Proviamo a immaginare di voler seguire una dieta (non importa la ragione): un approccio potrebbe essere quello di decidere in autonomia il programma che riteniamo più opportuno per raggiungere il nostro obiettivo, oppure potremmo fare ricerche e sondaggi per orientarci sulla tipologia di percorso più idoneo. Un diverso approccio è, invece, quello di affidarci alle competenze di un consulente dell’alimentazione il quale, dopo aver fatto tutta una serie di valutazioni ed esami specifici, decide qual è la strategia migliore da seguire. In molti casi, inoltre, è necessario affiancare alla gestione del modello alimentare, anche attività sportive o percorsi di supporto.

Uno degli obiettivi importanti di una dieta è quindi quello di avere la consapevolezza che, una volta raggiunto il nostro risultato, dobbiamo avere una linea guida che ci consenta di mantenerlo, altrimenti corriamo il rischio di vanificare il lavoro di tanti mesi.

L’approccio con cui possiamo gestire il tema della cyber security è molto simile: abbiamo la possibilità di selezionare in autonomia gli strumenti che riteniamo più opportuni per proteggere la nostra azienda dai rischi di cyber attacchi, oppure possiamo affidarci a qualcuno che ci aiuti non solo a raggiungere la security posture più adatta, ma anche a mantenerla gestendola come un processo.

L’importanza del processo nella cyber security

In un articolo precedente abbiamo visto quanto sia strategica l’attività di assessment per poter definire il processo di cyber security da implementare. L’assessment può essere paragonato alla prima visita del consulente alimentare, il quale può decidere o meno di far eseguire una serie di analisi per meglio comprendere la situazione.

Decidere che la cyber security debba essere gestita come un processo è una scelta strategica, perché nel processo di gestione ci assicuriamo di verificare ciclicamente se la security posture è ancora adeguata, se le tecnologie implementate sono ancora attuali e aggiornate e se il livello di consapevolezza (awareness) è corretto.

Approcciarsi alla cyber security come ad un insieme di soluzioni tecnologiche senza un processo di gestione che le governi, sarebbe come fare una dieta, magari anche con gli alimenti corretti, ma senza avere la consapevolezza di quali siano le corrette quantità di cibo da assumere e, soprattutto, senza un controllo periodico che dia visibilità sulla correttezza della strategia.

L’approccio di Horsa alla cyber security 

L’approccio di Horsa sul tema della cyber security è quello di gestirlo come un processo che prevede di:

1. Eseguire un’attività iniziale per definire quale sia la security posture attuale e valutare il percorso di avvicinamento al nostro obiettivo (lo standard di sicurezza di riferimento).
2. Definire il percorso per raggiungere la corretta security posture.
3. Stabilire il processo per mantenere la corretta security posture.

Se dovessimo quindi fare un paragone con una dieta, faremo: prima di tutto un controllo per definire qual è il corretto peso da raggiungere in base alla nostra corporatura, età e genere; definiremo il modello alimentare, l’attività sportiva e se necessario l’eventuale supporto psicologico e infine andremo a definire delle verifiche periodiche per assicurarci che una volta raggiunto il nostro peso forma continuiamo a seguire il percorso di mantenimento.

Il  percorso per raggiungere la corretta security posture 

Abbiamo approfondito in un altro articolo l’importanza di eseguire l’assessment per definire il punto di partenza, vediamo adesso di capire assieme come viene definito il percorso per colmare il gap che separa la postura di sicurezza attuale da quella desiderata.

La definizione del percorso parte dai risultati dell’assessment, (eseguito sulla base della tipologia di azienda e dello standard di sicurezza di riferimento) e viene realizzato implementando:

• Strumenti: sono le componenti (fisici o software) necessarie a mitigare i rischi di tipo cyber quali ad esempio antivirus, firewall, SIEM (nella dieta potremmo paragonarli alla selezione di alimenti da assumere per seguire un’alimentazione corretta).
• Processi: sono tutte le attività legate alla gestione controllo e verifica degli strumenti per garantirne il corretto e regolare funzionamento (potremmo paragonarli alla definizione dei pasti in termini di quantità frequenza, calorie e associazione degli alimenti).
• Servizi: sono l’insieme di strumenti e attività che vengono demandate all’esterno, quali ad esempio un servizio MDR- Managed Detect and Response (potremmo associare i servizi di consulenze di nutrizionisti o dietologhi, psicologiche o sportive). Alcuni servizi risultano particolarmente importanti in quanto difficilmente un’organizzazione riesce ad avere le risorse necessarie, sia in termini quantitativi che qualitativi, per poter gestire alcuni controlli, esempio tipico è il servizio MDR che fornisce un monitoraggio reattivo h24 che tiene sotto stretto controllo la rete per individuare e bloccare tentativi di attacco.
• Percorsi formativi: l’anello debole della catena nella cyber security risulta molto spesso essere l’utente, per questa ragione è necessario come prima cosa affrontare un percorso di awareness che aiuti tutti gli utenti a comprendere i rischi collegati alla cyber security e a conoscere i comportamenti virtuosi che aiutano a ridurre la cosiddetta “superficie di attacco”.

