Riepilogo
Le nuove regole proposte dalla SEC regolamenteranno il modo in cui le aziende gestiscono i rischi e rispondono agli attacchi informatici. L'ex procuratrice federale Judith Germano discute della cyber di oggi catch-22—enterprises deve essere trasparente riguardo alle politiche informatiche (per dimostrare, appunto, che hanno politiche informatiche) senza però rivelare troppo agli hacker.
HOST: Doug Thompson, direttore delle soluzioni di ingegneria tecnica e capo architetto della formazione, Tanium
OSPITE: Judith Germano, fellow distinta, NYU Center for Cybersecurity
Note dello show
Per saperne di più su questo argomento, consulta questi articoli su Focal Point, la rivista online di notizie informatiche di Tanium.
- Le nuove norme della SEC in materia di sicurezza informatica mettono in allerta i consigli di amministrazione e i dirigenti
- Nel caso ve lo foste perso: le principali aziende stanno discutendo le nuove norme della SEC in materia di sicurezza informatica
- In che modo i consigli di amministrazione si stanno preparando a un rafforzamento della supervisione federale in materia di sicurezza informatica
Trascrizione
La seguente trascrizione del podcast è stata modificata per maggiore chiarezza.
Judith Germano: Le regole della SEC chiariscono, se non era già chiaro, che la sicurezza informatica deve essere prioritaria… ai massimi livelli delle organizzazioni. A volte quello che succede in un'azienda è che diventa molto chiusa in se stessa e dice, oh, stiamo bene. Ed è solo perché non hanno guardato in tutti gli angoli e non si sono resi conto che non stanno bene.
Doug Thompson: Ciao, sono Doug Thompson, e oggi su Let's Converge, parliamo della SEC—nuove regole sulla cybersecurity e controversie.
Ora, devo dirvi, vivo in Texas, quindi forse è per questo che sono rapido nel vedere le cose come uno scontro. È mezzogiorno e qualcuno deve vincere. Ma è così che sembra. A volte c'è tensione tra il governo e l'impresa privata, specialmente quando si tratta di cybersecurity. È come Friday Night Lights, e le due migliori squadre di liceo si battono per il campionato.
L'ultimo scontro tra le aziende e il governo federale riguarda una serie di nuove regole proposte quest'anno dalla SEC. Se approvate, le regole regolamenteranno il modo in cui le aziende gestiscono il rischio e rispondono agli attacchi informatici. Una regola controversa richiederebbe alle aziende di segnalare gli attacchi informatici entro quattro giorni dall'essere considerati un incidente rilevante. Un'altra stabilisce che le aziende devono divulgare determinate procedure di cybersecurity che hanno in atto per dimostrare che effettivamente dispongono di procedure.
Il governo insiste che l'unico modo per gestire le minacce informatiche in rapida crescita è sapere cosa sta accadendo alle aziende e costringerle a prendere sul serio la sicurezza informatica. Anche se questo può sembrare positivo per alcuni, il mio ospite di oggi dice che, ehm, non è proprio così semplice. Judith Germano è un'ex procuratrice federale e una fellow di spicco presso il Center for Cybersecurity della NYU, nonché professoressa a contratto presso la Facoltà di Giurisprudenza dell'università. Judi ha recentemente riunito un panel di esperti per discutere le proposte della SEC. Un panel di esperti composto interamente da donne, tra l'altro, e ci arriveremo.
Come stai, Judi?
Germano: Molto bene, Doug. Grazie per avermi invitato.
Thompson: Grazie per essere venuto. Voglio entrare subito nel vivo della questione. Il suo studio legale consiglia aziende e consigli di amministrazione in materia di rischio informatico e conformità normativa. Quindi so che è nel pieno di tutto questo e immagino che stia avendo la stessa conversazione con molti preoccupati membri del consiglio che dicono: se non avete ancora iniziato a prendere sul serio la sicurezza informatica, siamo al quarto quarto, siete in svantaggio di un touchdown e il tempo sta per scadere. Perché la SEC sta davvero cercando di stringere le redini con queste nuove proposte, vero?
Germano: Beh, la SEC ha effettivamente emesso linee guida sulle questioni di sicurezza informatica per diversi anni, ma le nuove linee guida che ha proposto ora sono molto significative in termini di ciò che chiedono alle aziende di fare.
