Perché la Cyber Security deve essere gestita come un processo ?
Proviamo a immaginare di voler seguire una dieta (non importa la ragione): un approccio potrebbe essere quello di decidere in autonomia il programma che riteniamo più opportuno per raggiungere il nostro obiettivo, oppure potremmo fare ricerche e sondaggi per orientarci sulla tipologia di percorso più idoneo. Un diverso approccio è, invece, quello di affidarci alle competenze di un consulente dell’alimentazione il quale, dopo aver fatto tutta una serie di valutazioni ed esami specifici, decide qual è la strategia migliore da seguire. In molti casi, inoltre, è necessario affiancare alla gestione del modello alimentare, anche attività sportive o percorsi di supporto.
Uno degli obiettivi importanti di una dieta è quindi quello di avere la consapevolezza che, una volta raggiunto il nostro risultato, dobbiamo avere una linea guida che ci consenta di mantenerlo, altrimenti corriamo il rischio di vanificare il lavoro di tanti mesi.
L’approccio con cui possiamo gestire il tema della cyber security è molto simile: abbiamo la possibilità di selezionare in autonomia gli strumenti che riteniamo più opportuni per proteggere la nostra azienda dai rischi di cyber attacchi, oppure possiamo affidarci a qualcuno che ci aiuti non solo a raggiungere la security posture più adatta, ma anche a mantenerla gestendola come un processo.
L’importanza del processo nella cyber security
In un articolo precedente abbiamo visto quanto sia strategica l’attività di assessment per poter definire il processo di cyber security da implementare. L’assessment può essere paragonato alla prima visita del consulente alimentare, il quale può decidere o meno di far eseguire una serie di analisi per meglio comprendere la situazione.
Decidere che la cyber security debba essere gestita come un processo è una scelta strategica, perché nel processo di gestione ci assicuriamo di verificare ciclicamente se la security posture è ancora adeguata, se le tecnologie implementate sono ancora attuali e aggiornate e se il livello di consapevolezza (awareness) è corretto.
Approcciarsi alla cyber security come ad un insieme di soluzioni tecnologiche senza un processo di gestione che le governi, sarebbe come fare una dieta, magari anche con gli alimenti corretti, ma senza avere la consapevolezza di quali siano le corrette quantità di cibo da assumere e, soprattutto, senza un controllo periodico che dia visibilità sulla correttezza della strategia.
L’approccio di Horsa alla cyber security
L’approccio di Horsa sul tema della cyber security è quello di gestirlo come un processo che prevede di:
- Eseguire un’attività iniziale per definire quale sia la security posture attuale e valutare il percorso di avvicinamento al nostro obiettivo (lo standard di sicurezza di riferimento).
- Definire il percorso per raggiungere la corretta security posture.
- Stabilire il processo per mantenere la corretta security posture.
Se dovessimo quindi fare un paragone con una dieta, faremo: prima di tutto un controllo per definire qual è il corretto peso da raggiungere in base alla nostra corporatura, età e genere; definiremo il modello alimentare, l’attività sportiva e se necessario l’eventuale supporto psicologico e infine andremo a definire delle verifiche periodiche per assicurarci che una volta raggiunto il nostro peso forma continuiamo a seguire il percorso di mantenimento.
Il percorso per raggiungere la corretta security posture
Abbiamo approfondito in un altro articolo l’importanza di eseguire l’assessment per definire il punto di partenza, vediamo adesso di capire assieme come viene definito il percorso per colmare il gap che separa la postura di sicurezza attuale da quella desiderata.
La definizione del percorso parte dai risultati dell’assessment, (eseguito sulla base della tipologia di azienda e dello standard di sicurezza di riferimento) e viene realizzato implementando:
- Strumenti: sono le componenti (fisici o software) necessarie a mitigare i rischi di tipo cyber quali ad esempio antivirus, firewall, SIEM (nella dieta potremmo paragonarli alla selezione di alimenti da assumere per seguire un’alimentazione corretta).
- Processi: sono tutte le attività legate alla gestione controllo e verifica degli strumenti per garantirne il corretto e regolare funzionamento (potremmo paragonarli alla definizione dei pasti in termini di quantità frequenza, calorie e associazione degli alimenti).
- Servizi: sono l’insieme di strumenti e attività che vengono demandate all’esterno, quali ad esempio un servizio MDR- Managed Detect and Response (potremmo associare i servizi di consulenze di nutrizionisti o dietologhi, psicologiche o sportive). Alcuni servizi risultano particolarmente importanti in quanto difficilmente un’organizzazione riesce ad avere le risorse necessarie, sia in termini quantitativi che qualitativi, per poter gestire alcuni controlli, esempio tipico è il servizio MDR che fornisce un monitoraggio reattivo h24 che tiene sotto stretto controllo la rete per individuare e bloccare tentativi di attacco.
- Percorsi formativi: l’anello debole della catena nella cyber security risulta molto spesso essere l’utente, per questa ragione è necessario come prima cosa affrontare un percorso di awareness che aiuti tutti gli utenti a comprendere i rischi collegati alla cyber security e a conoscere i comportamenti virtuosi che aiutano a ridurre la cosiddetta “superficie di attacco”.
Il processo per mantenere la corretta security posture
Una domenica qualsiasi, ore 07:30 l’IT manager riceve una chiamata seccata del CFO che non riesce a collegarsi alle risorse aziendali per preparare la presentazione del bilancio.
L’IT Manager risponde certo del fatto che probabilmente la chiamata si risolverà con una password inserita male.
Dopo una prima analisi l’IT manager realizza che qualche problema c’è, una verifica più approfondita fa sorgere qualche dubbio, verso le 10.00 arriva il verdetto: le risorse non sono più accessibili, un ransomware ha reso il sistema inutilizzabile, è il momento dello sgomento. L’implementazione negli anni passati, degli strumenti di sicurezza più blasonati del mercato non sono stati sufficienti.
Oggi i cyber criminali sono tanti, bene organizzati, con risorse, tempo, pazienza e… tanta fantasia.
Le remediation per fare fronte a una minaccia oggi, potrebbero rivelarsi potenzialmente inutili domani, inoltre, il continuo e massiccio ricorso a servizi basati su Internet aumenta quotidianamente la “superficie di attacco” a cui siamo esposti.
Per queste ragioni, una volta raggiunta la corretta security posture, è necessario implementare il processo che ne garantisca costantemente la conformità e l’attualità.
Il processo deve prevedere, tra le altre, le attività necessarie a verificare che:
- Nuove vulnerabilità siano prontamente individuate e risolte.
- Gli strumenti implementati siano aggiornati e adeguati alle vulnerabilità emergenti.
- I servizi vengano erogati secondo le nuove e diverse esigenze.
- Il percorso di “awareness” degli utenti sia continuo alternando sessione di training a test di verifica.
Quindi abbiamo la sicurezza del 100%?
Oggi è un’utopia! L’obiettivo è quello di raggiungere il 99% e aggiungere sempre più 9 dopo la virgola, e questo obiettivo è raggiungibile solo approcciando la cyber security come un processo organizzato.
