Considerando che le amministrazioni statali e locali, le organizzazioni sanitarie e le scuole sono oggetto di attacchi da parte dei criminali informatici, alcuni responsabili della sicurezza informatica a livello governativo si chiedono se non sia giunto il momento di unire le forze e adottare un approccio alla sicurezza informatica che coinvolga l’intero Stato.
Che cos’è la sicurezza informatica a livello statale?
Nell’ambito di un approccio che coinvolge l’intero Stato, i governi statali collaborano con i comuni, le scuole primarie e secondarie, le entità tribali e altre organizzazioni governative nei rispettivi Stati, fornendo finanziamenti e strumenti, offrendo orientamento e condividendo informazioni. Grazie a questa collaborazione, le piccole organizzazioni – quali le scuole primarie e secondarie – che attualmente dispongono di risorse finanziarie e di personale insufficienti per la sicurezza informatica potranno avvalersi delle risorse e dell’esperienza di realtà più grandi e meglio finanziate.
Come ho già menzionato in “ ” (Un approccio olistico alla sicurezza informatica a livello statale), un precedente articolo pubblicato sul blog, una strategia di sicurezza informatica a livello statale comprende tre elementi che si integrano tra loro come le gambe di uno sgabello. Le tre pratiche sono:
- Governance e definizione delle politiche
- Attuazione
- Convalida
In questo articolo del blog mi soffermerò sugli aspetti relativi alla governance e alla definizione delle politiche di questa strategia. La governance e l'elaborazione delle politiche comprendono le seguenti quattro attività:
- Creare gruppi di governance interorganizzativi e processi di comunicazione a sostegno di tali gruppi nel lungo periodo
- Selezionare e basarsi su quadri normativi consolidati, quali quelli del Center for Internet Security (CIS) e del National Institute of Standards and Technology (NIST)
- Effettuare valutazioni dei rischi per contribuire alla definizione delle politiche
- Individuare e sfruttare le risorse finanziarie a sostegno della strategia a livello statale
Chi definisce le politiche in materia di sicurezza informatica a livello statale?
I programmi di sicurezza informatica a livello statale sono, in definitiva, frutto della collaborazione tra vari enti governativi, ciascuno dei quali è responsabile delle proprie politiche in materia di sicurezza informatica. Alcuni di questi enti governativi fanno capo al governatore, ma molti altri, tra cui i distretti scolastici e il team MS-ISAC ( ) dello Stato (si apre in una nuova scheda), non ne fanno parte. Nella maggior parte degli Stati, tali enti non hanno mai collaborato strettamente in passato su iniziative relative alla sicurezza informatica. Pertanto, il primo passo consiste nel riunire i rappresentanti di questi gruppi, presentarli tra loro e iniziare a instaurare un clima di fiducia tra le parti interessate.
In passato, gran parte dell’attività relativa alle politiche di sicurezza informatica a livello statale veniva svolta da consulenti esterni, quali integratori di sistemi globali. Anche se i consulenti continueranno a fornire assistenza in questo ambito, d’ora in poi dovranno fare riferimento a questo nuovo team centralizzato dedicato alla sicurezza informatica.
La costituzione di questo team può richiedere del tempo. I responsabili IT e della sicurezza di tutte queste organizzazioni sono già molto impegnati. Ora devono trovare spazio nelle loro agende per nuove riunioni, videoconferenze, relazioni e altre attività relative alla sicurezza informatica. E devono imparare a fidarsi del giudizio e delle decisioni dei dirigenti di altre organizzazioni, comprese quelle alle quali non fanno ufficialmente riferimento.
È importante ricordare a tutti i dirigenti i vantaggi di questa iniziativa congiunta: una maggiore sicurezza informatica per tutti e un risparmio sui costi nel lungo periodo.
È inoltre importante che questo team interorganizzativo costituisca un’organizzazione indipendente incentrata sulla governance e non sia semplicemente un “tiger team” composto da ingegneri informatici che, tradizionalmente, sono stati responsabili dell’implementazione dei controlli di sicurezza informatica. I responsabili delle decisioni politiche dovrebbero essere distinti da coloro che attuano le politiche elaborate. Ciò contribuisce a garantire che le politiche siano rigorose, basate sulle migliori pratiche del settore e sulle più recenti informazioni relative alle minacce, e che la conformità, per quanto animata da buone intenzioni, non si riduca semplicemente a una rendicontazione compita senza approfondimento. Alcuni Stati, quali la Florida, l’Arizona e New York, hanno persino istituito i propri Dipartimenti per la Sicurezza Interna, al fine di garantire l’esistenza di un organismo autonomo e incentrato sulle politiche, in grado di definire e convalidare le politiche in materia di sicurezza informatica senza essere coinvolto direttamente nella loro attuazione.
