Le organizzazioni di tutto il mondo hanno allineato le proprie strategie di sicurezza al Cyber Security Framework (CSF) del NIST, poiché esso offre un valido strumento per articolare le esigenze tattiche dei moderni team di sicurezza informatica. L’ultima versione, il CSF 2.0, ha introdotto una categoria generale che era stata gravemente trascurata: la governance.
Il punto fondamentale da tenere presente è che il CSF non è necessariamente concepito come un approccio del tipo «si parte da qui e si arriva là». L’obiettivo è che le organizzazioni investano in persone, processi e tecnologia nell’intero quadro di riferimento in modo equilibrato, che rifletta il rischio aziendale.
Le aree di intervento del CSF
L’“identificazione” è un elemento fondamentale, perché non è possibile proteggere qualcosa né stabilire le priorità dei propri sforzi se non si sa di cosa si dispone. Cosa è fondamentale? Cosa è soggetto a regolamentazione? Cosa è necessario affinché la nostra azienda funzioni e generi ricavi?
La maggior parte delle organizzazioni ha difficoltà con questo aspetto, soprattutto a causa della diffusione dell’IT decentralizzato e dell’IT ombra. Oltre al CSF, la maggior parte degli altri quadri di riferimento per la sicurezza informatica e delle linee guida normative richiede che l’identificazione e l’inventario dei sistemi e dei dati costituiscano un passo fondamentale.
Per “protezione” si intendono le tecnologie implementate per impedire fin dall’inizio agli aggressori di accedere ai dati. Ciò comprende l’intera gamma di tecnologie, dagli scanner di vulnerabilità alla gestione delle identità e degli accessi, fino agli antivirus e agli anti-malware.
Questi strumenti devono essere configurati correttamente e, soprattutto, implementati su tutti i dispositivi e i sistemi dell’organizzazione. Non sempre è così. A volte, gli acquisti vengono effettuati con le carte di credito aziendali (P-card), senza passare dal reparto IT. Altre volte, i sistemi semplicemente non vengono aggiornati correttamente e quindi utilizzano software obsoleto e vulnerabile.
“Rilevare” significa predisporre delle trappole e assicurarsi che gli allarmi scattino quando si verificano eventi che indicano qualcosa di insolito. Purtroppo, molte organizzazioni dispongono di decine di strumenti che generano milioni di avvisi per individuare gli autori delle minacce che si infiltrano nei loro sistemi.
Questo massiccio afflusso di avvisi, che possono o meno indicare un vero e proprio problema, può causare una “stanchezza da avvisi”: si finisce per dedicare una quantità enorme di tempo a indagare su possibili anomalie, solo per scoprire che si trattava di falsi positivi. Ciò distoglie inoltre l’attenzione da altri avvisi, che potrebbero invece rappresentare minacce reali.
Abbiamo poi le due “R” del framework: “Respond” (Rispondere) e “Recover” (Ripristinare). È proprio in questi due ambiti della sicurezza informatica che viene messa alla prova la vostra tempra. Le organizzazioni subiranno violazioni. Non è una questione di “se”, ma di “quando e con quale gravità?”.
Per eccellere nella “Risposta”, i team devono essere allineati su molti fronti: una leadership efficace, una strategia e delle tattiche solide, un’ottima documentazione e pianificazione e, cosa più importante di tutte, la pratica.
Quando si tratta di gestire gli incidenti, non sarete all’altezza della situazione, ma vi limiterete a raggiungere il livello di preparazione che avete raggiunto. Senza esercitarvi e testare le procedure che avete messo a punto, andrete incontro a un potenziale fallimento o, quantomeno, a uno stress maggiore del necessario quando si verificherà un incidente reale.
La fase di “ripristino” è quella in cui si passa all’azione concreta. A seguito dell’inevitabile violazione, spetta a tutti i membri dei team di sicurezza e IT riportare i sistemi e gli ambienti allo stato normale. Ma per farlo è necessario fare un passo indietro e riflettere su come procedere in modo sicuro, efficace e senza ripristinare i malintenzionati e tutto ciò che hanno compromesso.
