Ripresa resiliente: come riprendersi da un attacco informatico

Gli attacchi informatici possono rappresentare una realtà ineludibile per le imprese, ma grazie a un approccio strategico al Recovery informatico, le aziende possono uscirne più forti e sicure che mai.

Con circa 2.244 attacchi informatici al giorno – ovvero un attacco ogni 39 secondi – i responsabili della tecnologia e della sicurezza faticano a proteggere i propri ambienti, le risorse, i dati e i clienti da malintenzionati determinati e da un panorama di minacce in continua evoluzione. Ma nel mondo della sicurezza informatica, non conta solo la gravità dell’attacco subito, ma anche la capacità di reagire e andare avanti.

Per i responsabili della tecnologia e della sicurezza, ciò significa elaborare una solida strategia di cyber-Recovery che non solo rafforzi il proprio ambiente contro gli attacchi, ma faciliti anche un recupero rapido e sicuro e il ritorno alle normali operazioni aziendali. Le minacce informatiche continuano a essere in cima alla lista delle preoccupazioni aziendali tra i dirigenti di alto livello, con il 75% dei dirigenti che afferma che rappresentano un rischio moderato o grave.

Secondo il “Cyber Recovery Readiness Report” di Commvault e GigaOm, l’83% dei 1.000 leader globali intervistati ha dichiarato di aver subito una violazione della sicurezza di rilievo, il 55% ha riferito di non essere pienamente sicuro di poter ripristinare sistemi e dati a seguito di un incidente grave e il 42% ha ammesso di non avere chiarezza su chi sia responsabile della resilienza informatica e del ripristino.

Questi dati, insieme a innumerevoli altri, sottolineano l’urgente necessità di una strategia di Recovery informatico eccezionale. Per mitigare i rischi e garantire la sicurezza delle operazioni, le grandi aziende devono adottare un approccio di Recovery in “camera bianca”, in cui possano isolare le minacce, esaminare attentamente l’ambiente alla ricerca di infezioni e garantire un rapido ritorno a uno stato di sicurezza.

Il recupero dei dati in camera bianca va oltre i tradizionali approcci di gestione dei disastri o di recupero dei dati, poiché prevede la designazione di uno spazio separato e controllato per identificare la causa principale dei problemi di sicurezza. La camera bianca isola il problema in un’area separata, impedisce la diffusione di eventuali sistemi infetti e riduce il rischio di compromissione dei dati.

Innanzitutto, una camera bianca è un ambiente sicuro e isolato che protegge i dati sensibili dalle minacce esterne. Viene utilizzata per analizzare le prove digitali relative a incidenti informatici, violazioni, reati o attacchi. Consente alle organizzazioni di sicurezza di accelerare le indagini sugli incidenti e di ridurre il tempo medio di Recovery per un’organizzazione.

In alcuni casi, il recupero dei dati in un ambiente controllato avviene tramite una piattaforma basata sul cloud che permette di testare i punti di ripristino prima di ripristinare completamente i dati nei sistemi di produzione. L’ambiente isolato serve a molteplici scopi: mantiene separati i sistemi infetti, fornisce lo spazio necessario per esaminare l’ambiente e impedisce la diffusione dell’infezione a sistemi più ampi.

Il ripristino in un ambiente “cleanroom” richiede diverse funzionalità combinate per mitigare i rischi per l’ambiente.

Backup immutabili: l’archiviazione di una copia dei dati fisicamente isolata (air-gapped) e immutabile per garantire che rimanga intatta dagli attacchi e fornisca un punto di Recovery affidabile. Un backup immutabile è un file che non può essere alterato in alcun modo, progettato per impedire a malintenzionati o amministratori di modificare i dati. I backup immutabili hanno anche lo scopo di eliminare la possibilità che i dati vengano cancellati. I backup immutabili proteggono da disastri naturali ed errori umani, ma, cosa ancora più importante, garantiscono che, anche se un ambiente venisse compromesso, i dati rimangano al sicuro.

Ambiente di test isolato: utilizzo di una “cleanroom” in cui è possibile testare e verificare l’integrità dei backup prima di ripristinarli in produzione, riducendo al minimo il rischio di reinfezione. L’area separata offre un ambiente sicuro e isolato per testare i piani di ripristino informatico, condurre analisi forensi e garantire la continuità operativa in caso di violazione.