In molti Stati, questa separazione delle funzioni rappresenta un cambiamento radicale. I team IT potrebbero essere stati incaricati di redigere le politiche, di attuarle e di autocertificare la propria conformità a tali politiche. Separando tali compiti, alcuni Stati si stanno adoperando per rendere le politiche più complete e rigorose e per attribuire ai team IT la responsabilità di attuarle in modo oggettivamente misurabile. (Approfondirò questo approccio alle politiche e alla validazione nel mio prossimo post sul blog dedicato alla fase di validazione “ ” di una strategia a livello statale.)
Governance e definizione delle politiche per una strategia a livello statale
I responsabili IT delle amministrazioni pubbliche non devono partire da zero quando si tratta di elaborare politiche efficaci in materia di sicurezza informatica. Possono invece avvalersi di quadri normativi consolidati, quali quelli forniti dal Centro per la sicurezza di Internet ( ) (si apre in una nuova scheda) (CIS) o dal Centro per la sicurezza informatica ( ) degli Istituti nazionali di standard e tecnologia (National Institutes of Standards and Technology) (si apre in una nuova scheda) (NIST). Grazie a questi modelli, i team responsabili delle politiche possono:
- Definire standard per una corretta igiene informatica
- Stabilire le soglie accettabili di rischio
- Definire politiche che possano essere applicate nel tempo per garantire il rispetto di tali standard e affrontare i rischi ad alta priorità
I modelli CIS e “ NIST ” forniscono modelli per la redazione di politiche di sicurezza complete e dettagliate. L'elaborazione di politiche così complete rappresenta un obiettivo lodevole, ma la loro attuazione potrebbe, nel breve termine, risultare al di là delle possibilità di organizzazioni quali i distretti scolastici primari e secondari.
Un approccio alternativo consiste nel definire politiche complete, ma anche nell’elaborare un elenco delle migliori pratiche a cui tutti debbano attenersi, attribuendo loro un’elevata priorità. Questo è l'approccio che lo Stato dell'Arizona ha adottato con la propria strategia a livello statale. Il team statale per la sicurezza informatica ha individuato una “Top 18” ” dell’relativa ai controlli CIS (si apre in una nuova scheda) da implementare, fornendo agli enti governativi di ogni dimensione un elenco gestibile di progetti su cui concentrarsi. Le pratiche di sicurezza sono state migliorate e nessuna organizzazione si è trovata sopraffatta da un elenco esaustivo di requisiti.
Visibilità completa ai fini dell’elaborazione delle politiche
Una questione che emerge immediatamente durante la stesura delle politiche di sicurezza informatica è quella di stabilire quali risorse informatiche debbano essere protette. Dopotutto, non è possibile definire politiche volte alla protezione dei beni se non si sa di quali beni si dispone. Pertanto, uno dei requisiti per un’efficace definizione delle politiche consiste nel redigere un inventario di tutte le risorse informatiche presenti in tutte le organizzazioni che partecipano al programma a livello statale.
I responsabili di progetto possono chiedere ai responsabili IT delle organizzazioni di redigere un inventario di tutti gli endpoint (dispositivi quali computer portatili e server) presenti nei rispettivi ambienti IT. Nel redigere tali inventari, si assicuri di uniformare la terminologia, in modo che le agenzie e i responsabili IT possano comprendere appieno di quali risorse dispongono. Se state contando Windows 10 computer portatili, ad esempio, potreste voler stabilire il modo in cui contare Windows 10 computer portatili, in modo che non vi sia alcun rischio di confonderli con Windows 8,1 computer portatili.
Uno dei motivi per cui si svolge questo lavoro nelle prime fasi di definizione delle politiche e di implementazione del progetto è quello di garantire che il team responsabile delle politiche abbia redatto le politiche relative a tutti i tipi di dispositivi gestiti. Non vorrà certo trascurare i dispositivi IoT, ad esempio, per poi scoprire in seguito che svolgono un ruolo fondamentale nel sistema di trasporto pubblico di un comune lungimirante.
Risk valutazione ai fini dell'elaborazione delle politiche
I quadri normativi dell’ NISTe e del CIS sottolineano l’importanza della gestione del rischio (si apre in una nuova scheda). Risk La gestione consiste nel valutare l’impatto delle incertezze sugli obiettivi di un’organizzazione e nell’adottare successivamente misure volte a ridurre tali effetti.
