Strategia di resilienza informatica per ambienti ibridi

In un mondo pericoloso e imprevedibile, una strategia di resilienza informatica rappresenta il kit di sopravvivenza digitale della vostra organizzazione. Progettato per garantire un rapido ripristino e la continuità operativa a seguito di un attacco informatico – e per prevenire tali incidenti in primo luogo – il giusto quadro di resilienza informatica può trasformare potenziali catastrofi in inconvenienti momentanei. Ma prima di tutto, è necessario affrontare le sfide specifiche in materia di resilienza informatica poste dagli ambienti ibridi.

Vi spiegheremo come costruire e implementare un quadro di riferimento efficace per la resilienza informatica, al fine di mantenere i vostri ambienti ibridi operativi a sostegno della vostra attività.

Indipendentemente dal tipo di infrastruttura utilizzata da un’azienda – on-premise, interamente cloud o ibrida – sviluppare la resilienza informatica richiede ben più che mettere insieme un assortimento di misure di sicurezza. Per garantire una protezione e una preparazione coerenti in ogni parte dell’ambiente, le organizzazioni mature adottano un quadro di riferimento per la resilienza informatica che definisce un approccio completo alla gestione del rischio informatico. Le best practice descritte in questi quadri di riferimento possono aiutarti a ridurre al minimo le interruzioni, proteggere la tua reputazione, allinearti ai requisiti normativi e rimanere agile di fronte a minacce in continua evoluzione.

Tra i quadri di riferimento consolidati che guidano le organizzazioni nella costruzione della resilienza informatica figurano:

• Quadro di riferimento per la sicurezza informatica del NIST – Una serie di requisiti articolati attorno a cinque funzioni fondamentali: identificazione, protezione, rilevamento, risposta e ripristino.

• MITRE Cyber Resilience Engineering Framework (CREF) – Tecniche specifiche di resilienza quali la risposta adattiva, l’inganno e il posizionamento dinamico.

• Quadro di riferimento britannico per la valutazione della sicurezza informatica (CAF) – 14 principi a sostegno di quattro obiettivi principali: gestione dei rischi per la sicurezza, protezione dagli attacchi informatici, individuazione degli eventi di sicurezza informatica e riduzione al minimo dell’impatto degli incidenti.

Questi framework rappresentano un punto di partenza fondamentale per lo sviluppo della propria strategia di resilienza informatica. Tuttavia, la loro applicazione in un ambiente ibrido comporta un certo grado di difficoltà.

L’approccio alla resilienza informatica potrebbe risultare più semplice in un ambiente IT completamente virtualizzato o on-premise. Tuttavia, in un ambiente ibrido, la resilienza informatica diventa particolarmente impegnativa a causa della diversità delle tecnologie on-premise e cloud in uso. I team di sicurezza devono ora tenere conto di:

• Crescente complessità – Con le risorse distribuite su più ambienti, aumentano i potenziali punti di accesso per gli aggressori. I servizi cloud e i sistemi on-premise possono richiedere misure di sicurezza diverse, rendendo più difficile adottare un approccio olistico alla protezione.

• Movimento e accesso ai dati – Negli ambienti ibridi, i dati circolano costantemente tra i sistemi e le piattaforme cloud, spesso attraverso reti pubbliche. Il trasferimento sicuro dei dati e una gestione coerente degli accessi sono di importanza cruciale.

• Visibilità e monitoraggio – Ottenere una visione completa e unificata dei sistemi e dei dati, sia nelle risorse on-premise che in quelle basate sul cloud, è tutt’altro che semplice. Per identificare anomalie e potenziali minacce, i team SecOps devono correlare i dati provenienti da più fonti, ambienti e strumenti.

• Risposta agli incidenti e Recovery – I piani di risposta agli incidenti devono tenere conto sia dei componenti on-premise che di quelli basati sul cloud. Garantire una Recovery coerente e rapida in ambienti diversi richiede un’attenta pianificazione e strumenti specializzati.

• Conformità e governance – I dati archiviati in locale e nel cloud possono essere soggetti a normative diverse, il che aumenta l’onere della conformità. In molti settori e regioni, i requisiti in materia di sicurezza e sovranità dei dati impongono regole rigorose riguardo al luogo in cui i dati possono essere archiviati ed elaborati.

