Key Risk Indicator: ecco come valutare la postura cyber aziendale

I Key Risk Indicator (KRI) sono un utile strumento per comprendere l’adeguatezza della propria cyber posture. Tuttavia, un approccio one size fits all potrebbe non riflettere il contesto aziendale oggetto di misurazione.

Per questo motivo, nella breve riflessione che segue vengono proposti alcuni razionali da considerare nella definizione di un modello di misurazione del rischio cyber.

Come definire Key Risk Indicator rilevanti

La letteratura scientifica e le best practice riportano diversi approcci per la definizione di risk indicator in ambito cyber. Districarsi tra i vari modelli può risultare challenging, soprattutto se si è in cerca di metriche “plug&play” che possano essere facilmente integrate nei modelli già adottati dalla propria azienda.

Al fine di definire KRI rilevanti, risulta quindi utile definire in prima istanza quali razionali possano essere applicati.

Uno di questi potrebbe considerare l’entità del “vantaggio” che viene fornito ad un potenziale attaccante dalle “vulnerabilità” misurate dai KRI. È necessario, quindi, comprendere come qualificare i KRI secondo tale razionale. Ad esempio, come valutiamo un KRI relativo alla presenza di asset critici non patchati rispetto ad un KRI riguardante l’awareness cyber del personale?

Il razionale suggerito consente di rispondere solo parzialmente a tale domanda. Infatti, non è possibile esprimere con certezza se un attaccante utilizzerà come entry point un exploit su una vulnerabilità di un asset critico oppure un payload trasmesso tramite phishing. Come ben noto, ciò dipende da molteplici fattori spesso legati alle caratteristiche dell’attaccante, del target e delle circostanze.

I fattori per comparare i KRI in aree differenti

È certo che l’esempio riportato compara due KRI di “aree” della cyber security differenti, una più legata alle tecnologie e una al fattore umano.

Ci chiediamo, invece, se all’interno di una stessa “area” i KRI possano essere comparati”. Ad esempio possiamo comparare in termini di rilevanza un il KRI descritto sopra (patching) con un KRI relativo alle misconfiguration in Cloud?

Anche in questo caso vi sono diversi fattori specifici che devono essere considerati come, ad esempio, la tipologia di dati che viene mantenuta in Cloud.

Tuttavia, in questo caso la vicinanza tematica che lega entrambi i KRI favorisce la possibilità di comparazione, seguendo essenzialmente i criteri di prioritizzazione degli asset secondo la criticità dei processi.

E se, invece, considerassimo due KRI in un’area diversa da quella tecnologica?

Se, ad esempio, prendiamo in esame due KRI legati al fattore umano come, ad esempio, il livello di awareness cyber o la soddisfazione del personale, emergono diversi punti di attenzione rispetto alle possibilità di comparazione.

Entrambi i KRI forniscono indicazioni su potenziali rischi informatici: nel primo caso, la mancanza di consapevolezza può facilitare i threat actor che utilizzino tecniche di social engineering; mentre nel secondo caso l’insoddisfazione del personale potrebbe indurre in comportamenti ostili e di insider threat.

Tuttavia, per poter comparare i due KRI dobbiamo necessariamente considerare ulteriori elementi legati alle specifiche dell’oggetto misurato.

Ad esempio, nel primo caso è rilevante considerare la tipologia di training condotto o l’efficienza di misurazione dei risultati mentre nel secondo caso sarebbe necessario meglio definire quale sia la correlazione con il rischio di insider threat.

Da un certo punto di vista, potremmo considerare che nelle aree diverse da quella tecnologica, vi siano molteplici fattori legati al contesto interno che complicano ulteriormente la possibilità di comparare i KRI al fine di determinarne la rilevanza.

Come possiamo dunque adottare un approccio che consenta la comparazione, laddove possibile, di KRI eterogenei?