Thompson: Queste nuove regole hanno in qualche modo fatto agitare tutti. In particolare il requisito che debbano riferire entro quattro giorni, il che mi sembra una buona idea. Penso sempre che la trasparenza sia meglio che cercare di nascondere le cose. Ma alcuni dicono che non è affar vostro farlo, che si tratta di un eccesso di potere. Cosa ne pensa?
Germano: Il requisito di segnalazione entro quattro giorni è un po' preoccupante. Le aziende devono segnalare entro quattro giorni dall'accertamento che un incidente è rilevante, e il problema riguarda davvero le modalità e i destinatari della segnalazione. Si tratta di un deposito pubblico, un rapporto 8K, che da solo può spesso richiedere un notevole sforzo da parte di un'azienda. E se si trovano nella situazione di dover rispondere a un incidente di cybersecurity entro quattro giorni dal momento in cui ne conoscono la rilevanza, potrebbe essere ancora necessario disporre di quel tempo per notificare gli altri soggetti colpiti dalla violazione, come clienti, partner o altri nella catena di fornitura—e anche per assicurarsi che la violazione sia affrontata e che la vulnerabilità sia stata chiusa.
Quindi, dover anche dirottare risorse all'interno di un'organizzazione per effettuare depositi formali presso la SEC e assicurarsi che gli investitori vengano informati in tempi così brevi, ritengo che in qualche modo possa effettivamente ostacolare la cybersecurity. Primo, perché distoglie risorse dal problema; secondo, perché potrebbe indurre alcune aziende a rimandare la determinazione della rilevanza di un evento e a non informare tempestivamente i clienti potenzialmente colpiti. In questo modo potrebbe davvero minare la sicurezza informatica.
Thompson: Capisco la frustrazione del governo: troppo spesso le aziende vogliono mantenere il silenzio su qualcosa del genere. Ma la SEC è la migliore organizzazione per supervisionare questo?
Germano: Non direi che siano i migliori; direi che sono uno dei tanti nel governo che cercano di affrontare la sicurezza informatica. La SEC ha certamente molto peso e attira l'attenzione delle società quotate in borsa e delle entità regolamentate dalla SEC. Quindi è importante che si esprimano sulla sicurezza informatica perché sanno che le aziende ascolteranno, poiché hanno un grande potere.
Thompson: Ha menzionato le società pubbliche, ma anche le società private devono seguire queste regole?
Germano: No—beh, per lo più no. Le regole si applicano alle entità regolamentate dalla SEC, quindi alle società quotate in borsa o alle società registrate presso la SEC, come i broker-dealer registrati o i consulenti finanziari. Ma ciò che è interessante è che man mano che vediamo sempre più regolamenti emergere, incluse queste regole proposte, possono essere utilizzati come punto di riferimento per altre aziende che potrebbero non essere specificamente regolamentate dalla SEC, ma in altri contenziosi, per capire quali sono le migliori pratiche e quali sono i tempi appropriati per la divulgazione. E usarli come riferimento è una delle cose che potremmo aspettarci di vedere emergere.
Thompson: Un'altra norma proposta dalla SEC obbligherebbe i consigli di amministrazione a divulgare le loro politiche e procedure informatiche. Questo mi preoccupa un po'. Voglio dire, è come nel baseball, se riesco a rubare i segnali del tuo lanciatore, so quale lancio sta arrivando, mi rende molto più facile ottenere una valida. Se gli hacker conoscono le politiche e le procedure in atto, sapranno cosa aggirare.