• Flessibilità e scalabilità – Lo spostamento dei carichi di lavoro tra ambienti on-premise e cloud può modificare i requisiti di sicurezza. La vostra strategia di resilienza informatica deve essere in grado di stare al passo con questi cambiamenti.

Tenendo conto di questi fattori, possiamo analizzare gli elementi chiave di una strategia di resilienza informatica, comprese le considerazioni specifiche per gli ambienti ibridi.

• Valutazione dei rischi
La valutazione dei rischi si concentra sull’identificazione e sulla valutazione delle potenziali minacce e vulnerabilità. Analizzandone la probabilità e l’impatto, è possibile assegnare la priorità alle risorse e agli sforzi laddove sono più urgentemente necessari. In un ambiente ibrido, ciò inizia con la creazione di un inventario completo di tutte le risorse, sia in loco che nel cloud, compreso l’hardware fisico,di macchine virtuali, servizi cloud e archivi di dati. Sarà inoltre necessario valutare i rischi associati al trasferimento dei dati tra gli ambienti, compresa la possibilità di controlli di sicurezza non uniformi tra le piattaforme ed eventuali differenze in materia di conformità tra i dati locali e quelli ospitati nel cloud.

I test di sicurezza sono una parte fondamentale della valutazione dei rischi, poiché aiutano a comprendere quanto efficacemente i dati siano protetti da vari tipi di minacce. I test di penetrazione possono aiutare a identificare le vulnerabilità nei sistemi, nelle reti e nelle applicazioni prima che possano essere sfruttate dagli aggressori. L’intelligenza artificiale può aiutare ad automatizzare alcuni aspetti dei test di sicurezza, come la scansione delle vulnerabilità, e ad analizzare i risultati dei test di penetrazione per identificare modelli e tendenze.

• Prevenzione
La prevenzione si concretizza in misure proattive e tecnologie difensive volte a bloccare potenziali attacchi in tutti i vostri diversi ambienti. Ciò include l’implementazione di solidi controlli di sicurezza quali firewall, sistemi di prevenzione delle intrusioni e crittografia sia per le risorse on-premise che per quelle basate sul cloud. Un sistema unificato di gestione delle identità e degli accessi (IAM) che funzioni senza soluzione di continuità su tutte le piattaforme può supportare l’approccio zero trust applicando il principio del privilegio minimo a tutte le vostre risorse, ovunque si trovino. La segmentazione della rete, un altro elemento dello zero trust, risulta più complessa in un ambiente ibrido, ma non per questo meno critica.

Per colmare tempestivamente le lacune di sicurezza, i team IT devono assicurarsi di coordinare l’applicazione delle patch e degli aggiornamenti su tutti i sistemi, anche quando ciò comporta processi diversi per le infrastrutture on-premise e cloud. Una gestione sicura delle configurazioni su tutti i componenti del proprio ambiente ibrido può aiutare a verificare che gli standard di sicurezza di base siano mantenuti in modo coerente.

• Rilevamento
Il rilevamento in un ambiente ibrido richiede un approccio unificato al monitoraggio e all’intelligence sulle minacce sia nelle infrastrutture on-premise che in quelle cloud. È necessario un sistema avanzato di gestione delle informazioni e degli eventi di sicurezza (SIEM) in grado di raccogliere e correlare dati provenienti da diverse fonti, inclusi server on-premise, dispositivi di rete e servizi cloud.

Gli algoritmi di rilevamento delle anomalie alla base dei controlli di sicurezza dovranno essere sufficientemente sofisticati da comprendere i modelli di comportamento normali nell’intera infrastruttura ibrida, compresi i cambiamenti improvvisi come il comportamento di auto-scaling nel cloud. Il monitoraggio continuo dovrebbe concentrarsi sui movimenti di dati o sui modelli di accesso insoliti tra gli ambienti on-premise e cloud. L’infrastruttura ibrida richiede inoltre strumenti di rilevamento e risposta per la rete e gli endpoint (NDR/EDR) in grado di operare efficacemente in entrambi i tipi di ambiente.

• Risposta
Le strategie di risposta in un ambiente ibrido devono essere agili e coordinate tra tutte le componenti dell’infrastruttura. Per evitare che i silos organizzativi ostacolino la resilienza, i piani di risposta agli incidenti dovrebbero definire chiaramente ruoli e responsabilità dei membri del team che si occupano di incidenti sia in locale che nel cloud. Tali piani devono tenere conto della potenziale complessità del contenimento delle minacce che potrebbero spostarsi tra ambienti diversi.

