La trasformazione digitale comporta un impatto profondo in ogni ambito di mercato. L’introduzione dei sistemi digitali nei processi di business, infatti, cambia il modo di lavorare e cambia anche i controlli di sicurezza necessari alla tutela delle informazioni.
Il numero di normative europee, italiane e di tipo specialistico (direttiva NIS2, regolamento DORA, Reg 38/2018 dell’Istituto di Vigilanza delle Assicurazioni (IVASS), Linee guida EIOPA, è cresciuto in modo significativo obbligando i CISO ad un difficile bilanciamento fra gli obblighi normativi, i requisiti di business, i budget disponibili e gli obiettivi di performance.
Ne abbiamo parlato con Nunzio Bucello, head of cyber security presso Sara Assicurazioni S.p.A. e con Sergio Insalaco, head of IT governance security and continuity del Gruppo Unipol.
Regolamento DORA: le novità nella gestione degli incidenti e nei test di resilienza
Indice degli argomenti
Le normative cardine del settore assicurativo e le priorità dei CISO
A seguito dell’entrata in vigore del DORA, dell’aggiornamento delle linee guida EIOPA e alla luce del reg. 38 IVASS, le compagnie assicurative sono intervenute sulle misure della loro security roadmap per migliorare l’impostazione alla resilienza contro le principali minacce informatiche.
Sergio Insalaco chiarisce come sia le linee guida EIOPA che il regolamento 38 IVASS riguardino la sicurezza delle informazioni e la gestione del rischio nel settore assicurativo e come mirino a migliorare la protezione dei dati personali e la sicurezza informatica all’interno delle organizzazioni assicurative.
Quindi operativamente sono necessari interventi specifici a cui nessuna compagnia può sottrarsi.
A questo proposito Sergio Insalaco sottolinea come in Unipolsai la roadmap di sicurezza esistente sia stata integrata con alcuni adeguamenti a specifici requisiti normativi, in particolare con interventi di miglioramento procedurale e formale.
Tali interventi hanno riguardato la politica di sicurezza delle informazioni, l’analisi del rischio, la procedura di gestione degli incidenti, la gestione delle terze parti, le iniziative di formazione e awareness sui rischi cyber per il personale.
Nunzio Bucello spiega invece l’evoluzione in Sara Assicurazioni e come si stiano adoperando per recepire il DORA entro i termini stabiliti dalla legge e sulla base dei requisiti tecnici che verranno emanati dalle Supervisory Authorities.
Un intervento non del tutto indolore specialmente a livelli organizzativi: “Le valutazioni – spiega – svolte per decretare il livello di copertura attuale dei controlli introdotti dal nuovo regolamento non hanno evidenziato scostamenti sostanziali, a mio parere, se non di tipo organizzativo. Le attività oggi già in essere hanno obiettivi precisi ma è necessario un coordinamento che vada a legare le diverse attività per il raggiungimento di uno scopo comune: la resilienza dei servizi digitali a favore di una più ampia scelta di servizi finanziari e soluzioni di pagamento offerti a consumatori ed imprese moderne, garantendo al tempo stesso la tutela degli stessi e la stabilità finanziaria”.
Nunzio Bucello chiarisce anche che la security roadmap della Compagnia viene aggiornata con cadenza annuale, e che al termine dello scorso anno sono stati pianificati interventi volti al rafforzamento dei processi core per garantire la sicurezza delle informazioni e una pronta ed efficace risposta ai sempre più frequenti attacchi informatici.
Le attività operative richiedono un impegno costante nel controllo e nel monitoraggio dei rischi tramite processi definiti e automatizzati per cui, l’organo di gestione nel processo di valutazione del rischio ICT e la funzione di Cyber Security, con il supporto del CISO, cooperano al fine di adottare soluzioni di continuità in grado di coprire tutti gli scenari di minaccia e identificare le relative contromisure, effettuando attività di assessment su una piattaforma di Governance Risk & Compliance (GRC).
Lo strumento ha il vantaggio di centralizzare le operazioni e favorire il coordinamento e lo scambio di informazioni tra le varie funzioni, sempre in un’ottica più orientata alla valutazione e gestione del “rischio” della Compagnia.