Germano: Sì, è un buon punto quello che fai. E la norma sulla divulgazione delle politiche e delle procedure relative alla gestione del rischio di cybersicurezza presenta vantaggi e svantaggi, Doug. Direi che da un lato, il vantaggio o l'intenzione è di incoraggiare le aziende ad avere buoni processi di cybersicurezza in atto perché devono divulgare ciò che stanno facendo. E purtroppo stiamo vedendo troppe aziende non riuscire a dare sufficiente priorità alla cybersicurezza e alle misure proattive di cybersicurezza. D'altra parte, esiste un rischio reale di esporre i frutti a portata di mano, rendendo più facile per gli aggressori sapere quali aziende prendere di mira se non hanno i processi giusti in atto al momento. Quindi avremo bisogno di una certa direzione e dovremo fare attenzione a come gestiamo il confine tra fornire informazioni sui passi responsabili che le entità stanno adottando per gestire la cybersecurity. E tutte dovrebbero farlo a questo punto, ma molte ancora non lo fanno. Ma allo stesso tempo, mentre si illustrano questi passi e si discute il processo, non bisogna rivelare il codice della cassaforte, né fornire troppe informazioni che permettano agli hacker di trovare la loro strada troppo facilmente.
Thompson: Sì, è sempre il delicato equilibrio. Quindi, supponendo che queste cose vengano approvate, o una loro variante venga approvata in merito, come fa qualcuno, in qualità di membro del consiglio, a iniziare a prepararsi? Cosa devo fare? Perché ci deve essere una certa strategia coinvolta nell'inserire le persone giuste e nel mettere le cose al loro posto.
Germano: Sì. Quindi, per un consiglio di amministrazione, le regole della SEC chiariscono, se non era già chiaro, che la cybersecurity deve essere una priorità all'interno delle organizzazioni e ai livelli più alti delle organizzazioni. Siamo quindi a un punto in cui abbiamo bisogno di persone nel consiglio che comprendano la cybersecurity e le domande giuste da porre riguardo alla cybersecurity e a ciò che il management sta facendo per considerare e gestire adeguatamente il rischio informatico come parte del rischio aziendale complessivo.
In termini di passi specifici che le aziende e i consigli di amministrazione dovrebbero intraprendere, è necessario essere proattivi, comprendere quali minacce l'azienda o l'organizzazione deve affrontare, quali sistemi sono in atto in termini di pratiche molto basilari come l'autenticazione a più fattori, i firewall, le pratiche regolari di aggiornamento e gestione delle patch, e chi è il team? Ci sono risorse finanziarie e umane sufficienti dedicate alla sicurezza informatica? E stanno tutti comunicando tra loro? E per capirlo, penso che sia importante avere buone risorse interne e anche rivolgersi a consulenti esterni per briefing e aggiornamenti.
Perché a volte quello che succede in un'azienda è che diventa molto autoreferenziale e dicono, oh, stiamo bene. Ed è solo perché non hanno guardato in tutti gli angoli e non si sono resi conto che non stanno bene. Quindi è bene avere anche audit e controlli di terze parti, per assicurarsi che non ci siano lacune nella sicurezza informatica che debbano essere affrontate rapidamente.
Thompson: Beh, penso che tu abbia toccato un punto importante, perché ci sono momenti in cui dobbiamo auto-attestare o auto-dichiarare, "Ehi, abbiamo fatto questo, abbiamo questo in atto." Ma avere una terza parte e una terza parte neutrale, per così dire, che validi che stai facendo quello che dici di fare, penso che sia molto importante.
Germano: Penso che sia molto utile, e le aziende si trovano a diversi livelli di maturità per quanto riguarda la sicurezza informatica. Alcuni hanno team davvero dettagliati e straordinari, mentre altri devono affidarsi maggiormente all'esternalizzazione della cybersecurity. E ci sono modi tecnologici con cui possono ridurre il loro profilo di rischio utilizzando fornitori di servizi cloud affidabili e garantendo che esistano protocolli di cybersecurity di base sufficienti come quelli che ho menzionato—autenticazione a più fattori, gestione e pratiche di password sicure (nella misura in cui le utilizzano), e altre opzioni simili.
Ma penso che sia importante, forse non che sia obbligatorio, ma che le aziende considerino quali risorse interne ed esterne hanno e se non stanno solo spendendo denaro per la cybersecurity, ma se si tratta di una spesa intelligente che ha senso per proteggere al meglio l'azienda. E poi naturalmente, è documentato, perché quando gli attacchi si verificano, potrebbero dover affrontarlo con la SEC, con gli investitori, con terze parti o clienti o litiganti. Quindi è importante documentare in modo proattivo le buone pratiche di cybersecurity. E poi anche in una risposta.