Affinché ogni elemento sia efficace, è necessario dedicargli lo stesso livello di rigore e attenzione. Purtroppo, non è sempre così. Storicamente, le organizzazioni hanno concentrato la maggior parte degli sforzi e degli investimenti sulla prevenzione degli incidenti informatici, piuttosto che sulla definizione di tecnologie, processi e flussi di lavoro rigorosi da seguire nel caso in cui si verifichi un incidente informatico.
Con i dati distribuiti in ambienti ibridi, la prevenzione non è più sufficiente. Le aziende di ogni dimensione cercano tranquillità in un mondo ibrido caotico. I responsabili della sicurezza e i CISO devono adattare le proprie strategie per garantire una Recovery senza intoppi e la resilienza informatica, nonché implementare pratiche, processi e tecnologie incentrati sulla pulizia e sulla recuperabilità dei dati.
Il ransomware ha cambiato il volto della Recovery. A causa dell’aumento delle minacce informatiche, i responsabili della sicurezza stanno valutando l’adozione di ambienti di Recovery isolati (IRE) come sedi sicure e non infette in cui effettuare la Recovery. Tuttavia, data la complessità degli attacchi che si verificano, l’IRE deve essere qualcosa di più di un semplice spazio sicuro. È una parte del processo di Recovery, ma non è tutto.
Commvault® Cloud Cleanroom™ Recovery è una soluzione completa per il collaudo e il failover che offre un nuovo e sicuro IRE (Integrated Recovery Environment) finalizzato a (1) testare i piani di ripristino informatico, (2) condurre analisi forensi e (3) garantire la continuità operativa in caso di violazione.
Abbandonare le misure preventive e investire nella risposta e nella Recovery
Che si consideri il CSF come un elenco o meno, le organizzazioni, nel bene o nel male, hanno iniziato dall’alto o da destra. Il problema risiede nella natura sequenziale del lavoro. La maggior parte delle organizzazioni non arriva alle fasi di “Risposta” o “Ripristino” perché ha dedicato tutto il proprio tempo e denaro alle fasi di “Protezione” e “Rilevamento”.
Il fatto che le organizzazioni non abbiano distribuito il proprio budget e le proprie risorse su tutte le sezioni del CSF ha fatto sì che gli aggressori continuino ad avere il sopravvento. Quando riescono a superare le difese ed eludere i sistemi di rilevamento, la risposta agli incidenti fornita dal tipico team di sicurezza informatica può svolgere un ottimo lavoro nell’indagare sulla violazione, ma non molto in termini di ripristino.
Non è sempre possibile fare affidamento sui backup del team IT
Considerando che il tempo medio di permanenza degli aggressori all’interno delle organizzazioni è pari a 204 giorni, è probabile che questi abbiano individuato, infiltrato e forse compromesso i vostri backup. Si tratta di un argomento che tratteremo in un prossimo articolo del blog, ma che vale assolutamente la pena sottolineare in questa sede. Quando si ha a che fare con violazioni, non solo i vostri dati di produzione saranno probabilmente manomessi, ma un numero crescente di autori di minacce sta attivamente cercando anche di vanificare e compromettere alcune delle misure che avete adottato per garantire il ripristino di copie integre dei dati.
Non basta limitarsi a bloccare un indirizzo IP
Molti strumenti reagiscono alle violazioni bloccando gli indirizzi IP per espellere gli aggressori dalla rete. Ma questo metodo non funziona più con il cloud. Gli aggressori hanno trovato o acquistato credenziali legittime e/o si sono infiltrati nei vostri sistemi di gestione delle identità e degli accessi. Di conseguenza, ora sono diventati utenti legittimi.
In poche parole, non ci si può fidare di nulla
In un mondo in cui, a seguito di una violazione, si sente spesso parlare di “zero trust”, la fiducia non esiste davvero e non dovrebbe nemmeno esistere. I dati devono essere analizzati minuziosamente e controllati per verificare la presenza di eventuali infezioni. L’infrastruttura deve essere ricostruita per garantire che vi abbiano accesso solo le persone autorizzate.
Se state cercando modi per migliorare la resilienza informatica della vostra organizzazione, contattate il nostro team commerciale di Commvault per una consulenza. Discuteremo insieme tutti gli elementi che costituiscono una valida strategia di Recovery informatico, da adattare alle esigenze della vostra azienda.