Le sfide legate alla misurazione dei KRI

Per rispondere a questa domanda facciamo un passo indietro e consideriamo brevemente quali sono le challenge principali legate alla misurazione dei KRI:

1. Scegliere la modalità di misurazione adeguata. Ad esempio, possiamo misurare la soddisfazione del personale, attraverso survey qualitative, quantitative o quali-quantitative. Ma quale sarebbe la modalità migliore? Sicuramente ciò dipende in primis dalla tipologia di domande e dal grado di rappresentatività delle risposte ottenute rispetto al grado di soddisfazione. Anche se possiamo identificare preliminarmente una long list di domande rilevanti queste dovranno essere necessariamente adattate al contesto aziendale, al fine non solo di cogliere il grado di soddisfazione del personale, ma anche di identificare le cause di un’eventuale insoddisfazione.
2. L’aggregazione e la sintesi logica dei KRI. Nel caso in cui si verifichi la necessità di aggregare più KRI, le operazioni matematiche di aggregazione potrebbero introdurre dei margini di errore relativi al peso applicato ad ogni KRI.
3. Identificare le domande specifiche per raccogliere le informazioni richieste. Esiste una molteplicità di potenziale domande rilevanti per ogni KRI. Ad esempio, se volessimo misurare l’inefficienza della struttura di cyber security responsabile delle policy potremmo ad esempio misurare il delta tra il momento in cui la policy viene richiesta e il momento in cui viene approvata, oppure potremmo identificare la variazione di eventuali rilievi dell’audit nel corso del tempo. Tuttavia, come ben noto, nell’ambito di organizzazioni complesse spesso le cause dei delay o dei rilievi possono essere molteplici e addirittura esogene all’organizzazione. Questo ostacola la comprensione dei fattori causali più rilevanti per la misurazione del KRI.
4. Identificare i fattori causali. Come riportato nel punto precedente per misurare ogni KRI, possono essere poste molteplici domande. Tali domande possono rilevare vari fattori causali potenzialmente rilevanti per il rischio misurato. È possibile in via teorica districarsi tra il grado di causalità dei fattori identificati, ma molto spesso anche ciò introduce un elemento di soggettività nella misurazione del KRI.
5. Capacità di ricondurre i KRI al rischio cyber. Come osservato dall’analisi di diversi incidenti su organizzazioni complesse, gli scenari di minaccia cyber possono avere molteplici cause e anche le attività di forensics per identificare le root cause spesso non forniscono spiegazioni mono-causali. Questa difficoltà si ripropone anche quando si cerca di comprendere come diversi KRI impattino sul rischio cyber.

Nonostante esistano diverse altre challenge nella misurazione dei KRI, già da quanto riportato risulta evidente che le challenge derivano soprattutto dalla commistione e sovrapposizione di diversi fattori che possono contribuire al rischio cyber.

Da un certo punto di vista ciò è ontologicamente legato alla natura degli “attacchi”, i quali composti da diversi “step” (TTPs), si adattano e modificano a seconda di quanto scoperto nel corso dell’attacco e di come il target reagisce.

Difatti, identificare precisamente le root cause di un attacco cyber può spesso ridursi ad un chicken and egg issue, dove sicuramente esistono degli step definiti (anche in letteratura es. Cyber Kill Chain), ma dal punto di vista dei difensori risulta difficile affermare con certezza quali presidi di sicurezza avrebbero evitato o mitigato l’attacco.

Quale affidabilità nella misurazione dei KRI

Queste sfide costituiscono una premessa utile al fine di dare il giusto valore ai KRI in ambito cyber. Infatti, secondo quanto riportato potremmo affermare che la capacità di un KRI di identificare correttamente un rischio per la cyber security può essere sostenuta in modo probabilistico e non assoluto.

In aggiunta, secondo quanto osservato si potrebbe inoltre affermare che l’affidabilità delle misurazioni è proporzionale rispetto alla granularità del KRI misurato.

Quest’ultima osservazione è particolarmente rilevante se consideriamo le operazioni di sintesi che devono essere effettuate al fine di presentare i KRI all’interno di report direzionali.

Infatti, presentare KRI a livello strategico, intendendo misurazioni quantitative, potrebbe non riflettere il contesto misurato proprio perché non verrebbero considerati tutti i margini di errore derivati dalla misurazione probabilistica dei KRI.

L’approccio corretto per la misurazione dei KRI

Che impatto hanno queste osservazioni rispetto all’approccio proposto dal FAIR Institute per la misurazione dei KRI?