Il processo  per mantenere la corretta security posture 

Una domenica qualsiasi, ore 07:30 l’IT manager riceve una chiamata seccata del CFO che non riesce a collegarsi alle risorse aziendali per preparare la presentazione del bilancio.

L’IT Manager risponde certo del fatto che probabilmente la chiamata si risolverà con una password inserita male.

Dopo una prima analisi l’IT manager realizza che qualche problema c’è, una verifica più approfondita fa sorgere qualche dubbio, verso le 10.00 arriva il verdetto: le risorse non sono più accessibili, un ransomware ha reso il sistema inutilizzabile, è il momento dello sgomento. L’implementazione negli anni passati, degli strumenti di sicurezza più blasonati del mercato non sono stati sufficienti.

Oggi i cyber criminali sono tanti, bene organizzati, con risorse, tempo, pazienza e… tanta fantasia.

Le remediation per fare fronte a una minaccia oggi, potrebbero rivelarsi potenzialmente inutili domani, inoltre, il continuo e massiccio ricorso a servizi basati su Internet aumenta quotidianamente la “superficie di attacco” a cui siamo esposti.

Per queste ragioni, una volta raggiunta la corretta security posture, è necessario implementare il processo che ne garantisca costantemente la conformità e l’attualità.

Il processo deve prevedere, tra le altre, le attività necessarie a verificare che:

• Nuove vulnerabilità siano prontamente individuate e risolte.
• Gli strumenti implementati siano aggiornati e adeguati alle vulnerabilità emergenti.
• I servizi vengano erogati secondo le nuove e diverse esigenze.
• Il percorso di “awareness” degli utenti sia continuo alternando sessione di training a test di verifica.

Quindi abbiamo la sicurezza del 100%? 

 Oggi è un’utopia! L’obiettivo è quello di raggiungere il 99% e aggiungere sempre più 9 dopo la virgola, e questo obiettivo è raggiungibile solo approcciando la cyber security come un processo organizzato.

[hubspot type=cta portal=8916761 id=b280272c-3296-478a-a9af-53f0deb85b88]

L'articolo La sicurezza informatica come una dieta: nel menù non può mancare la fase di mantenimento! proviene da Horsa Blog.

Gli studi medici, nel corso degli anni, sono riusciti a individuare, per le diverse categorie di individui, quali sono i parametri entro i quali determinati valori devono restare per poter escludere, con una ragionevole certezza, tutta una serie di patologie.

Se dovessimo paragonare il concetto di security posture ad una pratica medica, mi sentirei abbastanza tranquillo nell’associarlo ai risultati di un’analisi clinica

Grazie alle moderne tecnologie, la medicina è in grado di verificare i valori del nostro organismo e, mettendoli a paragone con i parametri standard, stabilire se esistono gli estremi per intervenire o approfondire.

Allo stesso modo la security posture è il risultato di un’analisi (risk assessment) che restituisce una valutazione per tutti gli ambiti della cyber security analizzati e li mette a confronto con quelli che sono i parametri tipici della specifica tipologia di azienda (standard di sicurezza di riferimento) per capire se è necessario intervenire (applicando delle remediation).

Le continue scoperte in campo medico mettono a disposizione nuovi tipi di analisi per permettere un più preciso controllo dello stato di salute, allo stesso il processo di risk assessment deve essere eseguito con regolarità per garantire che la security posture sia adeguata alle nuove minacce di sicurezza.

Security posture e standard di sicurezza di riferimento

Provate a pensare di ritrovarvi in una città sconosciuta con una mappa in mano e la necessità di recarvi in un determinato punto.  Se non riuscite a identificare sulla mappa il punto in cui vi trovate, prima ancora di quello verso cui siete diretti, la mappa stessa risulterà inutile.