Thompson: Ha menzionato che i consigli di amministrazione—e l'ho visto spesso—tipicamente non hanno molta competenza tecnica, a volte perché non possono o non sono stati in grado di attirarla in passato. Perché pensa che sia così?
Germano: La cybersecurity è una questione in crescita e difficile, e penso che alcuni consigli di amministrazione abbiano una grande competenza in materia di cybersecurity mentre altri abbiano margine di crescita e miglioramento in quest'area. E penso che parte del problema, Doug, sia che c'è una carenza di buoni talenti in materia di cybersecurity—non solo persone che dicono di conoscere la cybersecurity ma che abbiano effettivamente lavorato nel settore e comprendano le minacce. E non sempre da una prospettiva tecnologica, anche se quella è una parte critica, ma è una sfida interdisciplinare.
Quindi è necessario comprendere la governance, le procedure e i protocolli della cybersecurity, nonché i passi tecnologici necessari o le domande da porre per garantire che questi vengano affrontati. E avere forti capacità di leadership e di gestione delle crisi è altrettanto importante per i professionisti della cybersecurity. È un settore in cui c'è una domanda altissima e una certa carenza di talenti.
Thompson: Ha menzionato il divario di talenti. È stato difficile per le aziende coprire i posti di lavoro nel settore della cybersecurity in generale, ed è particolarmente difficile trovare donne per questi ruoli. Questo è importante per me. Ho figlie e nipoti, e le ho sempre incoraggiate a perseguire qualsiasi campo volessero, anche se non era tradizionalmente considerato qualcosa che le ragazze dovessero fare. Ora noto che il suo studio legale è di proprietà e gestito da donne e lei presiede un panel di cybersecurity composto interamente da donne. Quindi non è impossibile. Ma come possiamo portare più donne nel settore?
Germano: Penso che ci siano molte cose che vengono fatte e molto altro lavoro da fare per aumentare il bacino della cybersecurity in generale, e in particolare per quanto riguarda le donne e le persone sottorappresentate nella cybersecurity.
Una delle cose che ho fatto è che, da quando 2016, ho creato e gestito il programma per le donne leader nella cybersecurity presso la NYU, e riuniamo leader di pensiero ed executive nella cybersecurity provenienti dal mondo degli affari, del governo e dell'accademia per discussioni panel di sostanza. È un modo per dimostrare che esistono molte donne davvero straordinarie, competenti ed esperte nel settore. Perché quello che accade è che troppo spesso le persone si rivolgono ai soliti noti che conoscono, e poi sono quelle le persone che vengono messe nei panel o [prese in] considerazione per i lavori. Ed è importante guardare un po' più in là e rendersi conto che ci sono molte donne straordinarie e persone o gruppi sottorappresentati che sono anch'essi coinvolti, e fare quel passo in più.
Inoltre, dobbiamo concentrarci sulla formazione della prossima generazione di leader, e le aziende possono farlo all'interno della propria organizzazione, anche se qualcuno potrebbe non avere la precisa esperienza in cybersecurity ma è intelligente, talentuoso e un buon giocatore di squadra, per dargli la formazione, le competenze e il supporto necessari per crescere nei ruoli. Penso che anche questo sia importante. Questa è un'altra parte del mio lavoro alla NYU, dove insegno nei programmi di formazione executive, incluso il master in Rischio e Strategia della Cybersecurity, che è una collaborazione tra la facoltà di giurisprudenza e la scuola di ingegneria per contribuire a formare la prossima generazione di leader ed executive della cybersecurity che attualmente operano nel settore ma desiderano avanzare verso ruoli di leadership.
Thompson: Come facciamo a far sì che i dipendenti pensino in modo diverso alla [cybersecurity] se non la esercitano come carriera— non lavoro in quel settore, non mi piace programmare, non mi sta bene una felpa con cappuccio… Come incoraggiamo queste persone ad avvicinarsi in qualche modo a questo campo?
Germano: È una domanda eccellente, Doug, perché una delle cose davvero importanti è riconoscere che la cybersecurity è una sfida interdisciplinare che richiede prospettive ed esperienze diverse. Esistono così tante competenze diverse che contribuiscono a formare un buon professionista della cybersecurity, e abbiamo bisogno di persone con background molto diversi che considerino come possono contribuire a questa causa e in questo settore. E anche per apprezzare le grandi opportunità lavorative che vi sono presenti. Abbiamo bisogno di persone che siano buoni leader e che riescano a mantenere la lucidità in una crisi, a gestire un team, a comprendere la strategia aziendale e la governance.
