La sicurezza informatica non è un aspetto da valutare una tantum o riservato alle aree aziendali ad alto rischio. Oggi, con la digitalizzazione e con la centralità dei dati abbiamo bisogno di una vera e propria strategia di Cyber Security continuamente aggiornata. Serve una pianificazione iniziale e un monitoraggio costante per assicurarci di difendere correttamente il nostro valore aziendale. Ecco quali sono gli aspetti da considerare quando si struttura una strategia di Cybersecurity.
Vuoi ascoltare l’audio dell’articolo? Clicca play ⇓
Letto da: Linda Grasso
Quali sono gli obiettivi di una strategia di Cybersecurity?
Quando chiediamo ai nostri dipendenti di adeguarsi alle norme e alla procedure della sicurezza informatica non possiamo limitarci alla formazione o alla richiesta di esecuzione di alcune attività di tutela dei dati. Dobbiamo coinvolgerli e far sì che condividano la visione e comprendano a fondo l’importanza dell’adeguamento richiesto. Ciò vale in tutti i contesti, ma sopratutto quando si chiede di introdurre una variazione che sembra non essere strettamente necessaria all’esecuzione delle attività abituali.
Mi spiego. Se chiedo ad un dipendente di compilare un modulo di autorizzazione prima di collegare un nuovo dispositivo, anche personale, alla rete aziendale sto aggiungendo, alla sua normale attività lavorativa, un qualcosa che non è strettamente funzionale a quel tipo di mansione. Che la risorsa richieda o meno l’autorizzazione al reparto IT, il dispositivo si collegherà comunque alla rete e potrà svolgere ugualmente l’azione legata all’utilizzo di quel device. Inoltre, se il dipendente in questione non conosce i rischi delle connessioni non protette riterrà superflua la richiesta di autorizzazione e potrebbe scegliere di non attuarla, anche solo per mancanza di tempo. Sappiamo, invece, che un dispositivo, collegato senza le dovute attenzioni, è una porta di accesso ai dati presenti sulla rete aziendale. Tale minaccia è conosciuta come Shadow IoT.
1. Diffondere la cultura della sicurezza aziendale
Ecco che diventa fondamentale il primo obiettivo di una strategia di Cybersecurity: diffondere la cultura della sicurezza aziendale. Se condividiamo i rischi e le motivazioni con i nostri dipendenti non stiamo imponendo nulla. Al tempo stesso, però, ci assicuriamo che siano chiare le azioni legate alla sicurezza del trattamento dei dati o alla protezione dei sistemi informativi. Le motivazioni aiuteranno a ricordare le azioni e aumenteranno la soglia di attenzione. Non saranno solo gli operativi ad essere coinvolti dai responsabili della sicurezza informativa, ma anche i dirigenti e gli stakeholder.
I flussi di lavoro, oggi, sono sempre più interconnessi: le informazioni circolano attraverso sistemi informatici condivisi con clienti, fornitori e partner. Non possiamo occuparci della sicurezza interna e rischiare di essere attaccati durante lo scambio di informazioni con l’esterno. Per questo, condividere la strategia di cybersecurity con gli attori interni ed esterni con cui collaboriamo è funzionale alla creazione di un vero e proprio ecosistema di sicurezza globale.
2. Proteggere le risorse e i dati
Rientra nella strategia anche la pianificazione delle specifiche azioni di protezione legate alle attività svolte dalle risorse e ai dati che circolano internamente ed esternamente. Vedremo più avanti in cosa consiste l’analisi dei dati e delle attività da proteggere. Per ora ci basta sapere che è un processo che va fatto a monte e soprattutto a 360° in quanto, varchi d’accesso e rischi si possono celare ovunque.
Per una maggiore tutela è importante che i dipendenti sappiano riconoscere le minacce più frequenti e soprattutto quelle che si insidiano nelle attività semplici e routinarie, come la gestione delle mail. Un attacco che passa attraverso i server di posta è il Business Email Compromise (BEC). In pratica, può capitare di ricevere nella nostra casella di posta una mail che ha come intestatario un dipendente aziendale o il capo e sembra, in tutto e per tutto, una richiesta interna. Peccato, però, che i link presenti all’interno del messaggio ci riportino ad un sito fake. I rischi, in questo caso, potrebbero portare a estorsione di denaro o all’apertura di un varco di accesso ai dati aziendali.
Dopo un’attenta analisi dei rischi, serve anche una valutazione delle figure esperte presenti in azienda. I consulenti esterni ci supportano in un primo momento ma, nel quotidiano, abbiamo bisogno di risorse che si occupino della sicurezza informativa in modo continuativo.
3. Assicurarsi una copertura continuativa nel tempo
Un altro obiettivo strategico della sicurezza informatica è proprio quello di assicurare che il monitoraggio diventi un’attività costante e continuativa e non si limiti ad una reazione al problema quando si pone. In realtà, la cybersecurity è un campo in continuo aggiornamento perché le minacce si evolvono e gli attacchi sono sempre più insidiosi. Lavorare in ottica proattiva e non solo reattiva, scopriremo a breve, è la strategia più efficace per combattere i criminali informatici.
La digitalizzazione e la centralità dei dati hanno reso fondamentale la pianificazione di una strategia di Cyber Security, prevenire un attacco informatico è decisamente meglio che curarlo. Condividi il Tweet
Le strategie di cybersecurity proattive e reattive
Pianificare delle strategie proattive significa proteggere la propria azienda da eventuali attacchi a monte. Se facciamo ricorso ad un approccio preventivo abbiamo modo di pianificare reazioni adeguate ai rischi che corriamo.