Il processo che dovrebbe governare la cybersecurity è diverso da azienda ad azienda. Ad esempio, un ente pubblico ha un’esposizione di rischio diversa  da una banca, e gli stessi enti pubblici hanno livelli  di rischio diverso a seconda della tipologia di dati che trattano (provate a pensare, ad esempio, ai dati che tratta una biblioteca rispetto a quelli di un ospedale)

Lo standard di sicurezza rappresenta di fatto l’obiettivo che l’azienda si pone di raggiungere in termini di cybersecurity mentre la security posture indica la posizione in cui l’azienda si trova rispetto allo standard di sicurezza di riferimento.

Per permettere ad ogni azienda di porsi un obiettivo adeguato al proprio profilo sono stati definiti, a livello internazionale, diversi standard di sicurezza (ISO27001, NIST, CIS), è quindi fondamentale, prima di definire il processo di cybersecurity aziendale, stabilire lo standard di sicurezza a cui fare riferimento.

Scegliere lo standard di sicurezza e eseguire il risk assessment

Nella nostra analogia medica abbiamo visto che il risk assessment può essere paragonato ad una serie di analisi cliniche finalizzate a stabilire lo stato di salute del paziente, tuttavia prima di eseguire le analisi  è necessario decidere quali saranno le analisi da effettuare e questa decisione viene presa sulla tipologia di paziente.

Nel processo di cyber security la tipologia di analisi da effettuare corrisponde allo standard di sicurezza di riferimento. La scelta dello standard di sicurezza più adeguato all’azienda avviene tramite un processo di assessment finalizzato a comprendere la struttura aziendale in termini di esposizione al rischio. Il processo prevede la raccolta di informazioni quali dimensioni, tipologia di business, filiali, tipo di dati trattati ecc.

L’analisi dei dati permette di definire lo standard più adeguato e, come diretta conseguenza, il numero e la tipologia di controlli da effettuare. I controlli previsti dallo standard di sicurezza di riferimento definiscono di fatto i contenuti del risk assessment, che una volta portati a termine, restituisco l’immagine della security posture.

I controlli di sicurezza sono spesso suddivisi per ambiti così da focalizzare in modo più chiaro le aree su cui intervenire.

Stabilire il gap tra la security posture e lo standard di sicurezza

Ritornando al nostro esempio iniziale, il risultato del risk assessment ci ha fornito le indicazioni del punto in cui ci troviamo sulla mappa e il percorso da seguire per raggiungere la nostra destinazione, ovvero l’obiettivo.

Il percorso rappresenta a tutti gli effetti il processo che deve essere implementato per garantire che gli tutti gli aspetti relativi alla cybersecurity previsti dallo standard di sicurezza di riferimento vengano adeguatamente considerati e gestiti.

È naturale durante un viaggio controllare periodicamente se siamo sul percorso corretto, e di solito lo facciamo dividendo il nostro viaggio in tappe. Allo stesso modo il processo di gestione della cybersecurity è cosparso di punti intermedi rappresentate dai controlli dello standard di riferimento (gli stessi utilizzati durante il risk assessment), che ci aiutano ad assicurarci che il lavoro che stiamo facendo stia andando nella direzione giusta.

Cybersecurity un processo non uno strumento

Molto spesso di fronte ad un attacco cyber riuscito, le aziende vittime non si capacitano di come sia potuto accadere avendo implementato strumenti e investito capitali.

L’evidenza che quasi sempre emerge è che gli investimenti sono stati fatti con un approccio orientato allo strumento piuttosto che al processo. La differenza fondamentale è che l’approccio come processo prevede un controllo ricorsivo delle esposizioni al rischio per individuare le vulnerabilità vecchie e nuove, applicare i rimedi più adeguati e mantenere la security posture a livelli adeguati

Continuando con l’analogia medica iniziale, il processo di cyber security può essere visto come l’insieme di abitudini finalizzate a mantenere il nostro fisico in un buono stato di salute.

Tuttavia, praticare sport, avere un’alimentazione sana, sottoporsi a controlli sono comportamenti che devono essere svolti con continuità.

Allo stesso modo eseguire risk assessment, svolgere attività di formazione e informazione, mantenere aggiornati i sistemi di sicurezza, implementare nuove soluzioni ed effettuare test di esposizione alle vulnerabilità sono operazioni che devono essere approcciate in modo costante e ricorsivo al fine di evitare l’indebolimento della security posture.

L'articolo L’importanza del risk assessment per la definizione della security posture aziendale proviene da Horsa Blog.