Per quanto riguarda la sicurezza informatica, la gestione dei rischi consiste nell’identificare e proteggere le risorse e i processi informatici che rivestono maggiore importanza ai fini del sostegno alla missione di un’organizzazione. Per il Dipartimento dei Veicoli a Motore (DMV) di uno Stato, ad esempio, è di fondamentale importanza poter archiviare e gestire in modo sicuro i dati dei richiedenti. Lo stesso vale per la garanzia che i canoni di licenza pagati con carta di credito siano protetti da sistemi conformi agli standard DSS ( PCI).
Risk La gestione, in questo caso, comporta l’identificazione di tutte le risorse e i processi informatici coinvolti nella creazione e nella gestione dei documenti del dipartimento, l’identificazione di tutti i rischi associati a tali risorse e processi, la valutazione della probabilità di ciascun rischio e, infine, l’impiego di risorse umane, processi e tecnologie per far fronte a tali rischi. Ad esempio, se la disponibilità di backup sicuri e fuori sede contribuisse a tutelare l’integrità dei documenti del dipartimento, l’implementazione di tali backup rientrerebbe nella strategia di gestione dei rischi di quel dipartimento.
Anche il programma di sicurezza informatica più completo a livello statale non è in grado di garantire la massima protezione possibile a tutte le risorse e a tutti i processi informatici. Sarà necessario stabilire le priorità in materia di investimenti nel settore IT. È quindi opportuno valutare i rischi in tutte le organizzazioni coinvolte nel programma a livello statale, affinché i team possano elaborare politiche adeguate e stanziare risorse adeguate per proteggere ciò che è più importante per ciascuna organizzazione.
Considerazioni specifiche in materia di finanziamento per un programma di sicurezza informatica a livello statale
Alcune considerazioni finali da tenere presenti nella fase di elaborazione delle politiche riguardano i finanziamenti. I leader statali potrebbero chiedersi innanzitutto come finanziare un’iniziativa di sicurezza informatica a livello statale. Potrebbero inoltre chiedersi come definire i bilanci in modo che gli oneri finanziari non ricadano interamente su pochi team centralizzati.
Per contribuire a finanziare un’iniziativa di sicurezza informatica a livello statale, le organizzazioni SLED dovrebbero avvalersi di ogni fonte di finanziamento a loro disposizione. Cercate programmi di sovvenzioni che possano aiutare i comuni, le scuole, le organizzazioni tribali o persino lo Stato stesso a finanziare una serie di strumenti e servizi standardizzati per la sicurezza informatica. Inoltre, il governo federale sta offrendo agli Stati alcuni aumenti di finanziamento a breve termine per affrontare la questione della sicurezza informatica. Gli Stati dovrebbero avvalersi di tali fondi federali finché sono disponibili.
In secondo luogo, il team statale per la sicurezza informatica dovrebbe adoperarsi per ottenere finanziamenti statali a sostegno dell’iniziativa statale in materia di sicurezza informatica. Alcuni Stati lo hanno già fatto. Grazie a un fondo dedicato, del valore di svariati milioni di dollari, a cui attingere, possono acquistare le attrezzature informatiche e i servizi di formazione di cui hanno bisogno i distretti scolastici e altre organizzazioni, garantendo che gli acquisti vengano effettuati con sconti sul volume e che software e hardware siano il più possibile uniformi tra gli enti pubblici. Questo finanziamento supplementare costituisce un ulteriore incentivo per le organizzazioni a partecipare all’iniziativa nel suo complesso. Richiedendo sovvenzioni per l’ammodernamento e la messa in sicurezza della propria infrastruttura informatica, enti quali i distretti scolastici possono migliorare la propria “igiene informatica”, liberando al contempo fondi da destinare ad altri progetti legati alla sicurezza informatica.
Infine, vale la pena sottolineare che un programma di sicurezza informatica efficace a livello statale dovrebbe consentire a Stati, comuni, scuole primarie e secondarie e altre organizzazioni locali di realizzare risparmi. Se una maggiore sicurezza consentirà di evitare il pagamento di riscatti multimilionari o di prevenire interruzioni di servizio che comportano una perdita di ricavi, tali investimenti iniziali si ripagheranno da soli.
Maggiori informazioni
Questo articolo fa parte di una serie dedicata all’analisi di ciascuna delle tre pratiche – governance, attuazione e convalida – necessarie per l’attuazione di una strategia di sicurezza informatica a livello statale.
Se desidera scoprire in che modo la piattaforma Tanium Converged Endpoint Management possa aiutare la Sua organizzazione ad attuare una strategia di sicurezza informatica più matura, La preghiamo di contattarci.