In sintesi, il FAIR propone di considerare per ogni KRI il relativo risk appetite e la loss exposure. Per cui ad esempio si richiede rispetto ad il KRI relativo al patching descritto sopra, di comprendere quale impatto materiale avrebbe nel caso di compromissione dell’oggetto misurato e se questo impatto non oltrepassi le soglie di tolleranza derivate dal risk appetite.

Ovviamente, questo approccio introduce un ulteriore elemento di complessità, ovvero identificare quali siano le soglie di tolleranza e come derivarle da un risk appetite definito a livello strategico.

Possiamo affermare che le stesse considerazioni effettuate si applicano anche alla metodologia FAIR. Anzi, la necessità di comprendere la loss exposure di ogni KRI andrà ad esacerbare le difficoltà di misurazione descritte.

Difatti, se la capacità di legare un KRI al rischio cyber introduce margini di errore e se è il threat model stesso a darci indicazioni in merito ai possibili impatti (ovviamente calato sul contesto aziendale), alla compliance in ambito patching e configurazioni viene considerato come il delay rispetto alle tempistiche previste possa generare una loss exposure ed eventualmente quale sia la soglia di tolleranza derivata dal risk appetite.

Ci sono due ulteriori fattori che devono essere considerati in base a quanto suggerito dal FAIR, in particolare:

1. la capacità per ogni KRI di capire la correlazione o il fattore di moltiplicazione rispetto alla loss exposure;
2. comprendere la relazione tra una variazione dei presidi di sicurezza e la Loss Exposure.

Essere in grado di comprendere appieno queste interconnessioni consente di completare i vari legami logico razionali che garantiscono la validità del modello di KRI adottato.

Spunti utili alla valutazione della cyber postura aziendale

Dunque, quali spunti di riflessione possiamo cogliere rispetto a quanto osservato relativamente alla misurazione dei KRI di cyber security?

È possibile ponderare i KRI al fine di fornire una sintesi funzionale, se si considera che:

I KRI possono essere ponderati e comparati se parte di una stessa “area” (es. tecnologica, fattore umano)

1. I KRI in aree non tecnologiche spesso introducono più elementi “circostanziali” che diminuiscono l’affidabilità delle misurazioni (es. fattore umano).
2. La ponderazione introduce necessariamente elementi soggettivi di valutazione e quindi potenziali margini di errore.
3. La rappresentazione sintetica dei KRI potrebbe esacerbare il margine di errore e non rappresentare precisamente il contesto misurato.

Questi elementi dovrebbero essere considerati per sviluppare un modello di monitoraggio dei KRI aderente al contesto aziendale che possa essere utilizzato in combinazione con il modello di monitoraggio dei KPI di cyber security.

La relazione tra KRI e KPI è stata a lungo approfondita nella letteratura scientifica. Mentre i KRI sono metriche che segnalano il livello di esposizione ai rischi di un’organizzazione, i KPI sono metriche che misurano le performance operative di un’organizzazione, concentrandosi sull’efficienza e l’efficacia nel raggiungimento degli obiettivi aziendali.

Entrambi gli indicatori aiutano a identificare e quantificare i potenziali rischi che potrebbero compromettere la capacità dell’organizzazione di raggiungere i propri obiettivi.

Infatti, delle performance disattese possono generare dei rischi per quanto riguarda la gestione della cybersecurity e degli indicatori di rischio elevati possono suggerire delle performance insufficienti.

Data questa relazione è rilevante osservare che la comparazione tra KRI e KPI può suggerire insight di interesse per efficientare la gestione della cyber security e mitigare i rischi.

Tuttavia, al fine di comprendere come questi indicatori possano “incastrarsi”, sarebbe opportuno schematizzare in maniera speculare KRI e KPI secondo i razionali descritti.

In questo modo potremmo analizzare più facilmente se e come una data performance insufficiente impatti sul rischio cyber o viceversa.

Conclusione

Questa breve riflessione voleva sottolineare le complessità dietro la misurazione / quantificazione del rischio cyber.

Come proposto devono essere considerati diversi razionali al fine di produrre misurazioni che siano in linea con il contesto aziendale.

In caso contrario, i numeri espressi potrebbero solo indicare delle “vanity metrics”.