Negli ultimi anni si è registrato un aumento significativo degli attacchi informatici contro le agenzie governative statali e locali degli Stati Uniti. Attualmente, circa il 44% degli attacchi ransomware a livello mondiale prende di mira i comuni. Il ransomware ha colpito almeno 2.354 amministrazioni pubbliche, (si apre in una nuova scheda) strutture sanitarie e scuole, solo in 2020 . Troppo spesso questi attacchi vanno a buon fine perché le amministrazioni comunali, le scuole primarie e secondarie e altre piccole agenzie governative non dispongono del personale, degli strumenti e delle competenze necessari per difendersi adeguatamente.
Che cos’è una strategia di sicurezza informatica a livello statale?
Per aiutare a proteggere i comuni e le altre amministrazioni locali da questi attacchi, alcuni governi statali stanno ora adottando un approccio alla sicurezza informatica che coinvolge l’intero Stato. Nell’ambito di una strategia che coinvolge l’intero Stato, applicata a livello statale, il governo statale collabora con le amministrazioni locali di dimensioni più ridotte per garantire che tutti siano protetti dalle minacce. Nell’ambito di questa collaborazione, i governi statali mettono a disposizione dei comuni e di altre organizzazioni locali corsi di formazione, informazioni sulle minacce, strumenti e altre risorse al fine di rafforzare le difese informatiche.
Esaminiamo quali sono i fattori alla base di questo nuovo approccio alla sicurezza informatica e le tre componenti fondamentali — governance, implementazione e convalida — necessarie per garantirne il funzionamento.
Si prega di guardare questa intervista video della serie “To the Point”, in cui Jennifer Pittman-Leeper spiega in cosa consiste una strategia di sicurezza informatica a livello statale e come avviare tale processo.
https://youtu.be/BOEF82h1r44
Un'urgente necessità di migliorare le pratiche di sicurezza informatica
I dati variano da un’indagine all’altra, ma è evidente che un numero sproporzionato di attacchi ransomware e di altro tipo sia rivolto alle amministrazioni statali e locali.
Perché puntare proprio su queste organizzazioni? È probabile che alcuni di questi attacchi siano casuali, frutto di un approccio di tipo “spray and pray” adottato dagli autori nell’individuare i bersagli, che per puro caso hanno colpito enti statali e locali.
In altri casi, gli autori degli attacchi potrebbero prendere di mira le agenzie perché sospettano che queste dispongano di polizze assicurative contro i rischi informatici in grado di coprire il pagamento dei riscatti e gli eventuali costi di ripristino necessari. C’è del vero in questo. Infatti, quando le vittime di attacchi ransomware decidono di pagare, le amministrazioni statali e locali finiscono per versare importi pari a 10 volte quelli pagati dalle entità commerciali. (si apre in una nuova scheda)
Gli autori degli attacchi potrebbero inoltre prendere di mira i comuni e altre piccole amministrazioni, poiché sono consapevoli che le difese in materia di sicurezza informatica sono più deboli a livello statale e locale. La maggior parte degli Stati destina alla sicurezza informatica solo il 1-2% del proprio bilancio IT (si apre in una nuova scheda), mentre le agenzie federali e le imprese commerciali vi destinano il 5-20%.
Infine, molti servizi delle amministrazioni locali sono considerati essenziali, il che costituisce un forte incentivo per i responsabili delle amministrazioni a pagare i riscatti e a risolvere rapidamente un attacco. Ad esempio, quando un attacco ransomware ha paralizzato i servizi pubblici della città di Baltimora nel 2019, , le ripercussioni sulla città sono state estese e costose (si apre in una nuova scheda). I trasferimenti di proprietà, ad esempio, non potevano essere evasi, con conseguenti ripercussioni negative sul mercato immobiliare. I cittadini non sono riusciti ad accedere ai siti web che utilizzavano per pagare le bollette dell’acqua, le imposte immobiliari e le multe per divieto di sosta. La risoluzione delle conseguenze dell’attacco ha richiesto mesi e, alla fine, è costata alla città almeno 18,2 milioni di dollari.
Alla luce di episodi del genere, non sorprende che altri comuni e altre organizzazioni governative desiderino evitare di cadere vittime di ransomware o di altri tipi di attacchi informatici.
I governi statali si rendono conto di poter dare il proprio contributo. Riconoscendo che i comuni e gli altri enti locali soffrono di carenza di personale e di fondi insufficienti, alcuni governi statali stanno adottando una strategia a livello statale, mettendo in comune le risorse e condividendo le informazioni per proteggere gli enti pubblici, dal livello comunale a quello statale.
«I governi statali stanno fornendo sempre più servizi alle amministrazioni delle contee e dei comuni, tra cui la protezione “ endpoint”, accordi di servizi condivisi per strumenti di difesa informatica, risposta agli incidenti, nonché attività di sensibilizzazione e formazione in materia di sicurezza informatica a livello statale», hanno scritto l’Associazione Nazionale dei Governatori (NGA) e l’Associazione Nazionale dei Responsabili Informatici Statali (NASCIO) nel loro rapporto n. 2020 , intitolato “: Stronger Together: State and Local Cybersecurity Collaboration” (si apre in una nuova scheda). Da allora, questo movimento non ha fatto altro che acquisire slancio.