Alcune di queste persone potrebbero o meno comprendere i dettagli tecnici della cybersecurity o le sue componenti ingegneristiche. E poi ci sono persone che sono ingegneri straordinariamente qualificati che potrebbero non vedersi necessariamente in ruoli di leadership, aziendali o nei consigli di amministrazione, e anche loro devono capire quali sono gli strumenti e gli elementi importanti da portare al tavolo.
E quindi penso che da molti background diversi ci siano davvero grandi opportunità di lavorare nella cybersecurity e di contribuire sia nelle organizzazioni che nel governo e di far parte di consigli e della cybersecurity per persone che comprendono questo approccio interdisciplinare e possono apportare prospettive diverse, ma anche essere sufficientemente a proprio agio nel dire quali sono le parti che non comprendono. Dove hanno bisogno di maggiore formazione e addestramento, o dove si affiderebbero a un consulente o esperto esterno per colmare alcune lacune nelle conoscenze?
Thompson: È un ottimo punto. Ci vuole un team, ci vuole davvero un team per fare questo.
Germano: L'altra cosa che è cambiata nel corso degli anni è che le aziende vengono così spesso giudicate e si trovano ad affrontare azioni esecutive o cause civili, non necessariamente per il fatto di essere state violate, ma per come hanno gestito l'incidente: avevano la giusta strategia di comunicazione interna ed esterna? Erano sufficientemente consapevoli di chi doveva essere notificato e in quale arco di tempo? Hanno adottato le misure necessarie?
Ad esempio, potrebbe trattarsi di contattare le forze dell'ordine, coordinarsi con le forze dell'ordine, lavorare con partner e clienti nel modo giusto per essere sufficientemente trasparenti su ciò che stava accadendo e su ciò che è successo. Questo è un elemento chiave. Ma allo stesso tempo, è necessario proteggere l'organizzazione ed essere responsabili nella gestione delle vulnerabilità in tempo, per non peggiorare la situazione. Ciò richiede buon giudizio e una buona leadership.
Thompson: Sembra che tu stia dicendo che tutti dovrebbero dare per scontato di essere violati e pianificare di conseguenza: cosa faresti? E svolgere questi esercizi, invece di dire semplicemente che abbiamo buone misure in atto e che non accadrà mai.
Germano: Assolutamente, assolutamente. Lo diciamo da molto tempo, e speriamo che le aziende capiscano che è solo una questione di quando. Accettarlo aiuterà nella crisi. Possiamo dedicare meno tempo alle colpe e alla paura e dire semplicemente, Beh, eccolo; cosa faremo al riguardo? Quanto velocemente possiamo raddrizzare la situazione, rispondere all'incidente e concentrarci sulla protezione dei nostri clienti, degli stakeholder e dell'organizzazione—specialmente i dati informativi e i sistemi che potrebbero essere coinvolti.
Thompson: E penso che questo sia un buon modo per concludere. Judi, grazie per il tuo tempo e per le tue intuizioni.
Germano: Con piacere. Grazie mille, Doug. È stato un piacere parlare con te.
Thompson: Ho parlato con Judith Germano del Centro per la Cybersecurity della NYU.
Se sei un membro del consiglio di amministrazione o un dirigente aziendale, puoi saperne di più sulle nuove regole proposte dalla SEC sulla rivista online di notizie cyber di Tanium. Puoi anche consultare una serie continua di articoli su come i consigli di amministrazione stanno affrontando le crescenti sfide informatiche e una maggiore supervisione federale. Vai su tanium.com.
Per ascoltare altre conversazioni con i principali leader della sicurezza di oggi, assicurati di iscriverti a Let's Converge sulle tue app podcast preferite, come Apple Podcasts e Spotify. E se ami questo podcast, ti preghiamo di darci una valutazione a cinque stelle.
Grazie per aver ascoltato. Non vediamo l'ora di condividere altri approfondimenti sulla cybersecurity nel prossimo episodio di Let's Converge.