Man mano che sviluppate e potenziate la vostra capacità di risposta, assicuratevi che i vostri strumenti funzionino senza soluzione di continuità in tutti gli ambienti. Ad esempio, le funzionalità di risposta automatizzata possono accelerare la risoluzione degli incidenti, ma prestate particolare attenzione a come interagiscono con le diverse parti dell’infrastruttura ibrida. Gli strumenti e le procedure forensi devono essere adattati per raccogliere e analizzare le prove provenienti sia dagli ambienti fisici che da quelli virtuali.

• Recovery
Il Recovery – ovvero il Recovery delle operazioni e dei dati a seguito di un incidente – può rivelarsi una questione particolarmente delicata in un ambiente ibrido. È necessario poter eseguire il backup e il ripristino dei dati in modo rapido e sicuro, indipendentemente dalla loro posizione originale, il che può richiedere l’utilizzo di strumenti di migrazione dei dati multipiattaforma. I piani di Recovery dovrebbero dare priorità alle funzioni aziendali critiche e tenere conto delle dipendenze tra i servizi on-premise e quelli cloud. È fondamentale testare regolarmente le procedure di Recovery, simulando scenari che interessano diverse parti dell’infrastruttura ibrida.

Il cloud offre alcuni vantaggi che facilitano la Recovery, come la possibilità di effettuare il failover verso i servizi cloud se i sistemi on-premise sono compromessi o viceversa.

• Test
Quando si verifica un incidente – non “se” – non vorrete certo che i vostri team di sicurezza e IT siano sopraffatti dalla complessità della risposta agli incidenti in un ambiente ibrido. Effettuare test regolari dei vostri controlli di sicurezza, compresi i test di penetrazione, vi consentirà diindividuare eventuali vulnerabilità e contribuirà a migliorare la Readiness operativa. Le esercitazioni teoriche e gli attacchi simulati contribuiranno a identificare le lacune nel piano di risposta agli incidenti e a confermare che tutti i membri del team comprendano i propri ruoli. Il piano dovrebbe inoltre includere procedure per l’analisi post-incidente, al fine di trarre insegnamenti da ogni evento e migliorare le risposte future.

• Adattamento
La resilienza informatica è un processo continuo, non un momento isolato nel tempo. Sarà necessario valutare e aggiornare costantemente la propria strategia e le misure di sicurezza per far fronte alle nuove minacce e ai cambiamenti che interessano l’infrastruttura, le applicazioni e la strategia di archiviazione dei dati. Ciò può comportare l’adozione di nuovi strumenti di sicurezza nel cloud, l’aggiornamento delle misure di sicurezza in loco o l’implementazione di nuove strategie di integrazione tra i due ambienti.

Le informazioni sulle minacce possono aiutarvi ad adeguare in modo proattivo le difese sulla base della comprensione di come i nuovi vettori di attacco potrebbero sfruttare le caratteristiche specifiche del vostro ambiente ibrido. Dovreste inoltre promuovere una cultura del miglioramento continuo, incoraggiando il feedback da parte dei team di sicurezza e incorporando gli insegnamenti tratti dagli incidenti per migliorare la resilienza complessiva.

• Formazione dei dipendenti
Elemento fondamentale ma spesso trascurato di qualsiasi strategia di sicurezza, la formazione dei dipendenti in un ambiente ibrido è essenziale per garantire la resilienza informatica su piattaforme diverse. I vostri programmi dovrebbero trattare le migliori pratiche di sicurezza sia per i sistemi on-premise che per quelli basati sul cloud, compreso come accedere e gestire in modo sicuro i dati in ambienti diversi utilizzando VPN, l’autenticazione a più fattori e metodi sicuri di condivisione dei file.

In un ambiente zero-trust, i dipendenti devono comprendere perché potrebbe essere loro richiesto di autenticarsi ripetutamente. La formazione sulla consapevolezza del phishing dovrebbe includere scenari specifici per gli ambienti ibridi, come il riconoscimento dei tentativi di furto delle credenziali cloud. Dovrebbero essere condotte simulazioni ed esercitazioni regolari per testare la capacità dei dipendenti di identificare e rispondere alle minacce sia in contesti on-premise che cloud. Il personale IT e di sicurezza dovrebbe ricevere una formazione specializzata sulla gestione e la protezione degli ambienti ibridi.