Recovery processi automatizzati: l’utilizzo di strumenti automatizzati per identificare rapidamente i sistemi compromessi e ripristinare i dati da backup integri, riducendo al minimo i tempi di inattività. A seguito di un attacco, le organizzazioni desiderano riprendere le operazioni aziendali, ma il processo è rallentato dalle numerose applicazioni che devono essere ricostruite con un approccio graduale e dispendioso in termini di tempo. L’automazione consente di ripristinare più rapidamente l’intero ambiente di applicazioni e dati cloud di un’organizzazione, comprese tutte le configurazioni necessarie dell’infrastruttura cloud, in modo molto più tempestivo.

Classificazione dei dati: l’implementazione di solide politiche di classificazione dei dati consente di categorizzare i dati in base al loro livello di sensibilità, ad esempio dati finanziari, informazioni di identificazione personale (PII) o proprietà intellettuale. Ciò permette ai responsabili della sicurezza di concentrarsi innanzitutto sul recupero dei dati critici, garantendo un’interruzione minima delle operazioni aziendali. Utilizzando strumenti di rilevamento per eseguire la scansione di un ambiente, i team di sicurezza possono identificare i dati sensibili presenti in diversi sistemi e analizzare il contenuto dei file, i metadati e i modelli di accesso per classificare accuratamente i dati. Queste informazioni contribuiranno ad accelerare i tempi di Recovery e a mantenere i sistemi critici disponibili per le operazioni aziendali.

Rilevamento precoce delle minacce: identificare e contenere potenziali attacchi informatici prima che questi crittografino o sottraggano dati critici consente un ripristino più rapido e pulito da ransomware o altri attacchi dannosi, isolando le copie dei dati non compromesse e riducendo al minimo i danni ai sistemi di produzione. La predisposizione di un sistema di allerta precoce protegge in modo proattivo i dati e riduce al minimo l’impatto di una violazione, isolando le copie dei dati interessate da un attacco. Identificando le attività dannose prima che si verifichino danni significativi, le aziende possono reagire immediatamente e avviare strategie di mitigazione.

Formazione sulla consapevolezza della sicurezza: organizzare regolarmente sessioni di formazione sulla consapevolezza della sicurezza per istruire i dipendenti sull’importanza dell’igiene informatica e delle misure di sicurezza.

Il cyber recovery fornisce alle organizzazioni potenti strumenti per test completi, analisi forensi e failover di produzione. Adottando la Cleanroom Recovery, le organizzazioni possono testare in tutta sicurezza i propri piani di cyber recovery, identificare e correggere le vulnerabilità e mantenere la continuità operativa di fronte agli attacchi informatici.

Le organizzazioni aziendali devono andare oltre il semplice Recovery; devono creare ambienti resilienti in grado non solo di resistere a un attacco, ma anche di riprendersi senza perdite di dati, danni al sistema o conseguenze finanziarie. Un Recovery informatico efficace può aiutare le organizzazioni a evitare perdite finanziarie, danni alla reputazione e azioni legali che possono derivare da un attacco informatico doloso.

Il ripristino informatico dovrebbe essere considerato un processo continuo, che può essere costantemente perfezionato e affinato man mano che l’organizzazione diventa sempre più resiliente. Un’organizzazione resiliente dal punto di vista informatico è in grado di adattarsi a sfide note e ignote, rispondendo alle minacce e riprendendosi dagli attacchi in modo rapido. Effettuando valutazioni approfondite dei rischi, implementando solide misure di sicurezza, creando un piano di risposta agli incidenti e formando regolarmente i dipendenti sulle migliori pratiche di sicurezza informatica, le imprese possono adattarsi rapidamente alle minacce informatiche in continua evoluzione e adeguare in modo proattivo le proprie strategie di sicurezza.

Le organizzazioni aziendali devono testare continuamente il proprio approccio al ripristino informatico per consentire un ritorno rapido e senza intoppi alle operazioni aziendali. Un approccio strategico che preveda il ripristino in un ambiente protetto aiuterà le aziende a progredire nel loro percorso verso la resilienza informatica.