Attacchi ransomware in calo e anche i relativi profitti: cosa sta succedendo
Prevenzione e contrasto in caso di ransoware: impariamo dai CISO
In aggiunta alla regolamentazione in essere, il contesto della Cybersecurity è anche caratterizzato da un panorama della minaccia sempre molto “fervido”.
L’ultimo rapporto Clusit 2023 ha evidenziato un massiccio incremento degli attacchi cyber nel nostro Paese (+169%), oltre che a livello globale (+21%).
Gli attacchi verso strutture e organizzazioni italiane costituiscono il 7,6% degli incidenti globali e, nell’83% dei casi, hanno avuto conseguenze “molto gravi” o “critiche”.
Sul fronte ransomware poi, la minaccia non solo attacca, ma in caso di pagamento da parte dell’azienda vittima (che ricordiamo è vietato dalla legge corrente n.d.r.) di fatto, l’azienda si trova a finanziare in media, almeno altri nove attacchi.
Il dato emerge da “What Decision Makers Need to Know About Ransomware Risk”, l’ultima ricerca Trend Micro.
In questo contesto Alex Galimi, Sales Engineer del Vendor di security della company spiega che “lo studio descrive le minacce da un punto di vista strategico, tattico, operativo e tecnico, oltre a sfruttare una data science avanzata per elencare le caratteristiche dei cybercriminali e quindi la ricerca punta ad aiutare i decisori IT a comprendere meglio l’esposizione al rischio e a fornire ai responsabili istituzionali le informazioni di cui hanno bisogno per elaborare strategie di difesa più efficaci”.
Cosa succede da questo punto di vista nelle compagnie assicurative lo spiegano i due CISO. Per Nunzio Bucello “la risposta ai sempre più frequenti attacchi verso i target sensibili richiede una tutela attraverso una politica di difesa preventiva, al fine di agevolare la risposta proattiva alle minacce. Sono periodicamente eseguite valutazioni delle vulnerabilità, test sulla sicurezza della rete, verifica delle prestazioni, penetration test.
È previsto il continuo aggiornamento dei sistemi software e hardware presenti all’interno della rete aziendale per aumentare il livello di protezione e di resilienza rispetto al continuo mutamento dello scenario di rischio al quale l’Organizzazione è esposta.
Ovviamente cerchiamo di essere sempre informati sulle evoluzioni degli attacchi informatici in ambito italiano e non solo: ritengo che lo scenario geo-politico che stiamo vivendo porti ad una “globalizzazione” dei target oggetto di interesse da parte dell’attaccante (sempre più strutture organizzate e con scopi ben precisi).
Questa evoluzione può essere contrastata solo con l’information sharing e con avanzati servizi di Threat Intelligence e Protection, cui tutti gli attori coinvolti devono partecipare e che necessitano un coordinamento operativo prima a livello di mercato e poi a livello nazionale”.
Sergio Insalaco, sul suo fronte d’azione anti-ransomware, precisa che “i recenti e sempre più frequenti attacchi ransomware, incrementati prima con la diffusione dello smart working e poi con la guerra Russia-Ucraina, hanno portato molte organizzazioni ad introdurre in modo crescente azioni e implementazioni preventive specifiche per mitigare il rischio di tali attacchi.
Enti autorevoli quali il CSIRT nazionale, l’ACN e l’ENISA offrono costantemente indicazioni anche molto operative per irrobustire i livelli di cyber security aziendali. Alcune delle azioni e implementazioni preventive specifiche da adottare includono:
- Backup regolari dei dati: Le organizzazioni dovrebbero implementare un sistema di backup regolare dei dati per assicurarsi di avere una copia di sicurezza delle informazioni importanti in caso di un attacco ransomware. Questo può aiutare a ridurre la dipendenza dal pagamento del riscatto per recuperare i dati critici.
- Aggiornamenti del software: Mantenere il software aggiornato con gli ultimi aggiornamenti di sicurezza può ridurre il rischio di exploit di vulnerabilità note da parte degli attaccanti.
- Multifactor Authentication, per mitigare il furto di credenziali e il loro utilizzo fraudolento.
- Implementazione di un sistema di gestione delle vulnerabilità: Le organizzazioni dovrebbero implementare un sistema di gestione delle vulnerabilità per identificare e risolvere le vulnerabilità prima che vengano sfruttate dagli attaccanti.
