Strategia di resilienza informatica per ambienti ibridi

In un mondo pericoloso e imprevedibile, una strategia di resilienza informatica rappresenta il kit di sopravvivenza digitale della vostra organizzazione. Progettato per garantire un rapido ripristino e la continuità operativa a seguito di un attacco informatico – e per prevenire tali incidenti in primo luogo – il giusto quadro di resilienza informatica può trasformare potenziali catastrofi in inconvenienti momentanei. Ma prima di tutto, è necessario affrontare le sfide specifiche in materia di resilienza informatica poste dagli ambienti ibridi.

Vi spiegheremo come costruire e implementare un quadro di riferimento efficace per la resilienza informatica, al fine di mantenere operativi i vostri ambienti ibridi a sostegno della vostra attività.

Indipendentemente dal tipo di infrastruttura utilizzata da un’azienda – on-premise, interamente cloud o ibrida – sviluppare la resilienza informatica richiede ben più che mettere insieme una serie di misure di sicurezza. Per garantire una protezione e una preparazione coerenti in ogni parte dell’ambiente, le organizzazioni mature adottano un quadro di riferimento per la resilienza informatica che definisce un approccio completo alla gestione del rischio informatico. Le best practice descritte in questi quadri di riferimento possono aiutarti a ridurre al minimo le interruzioni, proteggere la tua reputazione, allinearti ai requisiti normativi e rimanere agile di fronte a minacce in continua evoluzione.

Tra i quadri di riferimento consolidati che guidano le organizzazioni nella costruzione della resilienza informatica figurano:

• Quadro di riferimento per la sicurezza informatica del NIST – Una serie di requisiti organizzati attorno a cinque funzioni fondamentali: identificazione, protezione, rilevamento, risposta e ripristino.

• MITRE Cyber Resilience Engineering Framework (CREF) – Tecniche specifiche di resilienza quali la risposta adattiva, l’inganno e il posizionamento dinamico.

• UK Cyber Assessment Framework (CAF) – 14 principi a sostegno di quattro obiettivi principali: gestione del rischio di sicurezza, protezione dagli attacchi informatici, rilevamento degli eventi di sicurezza informatica e riduzione al minimo dell’impatto degli incidenti.

Questi framework rappresentano un punto di partenza fondamentale per lo sviluppo della propria strategia di resilienza informatica. Tuttavia, la loro applicazione in un ambiente ibrido comporta un certo grado di difficoltà.

L’approccio alla resilienza informatica potrebbe risultare più semplice in un ambiente IT completamente virtualizzato o on-premise. Tuttavia, in un ambiente ibrido, la resilienza informatica diventa particolarmente impegnativa a causa della diversità delle tecnologie on-premise e cloud in uso. I team di sicurezza devono ora tenere conto di:

• Crescente complessità – Con le risorse distribuite su più ambienti, aumentano i potenziali punti di accesso per gli aggressori. I servizi cloud e i sistemi on-premise possono richiedere misure di sicurezza diverse, rendendo più difficile adottare un approccio olistico alla protezione.

• Movimento e accesso ai dati – Negli ambienti ibridi, i dati fluiscono costantemente tra i sistemi e le piattaforme cloud, spesso attraverso reti pubbliche. Il trasferimento sicuro dei dati e una gestione coerente degli accessi sono fondamentali per la missione.

• Visibilità e monitoraggio – Ottenere una visione completa e unificata dei sistemi e dei dati su tutte le risorse on-premise e basate sul cloud è tutt’altro che semplice. Per identificare anomalie e potenziali minacce, i team SecOps devono correlare i dati provenienti da più fonti, ambienti e strumenti.

• Risposta agli incidenti e Recovery – I piani di risposta agli incidenti devono tenere conto sia delle componenti on-premise che di quelle basate sul cloud. Garantire una Recovery coerente e rapida in ambienti eterogenei richiede un’attenta pianificazione e strumenti specializzati.

• Conformità e governance – I dati on-premise e nel cloud possono essere soggetti a normative diverse, aumentando l’onere della conformità. In molti settori e regioni, i requisiti di sicurezza e sovranità dei dati impongono regole rigide su dove i dati possono essere archiviati ed elaborati.

• Flessibilità e scalabilità – Lo spostamento dei carichi di lavoro tra ambienti on-premise e cloud può modificare i requisiti di sicurezza. La vostra strategia di resilienza informatica deve essere in grado di stare al passo con questi cambiamenti.

