi e affrontando queste cinque domande fondamentali per migliorare la vostra strategia di resilienza informatica:
- Quali sono i Suoi processi aziendali fondamentali? In generale, si tratta dei processi che generano ricavi e il cui fermo, anche solo per un breve periodo, comprometterà le operazioni aziendali e comporterà perdite finanziarie. Quali infrastrutture e sistemi critici supportano l’esecuzione di tali processi? Quali processi aziendali critici ne risentirebbero qualora si verificasse un’interruzione di questi sistemi?
- Si avvalete di servizi esterni che forniscono funzionalità fondamentali, quali l’autenticazione o un sistema di gestione delle identità e degli accessi (IAM) ? Ad esempio, se il vostro sistema IAM fa parte di un servizio ospitato esternamente, cosa accade qualora diventasse irraggiungibile? Sebbene i vostri processi possano continuare a funzionare senza un sistema IAM o un server di passaggio, l’accesso a tali sistemi e la generazione di report relativi agli stessi potrebbero richiederne la presenza.
- Quali sistemi sono intrinsecamente privi di resilienza? Un sistema non è resiliente se i processi critici vengono eseguiti su hardware vecchio di 40 anni che non è possibile sostituire.
- Chi sono i vostri utenti critici? Se fosse necessario disattivare un utente critico o un account di servizio, quali sarebbero le conseguenze?
- Se un processo aziendale deve essere migrato in un nuovo ambiente, quali azioni occorre intraprendere per raggiungere tale obiettivo? Ciò comporta comprendere quali processi, software e account siano necessari e stabilire in che modo misurare il successo.
[Legga anche: Le migliori pratiche per rafforzare la resilienza dei sistemi IT]
«: il 80% delle aziende si dichiara da moderatamente a molto fiducioso nella propria capacità di mantenere la resilienza in questo panorama della sicurezza informatica in continua evoluzione. Sebbene tale cifra sia in calo rispetto allo scorso anno, essa evidenzia tuttavia un divario che suggerisce come le aziende possano riporre una fiducia mal riposta nella propria capacità di gestire il panorama delle minacce e non stiano valutando adeguatamente la reale portata delle sfide che devono affrontare.”Indice di preparazione alla sicurezza informatica 2024 di Cisco
Rafforzare la resilienza dei processi informatici può sembrare un compito arduo, ma i vantaggi derivanti dall’identificazione dei propri sistemi e processi critici sono enormi. Ciò può influire sugli aspetti da monitorare e sulle modalità di monitoraggio, compreso il Suo piano di risposta agli incidenti, e migliorare la Sua capacità di difendersi in modo proattivo dagli attacchi informatici.
Perché le organizzazioni resilienti necessitano di una visibilità in tempo reale sull’ endpoint
Come la maggior parte delle iniziative nel campo della sicurezza informatica, il miglioramento della propria resilienza informatica inizia con una migliore comprensione dell’intero ecosistema. Perché? Adottare misure volte ad approfondire la comprensione del proprio sistema e riflettere attentamente sul quadro di riferimento relativo alla resilienza informatica della propria organizzazione prima che si verifichi un incidente può consentire di attuare piani di mitigazione e ripristino volti a ridurre i tempi di inattività, l’incertezza e il panico che spesso si manifestano durante un incidente.
Ottenendo una visibilità più completa e approfondita su tutti i propri endpoint in tempo reale, le organizzazioni possono determinare rapidamente:
- Quali strumenti sono installati sui vostri endpoint e a quale scopo servono?
- Quali componenti del Suo stack di sicurezza sono presenti su ciascun dispositivo e dove si trovano all’interno del Suo ambiente?
- Esistono parti dell’ambiente in cui non dispone di visibilità e controllo e che potrebbero compromettere la Sua capacità di aggiornare e proteggere gli endpoint?
Non è possibile rendere un sistema resiliente né dare priorità al suo ripristino a seguito di un incidente informatico se non si dispone di una visione d’insieme dello stesso. Senza visibilità, non è possibile controllare né influenzare il cambiamento. Pertanto, è fondamentale sapere in quali ambiti la vostra visibilità è forte e in quali invece è carente.
In che modo “ Tanium ” contribuisce a migliorare la resilienza informatica
La resilienza non è una questione di tutto o niente. Non ho mai visto un sistema completamente resiliente dal punto di vista informatico in grado di mantenere la piena funzionalità mentre è sotto attacco. È invece utile considerare la resilienza informatica come un obiettivo a cui aspirare, e il suo valore emerge quando le organizzazioni adottano misure per cercare di raggiungerla.
La piattaforma Tanium offre le funzionalità necessarie per attuare una strategia di resilienza informatica praticamente a ogni livello. Comprendere il proprio ambiente è il punto di partenza di qualsiasi strategia di resilienza informatica. È possibile ottenere in pochi secondi una risposta a domande quali: quanti endpoint hanno installato oggi un determinato software? Altrettanto semplice è modificare lo stato del proprio ambiente. Ad esempio, impostare il valore di una chiave di registro su ogni computer su cui è installato il software diventa un’operazione semplice. Inoltre, diventa molto più semplice identificare i dispositivi che non dispongono del vostro stack di sicurezza, compreso Tanium.
È possibile ridurre rapidamente i tempi necessari per risolvere un incidente e, successivamente, utilizzare i risultati emersi durante l’indagine per sviluppare e implementare nuovi meccanismi di rilevamento, al fine di impedire il ripetersi del problema. Ciò sfrutta le funzionalità di Tanium per raccogliere rapidamente i dati, consentendo l’analisi dei dati di sistema in tempo reale al fine di comprendere la composizione del Suo ambiente e la distribuzione di sia in formati specifici per Taniumche in formati standard di intelligence sulle minacce, quali le regole YARA e gli IOC. Inoltre, la modifica dello stato dei vostri endpoint consente un rapido isolamento e una rapida risoluzione dei problemi relativi agli endpoint interessati.
Altre funzionalità fondamentali contribuiscono a migliorare il Suo profilo di rischio, tra cui quelle relative all’applicazione delle patch e alla distribuzione del software, volte a garantire che il Suo software sia il più aggiornato possibile. Anche le funzionalità di verifica delle vulnerabilità e della conformità sono fondamentali per comprendere quali siano i rischi maggiori per il Suo ambiente. Questi dati vengono aggregati con altre informazioni a disposizione di Tanium per fornire punteggi di rischio fondamentali relativi all’ per gli endpoint, consentendo di stabilire le priorità dei problemi in base allo stato attuale dell’ambiente e di effettuare confronti con i benchmark del Suo settore per valutare le prestazioni del Suo ambiente.
Forse l’aspetto più importante è che tutto ciò può essere automatizzato e integrato con gli altri strumenti in uso, compresa l’automazione degli edifici direttamente all’interno di Tanium , nonché l’accesso a tali funzionalità e ad altre ancora tramite API affidabili. Inoltre, è possibile esportare i dati da Tanium verso i propri SIEM, quali , Microsoft , Sentinel o , Splunk, , nonché verso sistemi di registrazione quali , ServiceNow , , al fine di garantire che i dati non rimangano vincolati a Tanium , ma siano disponibili laddove risultano più utili.
Richieda una demo personalizzata gratuita all’indirizzo per scoprire come Tanium possa aiutarLa ad affrontare le Sue attuali sfide in materia di resilienza informatica.