- Implementazione di un sistema di sicurezza multilivello: Le organizzazioni possono implementare un sistema di sicurezza multilivello, che comprende firewall, software antivirus e antimalware, antispam, url/content filtering, per ridurre il rischio di infezione ransomware.
- Formazione e sensibilizzazione dei dipendenti: Poiché molte infezioni ransomware iniziano con il clic di un link dannoso o il download di un file infetto, è importante che i dipendenti delle organizzazioni siano formati e consapevoli delle best practice per proteggere le informazioni e rilevare potenziali minacce.
Queste sono solo alcune delle azioni e implementazioni preventive specifiche che le organizzazioni possono adottare per mitigare il rischio di attacchi ransomware. È importante notare che le organizzazioni dovrebbero anche monitorare costantemente la propria sicurezza informatica e aggiornare le proprie strategie di sicurezza in base alle minacce emergenti”.
Conservazione e cancellazione dei dati: ecco i requisiti normativi e le best practice
Gestione strategica integrata con la sicurezza
Tutte le misure di sicurezza discusse fin qui sono propedeutiche alla compliance, ma necessarie anche da un punto di vista pratico e operativo, perché la resilienza non si ottiene solo mediante la compliance normativa, ma anche e soprattutto mediante interventi adeguati alla realtà aziendale, commisurati al rischio e ai budget e alle competenze disponibili nelle compagnie.
La conferma arriva anche da Sergio Insalaco che chiarisce proprio come l’implementazione delle indicazioni della NIS2 o delle linee guida EIOPA, reg. 38 IVASS, possa aiutare le organizzazioni a garantire la conformità normativa in materia di sicurezza informatica, ma che tuttavia l’adeguamento alle norme, non garantisce necessariamente un appropriato livello di sicurezza e resilienza in un ambiente in continuo movimento: “Le organizzazioni devono valutare costantemente il proprio scenario di rischio e adottare misure adeguate per affrontare le minacce emergenti. L’implementazione di un approccio di sicurezza informatica basato sul rischio può aiutare le organizzazioni ad identificare le aree di vulnerabilità e ad adottare misure appropriate per mitigare il rischio.
Inoltre, l’adeguamento alle norme di sicurezza informatica non dovrebbe essere considerato come un obiettivo finale, ma piuttosto come un processo continuo. Le organizzazioni devono rimanere costantemente aggiornate sulle nuove minacce emergenti e adottare misure adeguate a mitigare il rischio.
Le best practice di sicurezza informatica, come la gestione delle vulnerabilità, la formazione dei dipendenti, la crittografia dei dati e il monitoraggio della sicurezza, dovrebbero essere implementate da tutte le organizzazioni come parte di un programma di sicurezza informatica a lungo termine”.
Il dinamismo, insomma, nella continua serie di aggiustamenti di sicurezza commisurati al rischio è un “must”, un vero dovere operativo che non può essere tralasciato o ritardato.
Una considerazione finale a questo proposito la fa Nunzio Bucello che ricorda come si viva un’intensa fase di trasformazione digitale, con cambiamenti tecnologici e infrastrutturali sempre più rapidi: “Per garantire che le esigenze di sicurezza siano adeguatamente soddisfatte, sono necessari aggiornamenti frequenti sul panorama delle minacce e sui rischi derivanti, che risultano essere amplificati dall’interoperabilità di questi cambiamenti.
Pertanto, si rende necessario implementare programmi sempre più efficaci per la protezione del patrimonio informativo e l’automatizzazione dei processi di gestione del rischio.
L’obiettivo è una gestione strategica ed integrata della sicurezza, con particolare attenzione a fornire garanzie sulla continuità e resilienza del business.
Il ruolo del CISO in questo scenario risulta essere sempre più determinante per allineare le iniziative di sicurezza ai programmi aziendali e agli obiettivi di business.
In conclusione, posso però dire che negli ultimi anni i controlli introdotti dalle normative non rispondono ad una mera necessità di compliance.
Il livello di dettaglio a cui oggi si spinge la regolamentazione è veramente avanzato e costringe le aziende a cambiare il modo di lavorare ed approcciare il problema: questo cambio di paradigma ha sicuramente portato ad una crescita del livello di resilienza generale del mercato italiano e più che introdurre ulteriori misure specifiche mi concentrerei nel consolidare ed oliare i processi e le misure introdotte di recente. C’è ancora tanto lavoro da fare e siamo pronti a farlo”.