Ma quali strumenti abbiamo per pianificare tali strategie? Il Cyber Risk Assessment, ovvero il documento che permette di mappare i rischi e le vulnerabilità di un sistema informatico nell’ambito di una strategia proattiva e il Cyber Emergency Response Plan, che consente di definire in anticipo le azioni da intraprendere nel caso eventuale di violazione della sicurezza informatica definito nella fase reattiva.
In effetti, prima di definire gli obiettivi di una strategia di sicurezza informativa è funzionale un risk assessment per scongiurare possibili minacce. Sulla base dei risultati ottenuti da questa analisi potremmo, anche, valutare il livello di maturità aziendale riguardo la sicurezza informativa e un’eventuale necessità di coinvolgere esperti, da assumere o come consulenti esterni. Inoltre, potrebbe servire la progettazione di protocolli di gestione dell’identità e degli accessi.
Riprendendo l’esempio iniziale, se ogni qual volta un dipendente si ritrova a collegare un dispositivo alla rete aziendale sa che c’è un procedimento da seguire si atterrà al protocollo. In questo modo, proteggerà i dati accessibili da quella rete e ridurrà drasticamente il rischio di Shadow IoT.
Passiamo poi agli strumenti che mi permettono di attuare delle strategie reattive all’attacco informatico rivolto alla nostra azienda. In questo caso, si parla di Cyber Emergency Response Plan ovvero una strategia che guiderà l’azienda nel trattamento delle minacce o degli attacchi già in atto. La variabile più importante in questa fase è il tempo: ovviamente un’azione rapida e risolutiva ridurrà drasticamente gli effetti di un attacco informatico. Per questo è importante stilare un piano di risposta agli attacchi che preveda delle procedure da seguire.
Strumenti e competenze utili alla protezione dei dati e delle risorse
Evidenziati gli esperti e i dati da proteggere, bisognerà programmare attività e strumenti che permettano alle singole risorse di commettere meno errori possibili.
Per prima cosa, ad esempio, sarà utile l’attivazione di sistemi di backup che periodicamente e automaticamente salvino i dati di specifiche aree definite sensibili o ad alto rischio. Inoltre, strategicamente, bisognerà prevedere un piano di recupero in caso di danni ai sistemi (disaster recovery). Possiamo prevedere eventuali minacce, stilare un piano di azioni preventive ma non otterremo mai una copertura del rischio del 100%. Per questo, quando gestiamo servizi, la cui interruzione delle attività genererebbe un danno per noi e per i nostri clienti, è fondamentale prevedere un piano alternativo che assicuri continuità al servizio mentre si combattono minacce informatiche come attacchi volti ad impedire l’accesso ad un sistema tipo il Distributed Denial of Service (DDoS) o violazioni di dati.
A questo punto della strategia non dobbiamo dimenticare l’aggiornamento costante dell’intero sistema di sicurezza informatica. Il rischio è abbassare la guardia quando: sembra che l’implementazione sia stata fatta correttamente; che le risorse siano state formate e abbiamo appreso le procedure legate alla sicurezza informatica; che il sistema di sicurezza proceda quasi automaticamente. Invece, è importante, quanto se non più delle precedenti attività, aggiornare costantemente software e relative procedure legate alla cybersecurity. Le minacce, infatti, si evolvono rapidamente e sistemi obsoleti rischiano di non svolgere correttamente il loro lavoro.
Norme locali e contrattuali a cui bisogna conformarsi
La sicurezza passa anche attraverso le norme e le linee guida fornite dai governi locali a cui bisogna necessariamente conformarsi. Che siano certificazioni, normative o standard locali è importante prenderli in considerazione già nella fase strategica. Il Regolamento Europeo 679/2016, o G.D.P.R. (General Data Protection Regulation), ad esempio, prevede dei processi di trattamento dei dati personali di soggetti riconducibili per appartenenza all’Unione Europea a cui bisogna uniformarsi.
Inoltre, la Commissione europea e il servizio europeo per l’azione esterna (SEAE) redigono periodicamente nuove strategie per la cybersicurezza che mirano a rafforzare la resilienza dell’Europa per garantire a cittadini e imprese servizi e strumenti digitali affidabili e attendibili.
Altro aspetto, da valutare adeguatamente durante il processo di definizione strategica, sono i contratti con eventuali fornitori esterni in merito al trattamento dei dati, perché ogni stato ha delle norme e delle certificazioni diverse in merito.
Valutazione finale della strategia
Soprattutto dopo il primo anno è fondamentale fare un’attenta valutazione della strategia attuata. Al pari dell’aggiornamento del software, l’aggiornamento delle linee strategiche ha un impatto immediato sull’efficienza delle attività e sulla riduzione della percentuale di rischio.
Negli anni successivi, il confronto tra l’attività svolta e quella pregressa permetterà di evidenziare i punti critici in termini di sicurezza informatica dei software installati e delle strategie attuate per fronteggiare le minacce. Molti algoritmi dovranno essere riscritti in quanto risulteranno fallaci nel Cyber Risk Assessment. I risultati di tale analisi serviranno per la definizione di nuovi piani di sicurezza informatica, nuove politiche ma soprattutto nuove linee guida e procedure.
