Cinque capacità chiave della resilienza cyber: come le aziende possono superare gli attacchi

In un momento in cui le minacce informatiche si fanno sempre più vaste e articolate, il Cyber Recovery Readiness Report 2024 di Commvault, realizzato in collaborazione con la società di ricerca GigaOm, fornisce approfondimenti critici e informazioni concrete per guidare CISO, CIO e responsabili delle decisioni in materia di IT e sicurezza nel panorama in costante evoluzione della resilienza informatica.

Condotta su 1.000 intervistati in 11 Paesi nel campo della sicurezza e dell’IT, l’indagine affronta direttamente una domanda fondamentale: cosa possono fare le aziende per essere più resilienti ai cyber attacchi?

Strategie di cyber recovery: cinque capacità chiave

Con l’83% delle aziende intervistate che ha subito una violazione materiale di sicurezza, di cui oltre il 50% solo nell’ultimo anno, è evidente l’urgente necessità di solide strategie di cyber recovery che richiedono un più ampio spettro di pratiche che vanno oltre i tradizionali piani di disaster recovery.

È quindi possibile individuare cinque capacità chiave, definite anche indicatori di resilienza (resiliency marker) che, se implementate insieme, possono aiutare le aziende a ripristinare più velocemente dai cyber attacchi e a subire meno violazioni rispetto a quelle che non hanno seguito lo stesso percorso.

Questi cinque indicatori sono emersi dopo che i data analyst hanno esaminato i risultati dell’indagine, concentrandosi su una serie di temi, tra cui la frequenza delle violazioni subite, le tecnologie di resilienza utilizzate e la rapidità con cui le aziende sono state in grado di recuperare i dati e riprendere le normali attività.

Questi gli indicatori di resilienza individuati:

1. Tool di sicurezza che permettono di segnalare tempestivamente i rischi, anche quelli interni.
2. Un dark site o un sistema secondario noto e pulito.
3. Un ambiente isolato per conservare una copia immutabile dei dati.
4. Runbook, ruoli e processi ben definiti per la risposta agli incidenti.
5. Misure specifiche per dimostrare la prontezza e il rischio di cyber recovery.

Nella valutazione dei risultati, solo il 13% degli intervistati è stato definito come maturo in termini di cyber resilienza (cioè con almeno 4 indicatori) e solo il 4% li ha implementati tutti.

Dall’indagine, inoltre, sono emerse numerose osservazioni molto interessanti:

1. Ripristini più rapidi: le aziende mature dal punto di vista cyber, ovvero quelle che hanno implementato almeno quattro dei cinque indicatori di resilienza, si sono riprese più rapidamente del 41% rispetto a quelle con uno o nessun indicatore.
2. Meno violazioni: in generale, le aziende cyber mature riferiscono di aver subito meno violazioni rispetto a quelle con meno di quattro resilience marker.
3. Maggiore fiducia nella preparazione informatica: il 54% delle aziende mature dal punto di vista cyber mostrava totale fiducia nella propria capacità di riprendersi da una violazione, rispetto al 33% di quelle meno preparate.
4. La frequenza dei test fa la differenza: il 70% delle aziende cyber mature ha testato i propri piani di ripristino con cadenza trimestrale, rispetto al 43% di quelle con uno o nessun indicatore, che hanno effettuato i test con la stessa frequenza.

Strategie di cyber recovery in costante evoluzione

Per molte aziende, la strategia di cyber recovery è un processo in costante evoluzione. Anche in questo caso, il 38% degli intervistati riconosce che i propri sforzi potrebbero essere migliorati.

Per farlo, sarebbe opportuno guardare a esempi più maturi, che danno priorità a pratiche differenti, ad esempio ai test e backup dei dati critici, ma attribuiscono anche altrettanta importanza alla capacità di lavorare su più fornitori di cloud, alla comprensione e al tagging delle applicazioni business-critical e alla rapida messa in funzione di un ambiente pulito, risultando così più robusti di fronte a una violazione.

Il risultato è una postura di sicurezza più solida e una migliore resilienza informatica, con la probabilità di subire una violazione di circa la metà rispetto alle aziende meno mature.

“Uno dei risultati principali della ricerca è che, per progredire veramente nella preparazione informatica, le aziende non possono adottare facili scorciatoie. Abbiamo riscontrato differenze significative in termini di resilienza tra chi ha implementato uno o due marcatori di resilienza rispetto a quattro o cinque,” è il commento di Chris Ray, Cybersecurity Analyst di GigaOm. “È fondamentale che le imprese pensino alla resilienza su più livelli. Oggi lo fa meno dell’85% degli intervistati. Questa situazione deve cambiare rapidamente se le aziende vogliono essere resilienti e avere la meglio sui malintenzionati”.

Cyber recovery e disaster recovery: le differenze

È importante notare che, sebbene alcune aziende si preparino al cyber recovery come elemento di un piano di disaster recovery generale, non sono la stessa cosa.

I piani di disaster recovery vengono creati in previsione di eventi più prevedibili, come guasti hardware o disastri naturali come incendi e inondazioni. Sebbene questo tipo di eventi sia certamente devastante, le aziende sono solitamente in grado di tornare online più rapidamente perché seguono le fasi di un piano predefinito.

Inoltre, in caso di disastro naturale, è probabile che i dati siano affidabili.

Pertanto, il disaster recovery può concentrarsi sull’integrità delle informazioni, sulla velocità di ripristino e sul raggiungimento degli obiettivi di recovery stabiliti.

Gli eventi informatici sono diversi. Nel caso di un attacco cyber, non è detto che i dati siano affidabili; pertanto, i recovery plan devono includere gli elementi importanti per un ripristino pulito e affidabile, in modo da non peggiorare la situazione come i meccanismi basati su Zero Trust.

Gli intervistati riconoscono l’importanza di questo aspetto, con oltre il 90% che afferma che la propria azienda gestisce disaster recovery e cyber recovery separatamente, evidenziando la consapevolezza della distinzione, e preparandosi di conseguenza.

Conclusione

Approfondendo l’analisi di queste capacità emergono pratiche fondamentali per qualsiasi strategia di preparazione cyber, tra cui il test per la cyber recovery readiness.

Le aziende che si concentrano solo sui test per il ripristino in caso di emergenza mostrano di non avere ben chiara la situazione.

La costante evoluzione delle minacce IT rende essenziali attività moderne e frequenti di test per il cyber recovery, in modo che gli ambienti non vengano reinfettati e i processi di ripristino siano solidi e affidabili.