«I governi statali stanno fornendo sempre più spesso servizi alle amministrazioni delle contee e dei comuni, tra cui la protezione nell’ambito del programma “ endpoint ”, accordi di servizi condivisi per strumenti di difesa informatica, risposta agli incidenti, nonché attività di sensibilizzazione e formazione in materia di sicurezza informatica a livello statale.»
Gli elementi costitutivi di una strategia di sicurezza informatica a livello statale
Una strategia di sicurezza informatica a livello statale prevede tre misure che operano in sinergia. Potete immaginarli come le gambe di uno sgabello. Sono necessari tutti e tre affinché la strategia funzioni.
Queste tre pratiche sono:
- Governance e definizione delle politiche
- Attuazione
- Convalida
Esaminiamo ciascuno di questi aspetti uno per uno.
Governance e definizione delle politiche
I validi responsabili IT faranno riferimento a politiche e quadri normativi consolidati, quali CIS (si apre in una nuova scheda) oppure NIST (si apre in una nuova scheda) , al fine di gettare le basi per un solido programma di sicurezza informatica. Questi quadri di riferimento aiutano le organizzazioni a stabilire standard di buona igiene informatica, a determinare soglie accettabili di rischio e a definire politiche che possano essere applicate nel tempo per attuare tali standard e affrontare tali rischi.
In molti Stati, sono stati i consulenti, quali gli integratori di sistemi globali, a svolgere gran parte di questo lavoro in materia di politiche. Più recentemente, alcuni Stati hanno trasferito tale attività “all’interno” del proprio Dipartimento per la Sicurezza Interna o di un’organizzazione analoga.
In generale, è opportuno separare l’attività di definizione delle politiche da quella di attuazione. In questo modo, le politiche possono essere elaborate e sviluppate sulla base delle migliori pratiche adottate a livello di settore, anziché essere concepite per adattarsi agli strumenti, alle prassi (e alle abitudini) esistenti di un determinato team IT.
Attuazione
Questa è la fase “operativa” di una strategia a livello statale. In questa fase, i tecnici e i responsabili IT provvedono all’attuazione delle politiche elaborate nella fase di definizione delle politiche.
Si tratta inoltre di un ambito in cui le strategie di sicurezza informatica tendono spesso a fallire. Ciò è dovuto al fatto che, in assenza di un coordinamento adeguato tra il gruppo responsabile delle politiche e quello incaricato della loro attuazione, le politiche potrebbero risultare troppo generiche o troppo onerose da attuare. Le politiche dovrebbero essere rigorose, persino audaci, ma dovrebbero anche essere concrete.
Per attuare effettivamente una strategia che coinvolga tutte le agenzie e l’intero Stato, le agenzie, i comuni e le altre organizzazioni locali devono uniformare gli strumenti e i processi che utilizzeranno per l’attuazione delle politiche.
Qualora venisse resa nota una nuova vulnerabilità software, in quanto tempo l’intero Stato – dal governo statale fino ai comuni – sarebbe in grado di effettuare un inventario di tutte le proprie risorse informatiche per individuare quali endpoint debbano essere aggiornati? Se un’agenzia informatica mette a punto una buona pratica, con quanta facilità tale buona pratica può essere diffusa in tutto lo Stato? È probabile che, se gli strumenti non sono standardizzati, la condivisione di conoscenze e tecniche risulti più difficile.
Affinché l’attuazione dia i suoi frutti, è necessario, in ultima analisi, un processo decisionale congiunto e investimenti coordinati tra le diverse organizzazioni.
Convalida
La convalida consiste nell'attività continua di monitoraggio dell'attuazione delle politiche.
Per garantire che la sicurezza informatica non sia solo “una facciata”, è importante che i responsabili della verifica dell’attuazione delle politiche non si limitino a spuntare una casella su un modulo, attestando autonomamente la conformità. Dovrebbero invece essere in grado di dimostrare la conformità generando report che riflettano lo stato in tempo reale di tutte le risorse IT gestite. In altre parole, i team dovrebbero verificare la conformità sulla base di dati concreti forniti dagli strumenti di sicurezza, piuttosto che affidarsi alle assicurazioni verbali dei colleghi.
Un monitoraggio e una rendicontazione completi e in tempo reale offrono a tutte le parti interessate un quadro chiaro dei punti di forza e di debolezza attuali di qualsiasi strategia a livello statale. E qualora dai rapporti dovesse emergere la necessità di ulteriori investimenti, la natura oggettiva e digitale di tali rapporti risulterà più convincente rispetto alle autodichiarazioni o alle osservazioni di carattere generale.
Maggiori informazioni
Nelle prossime settimane pubblicheremo ulteriori articoli sul blog dedicati ai vantaggi derivanti dall’adozione di una strategia a livello statale. Nei nostri prossimi articoli analizzeremo più nel dettaglio ciascuna delle tre pratiche – governance, attuazione e convalida – necessarie per mettere in atto una strategia di sicurezza informatica a livello statale.
Se desiderate scoprire in che modo l’ , Tanium Platforme possano aiutare la vostra organizzazione ad attuare una strategia di sicurezza informatica più matura, vi invitiamo a contattarci all’indirizzo o all’indirizzo e-mail.