Tenendo conto di questi fattori, possiamo analizzare gli elementi chiave di una strategia di resilienza informatica, comprese le considerazioni specifiche per gli ambienti ibridi.

• Valutazione
dei rischi La valutazione dei rischi si concentra sull’identificazione e la valutazione di potenziali minacce e vulnerabilità. Analizzandone la probabilità e l’impatto, è possibile assegnare priorità alle risorse e agli sforzi laddove sono più urgentemente necessari. In un ambiente ibrido, ciò inizia con un inventario completo di tutte le risorse, sia on-premise che nel cloud, inclusi hardware fisico, macchine virtuali, servizi cloud e archivi di dati. Sarà inoltre necessario valutare i rischi associati al trasferimento dei dati tra gli ambienti, compresa la possibilità di controlli di sicurezza non uniformi tra le piattaforme ed eventuali differenze in materia di conformità tra i dati locali e quelli ospitati nel cloud.

I test di sicurezza sono una parte fondamentale della valutazione dei rischi, poiché aiutano a comprendere quanto efficacemente i dati siano protetti da vari tipi di minacce. I test di penetrazione possono aiutare a identificare le vulnerabilità nei sistemi, nelle reti e nelle applicazioni prima che possano essere sfruttate dagli aggressori. L’intelligenza artificiale può aiutare ad automatizzare alcuni aspetti dei test di sicurezza, come la scansione delle vulnerabilità, e ad analizzare i risultati dei test di penetrazione per individuare modelli e tendenze.

• Prevenzione
La prevenzione si concretizza in misure proattive e tecnologie difensive volte a bloccare potenziali attacchi nei vari ambienti. Ciò include l’implementazione di solidi controlli di sicurezza quali firewall, sistemi di prevenzione delle intrusioni e crittografia sia per le risorse on-premise che per quelle basate sul cloud. Un sistema unificato di gestione delle identità e degli accessi (IAM) che funzioni senza soluzione di continuità su tutte le piattaforme può supportare l’approccio zero trust applicando il principio del privilegio minimo a tutte le risorse, indipendentemente da dove si trovino. La segmentazione della rete, un altro elemento dello zero trust, è più complessa in un ambiente ibrido, ma non per questo meno critica.

Per colmare tempestivamente le lacune di sicurezza, i team IT devono assicurarsi di coordinare l’applicazione delle patch e degli aggiornamenti su tutti i sistemi, anche quando ciò comporta processi diversi per le infrastrutture on-premise e cloud. Una gestione sicura delle configurazioni su tutti i componenti del proprio ambiente ibrido può aiutare a verificare che gli standard di sicurezza di base siano mantenuti in modo coerente.

• Rilevamento
: il rilevamento in un ambiente ibrido richiede un approccio unificato al monitoraggio e all’intelligence sulle minacce sia nelle infrastrutture on-premise che in quelle cloud. Sarà necessario un sistema avanzato di gestione delle informazioni e degli eventi di sicurezza (SIEM) in grado di raccogliere e correlare dati provenienti da diverse fonti, inclusi server on-premise, dispositivi di rete e servizi cloud.

Gli algoritmi di rilevamento delle anomalie alla base dei controlli di sicurezza dovranno essere sufficientemente sofisticati da comprendere i modelli di comportamento normali nell’intera infrastruttura ibrida, compresi i cambiamenti improvvisi come il comportamento di auto-scaling nel cloud. Il monitoraggio continuo dovrebbe concentrarsi sui movimenti di dati o sui modelli di accesso insoliti tra gli ambienti on-premise e cloud. L’infrastruttura ibrida richiede inoltre strumenti di rilevamento e risposta per la rete e gli endpoint (NDR/EDR) in grado di operare efficacemente in entrambi i tipi di ambiente.

• Risposta
: le strategie di risposta in un ambiente ibrido devono essere agili e coordinate tra tutti i componenti dell’infrastruttura. Per evitare che i silos organizzativi ostacolino la resilienza, i piani di risposta agli incidenti dovrebbero definire chiaramente ruoli e responsabilità dei membri del team che gestiscono sia gli incidenti on-premise che quelli basati sul cloud. Questi piani devono tenere conto della potenziale complessità del contenimento delle minacce che potrebbero spostarsi tra ambienti diversi.

