Un sistema informatico o una rete ben gestita è solitamente indice di sicurezza: questo è un principio fondamentale per qualsiasi framework (come, ad esempio, il NIST in ambito di cyber security), di standard internazionali (ad es. ISO 27000), le best practice (come i 20 controlli critici di CIS) o una certificazione professionale (ad es. CISSP), ma anche per molte delle linee guida presentate in ambito di cyber hygiene e posture management.
Lato cyber security tutti i framework, gli standard e le best practice indicano che le strategie devono partire da alcuni fondamentali:
- un inventario di tutti gli asset presenti sulla rete;
- configurazioni più rigide;
- account con privilegi ridotti e proporzionati;
- classificazione del sistema e dei dati;
- rilevamento rapido delle vulnerabilità e mitigazione;
- monitoraggio continuo.
Indice degli argomenti
La complessità della cyber hygiene e del posture management
La cyber hygiene e il posture management sono gli equivalenti, in ambito automotive, dei consigli sulla manutenzione come il periodico cambio dell’olio e il controllo dei livelli. Accorgimenti in grado di ridurre il rischio che insorgano problemi più costosi nel futuro.
Ogni esperto di cyber security dovrebbe conoscere l’importanza dei fondamentali, ma è importante anche ricordare che questi non sono così semplici da implementare nella pratica. E questo per diversi motivi.
La gestione del cyber rischio è sempre più difficile. In un recente sondaggio condotto da ESG, l’84% delle aziende, degli IT e dei security manager hanno affermato che il cyber rischio è superiore rispetto a due anni fa, a causa di una dipendenza maggiore verso la tecnologia, una superficie d’attacco più ampia e uno scenario fatto di minacce sempre più pericolose.
Le vulnerabilità per i software sono diverse e in costante aumento. Il 70% dei professionisti impegnati in ambito IT e security dichiarano che il volume delle vulnerabilità verso software è complesso anche solo da gestire.
Questo perché è necessario molto tempo e denaro per rilevare queste vulnerabilità, capire quali di queste potrebbero essere sfruttate tramite exploit, prioritizzare le patch, lavorare sulla gestione delle patch stesse, ecc. Si parla, nel complesso, di migliaia di vulnerabilità software a livello aziendale, per quasi la totalità delle aziende che operano in ambito digitale.
La cyber hygiene e il posture management sono ambiti a gestione prettamente manuale. Quasi la metà dei decision maker nel settore della cyber security (46%) sostiene che il monitoraggio costante di questi due aspetti rappresenta la sfida principale nella gestione del cyber rischio. Perché? Principalmente per una scarsa condivisione di un sapere comune.
Il solo modo per ottenere una prospettiva più precisa della situazione passa per una condivisione di tutti i data point.
Sfortunatamente, gli strumenti usati in ambito di security hygiene e posture management non sono ancora in grado di raggiungere questo obiettivo, essendo troppo focalizzati su aspetti come asset, configurazioni, privilegi utente, vulnerabilità dei software ed efficacia dei controlli di sicurezza.
Ai CISO serve un team di analisti e uno stuolo di fogli di calcolo per avere un’istantanea completa della situazione, con tutte le risorse e il rischio di errore che ne conseguono.
Cyber hygiene e best practice: come approcciare la questione
Il caso SolarWinds introduce ancora più complessità. Prima di questo attacco, il 47% dei decision maker in ambito cyber security affermava che monitorare i rischi associati ai vendor in ambito IT era il principale problema nella gestione dei rischi.
Probabilmente tale valore è incrementato.
Questo significa un impegno superiore nella supervisione a partire dall’acquisto, passando per i test e per l’operatività su campo.
Ed è utile capire come approcciare la questione:
- gestire con attenzione la superficie potenziale d’attacco. Invece che basarsi su database per la gestione della configurazione (CMDB) e altri tipi di sistemi gestionali per asset, i team di sicurezza devono adottare tool personalizzati per il monitoraggio e la gestione della superficie d’attacco;
- concentrarsi sull’argenteria. Ovvero, a fronte di un inventario degli asset digitali contenuti nel sistema, aumentare la protezione per quelli dal valore superiore, cosiddetti business-critical. Sebbene possa sembrare ovvio, non è semplice da implementare, dato che è necessario un lavoro di classificazione degli asset preciso e attento.
- aumentare i test, perché indipendentemente dall’impegno verso la cyber hygiene e il posture management, gli addetti alla cyber security non hanno mai la certezza se sono protetti o meno.
Conclusione
Per alleviare queste preoccupazioni, molte aziende stanno aumentando la frequenza e la profondità dei test e dell’attività di red teaming, ma non dobbiamo neppure sottovalutare l’importanza di Vulnerability Assessment e Network Scanning!
Come non è da ignorare la capacità cruciale di “giocare d’anticipo” che possiamo ricavare dalla Threat Intelligence.
Non abbassiamo la guardia.