Man mano che sviluppate e potenziate la vostra capacità di risposta, assicuratevi che i vostri strumenti funzionino senza soluzione di continuità in tutti gli ambienti. Ad esempio, le funzionalità di risposta automatizzata possono accelerare la risoluzione degli incidenti, ma prestate particolare attenzione a come interagiscono con le diverse parti dell’infrastruttura ibrida. Gli strumenti e le procedure forensi devono essere adattati per raccogliere e analizzare le prove provenienti sia dagli ambienti fisici che da quelli virtuali.

•
Recovery – Il ripristino delle operazioni e dei dati a seguito di un incidente può rappresentare una questione particolarmente delicata in un ambiente ibrido. Sarà necessaria la capacità di eseguire il backup e il ripristino dei dati in modo rapido e sicuro indipendentemente dalla loro ubicazione originale, il che potrebbe comportare l’utilizzo di strumenti di migrazione dei dati multipiattaforma. I piani di ripristino dovrebbero dare priorità alle funzioni aziendali critiche e tenere conto delle dipendenze tra i servizi on-premise e quelli cloud. È fondamentale testare regolarmente le procedure di ripristino, simulando scenari che interessano diverse parti dell’infrastruttura ibrida.

Il cloud offre alcuni vantaggi che facilitano la Recovery, come la possibilità di effettuare il failover verso i servizi cloud se i sistemi on-premise sono compromessi o viceversa.

• Test
: quando si verifica un incidente – non “se” – non si vuole che i team di sicurezza e IT siano sopraffatti dalla complessità della risposta agli incidenti in un ambiente ibrido. Testare regolarmente i controlli di sicurezza, compresi i test di penetrazione, consentirà di individuare eventuali vulnerabilità e contribuirà a migliorare la Readiness operativa. Le esercitazioni teoriche e gli attacchi simulati contribuiranno a identificare le lacune nel piano di risposta agli incidenti e a confermare che tutti i membri del team comprendano i propri ruoli. Il piano dovrebbe inoltre includere procedure per l’analisi post-incidente, al fine di trarre insegnamenti da ogni evento e migliorare le risposte future.

• Adattamento
La resilienza informatica è un processo continuo, non un momento isolato nel tempo. Dovrete valutare e far evolvere continuamente la vostra strategia e le misure di sicurezza per affrontare nuove minacce e cambiamenti alla vostra infrastruttura, alle applicazioni e alla strategia di archiviazione dei dati. Ciò può includere l’adozione di nuovi strumenti di sicurezza cloud, l’aggiornamento delle misure di sicurezza on-premise o l’implementazione di nuove strategie di integrazione tra i due ambienti.

Le informazioni sulle minacce possono aiutarvi ad adeguare in modo proattivo le difese sulla base della comprensione di come i nuovi vettori di attacco potrebbero sfruttare le caratteristiche specifiche del vostro ambiente ibrido. Dovreste inoltre promuovere una cultura del miglioramento continuo, incoraggiando il feedback da parte dei team di sicurezza e incorporando gli insegnamenti tratti dagli incidenti per migliorare la resilienza complessiva.

• Formazione
dei dipendenti : elemento chiave ma spesso trascurato di qualsiasi strategia di sicurezza, la formazione dei dipendenti in un ambiente ibrido è fondamentale per mantenere la resilienza informatica su piattaforme diverse. I vostri programmi dovrebbero coprire le migliori pratiche di sicurezza sia per i sistemi on-premise che per quelli basati sul cloud, compreso come accedere e gestire in modo sicuro i dati in ambienti diversi utilizzando VPN, autenticazione a più fattori e metodi sicuri di condivisione dei file.

In un ambiente zero-trust, i dipendenti devono comprendere perché potrebbe essere loro richiesto di autenticarsi ripetutamente. La formazione sulla consapevolezza del phishing dovrebbe includere scenari specifici per gli ambienti ibridi, come il riconoscimento dei tentativi di furto delle credenziali cloud. Dovrebbero essere condotte simulazioni ed esercitazioni regolari per testare la capacità dei dipendenti di identificare e rispondere alle minacce sia in contesti on-premise che cloud. Il personale IT e di sicurezza dovrebbe ricevere una formazione specializzata sulla gestione e la protezione degli ambienti ibridi.