L’obiettivo di una gestione del rischio efficace è allineare gli obiettivi strategici dell’organizzazione con il valore di rischio che l’impresa ha deciso di accettare (assunzione di rischio, propensione al rischio) per soddisfare quegli obiettivi strategici.
Le misure adottate durante la valutazione del rischio e la sua continua gestione, comportano l’identificazione di un’area di minaccia e la determinazione della probabilità che l’impresa sia influenzata dal caso in cui il rischio si realizzi, dando luogo ad un incidente.
Tutto questo approccio è valido per qualsiasi rischio: finanziario, operativo, organizzativo e naturalmente vale anche per il rischio legato alla sicurezza informatica.
Infatti, il cosiddetto rischio cyber, ormai da diverso tempo, è da annoverarsi fra i rischi operativi per l’impresa, tanto da dover essere elevato a rischio di business, perché il verificarsi di un serio problema di sicurezza può avere impatti devastanti sulla continuità dell’azienda stessa e delle sue capacità commerciali.
Ne abbiamo parlato con Andrea Aluigi, Director di Cyber Partners per approfondire le modalità di quantificazione del rischio, le best practice e gli errori da evitare e le sfide da cogliere.
Indice degli argomenti
Quantificare per prioritizzare
La quantificazione del rischio di sicurezza (Cyber Risk Quantification) è una metodologia applicata alla più ampia area di gestione del rischio (risk management) che permette di misurare il livello di esposizione di un’organizzazione alle minacce informatiche e il potenziale impatto economico e reputazionale di un incidente di sicurezza.
Perimetrare, valutare e quantificare il rischio di un’organizzazione all’esposizione delle minacce attuali di cyber security, sono attività importanti e necessarie per garantire la sicurezza e la resilienza dei processi di business, nonché la sicurezza dei dati, delle informazioni, delle persone e dei loro diritti fondamentali.
Aluigi spiega che: “la quantificazione dei rischi di sicurezza rappresenta un indicatore a supporto delle scelte manageriali, perché permette di indirizzare alcuni degli investimenti ai fini della loro massimizzazione in termini di Ritorno dell’Investimento (ROI)”.
Nello sviluppo di un processo di analisi dei rischi le aree da analizzare sono molteplici: l’identificazione e la misurazione dei rischi relativi al perimetro interno ed esterno di un’organizzazione abilitano alla determinazione e implementazione di un piano di remediation, funzionale a irrobustire la postura di sicurezza dell’organizzazione stessa.
La gestione del rischio cyber non può prescindere dalla considerazione sia del perimetro interno di un’organizzazione, che di quello esterno.
In questo senso Aluigi, in funzione della sua esperienza, chiarisce che: “l’analisi di rischio sul perimetro interno necessita un approccio alla gestione di tipo inside-out. Ci si riferisce, in particolare, alla necessità di declinare un indicatore di rischio complessivo su una serie di domini tecnologici (o controlli) la cui individuazione ricalchi le aree di rischio individuate dagli standard internazionali (NIST, ISO, GDPR etc.). L’ approccio sul perimetro esterno procede invece, outside-in e si sviluppa a partire da tutte le informazioni di vulnerabilità che afferiscono agli asset collegati ad un dato dominio o sottodominio (ad es. un indirizzo IP)”.
“Un’altra area di rischio da tenere necessariamente in considerazione è la supply chain“, continua ancora Aluigi, “che tipicamente comprende i fornitori, i partner, i clienti e, in generale, i terzi che interagiscono con l’organizzazione e che possono essere tramite o bersaglio di attacchi. Un’ulteriore categoria di rischio è costituita dalle persone che seppur rappresentano una risorsa aziendale fondamentale, allo stesso tempo, possono costituire una criticità quando sono oggetto di tecniche malevole quali phishing o social engineering che fanno leva proprio sulle mancanze culturali e di awareness delle persone in ambito di cyber security”.
Anche la funzione di Governance aziendale è un ambito che incide notevolmente sulla gestione del rischio cyber. Per tale ragione, diventa fondamentale per le aziende curare ogni aspetto procedurale, di normativa o di standard di riferimento per la loro attività, che abbiano ripercussioni sulla compliance generale dell’azienda alle normative e agli standard italiani, europei e internazionali.
Modus operandi di un progetto di analisi di rischio
Premessa essenziale di un qualsiasi processo di quantificazione e gestione del rischio risiede nel forte commitment del board e del management effettivamente interessato ad irrobustire e fortificare la postura cyber dell’azienda e nel coinvolgimento del dipartimento ICT dell’organizzazione.
Aluigi specifica che: “il calcolo degli indicatori di rischio e la relativa quantificazione rappresentano gli output di un flusso di lavoro che ha origine da una serie di informazioni relative all’organizzazione in analisi (settore, geografia, dimensione, fatturato ecc.), al suo business e alle tecnologie implementate. Questi dati devono essere gestiti a 360 gradi, con il supporto di strumenti data driven capaci di correlare informazioni eterogenee ma, nel loro insieme, utili a generare il profilo di rischio dell’organizzazione. A tale scopo, Cyber Partners ha ideato uno strumento chiamato “HOLOS D2” il quale, con il suo applicativo “HOLOS Risk”, permette l’implementazione del processo di Cyber Risk Quantification. Il tool raccoglie informazioni e dati tecnologici sulle caratteristiche e la postura cyber di un’organizzazione, li correla e produce gli indicatori di rischio, sia generali e che specifici, ossia declinati sui vari domini tecnologici considerati. Vengono raccolti informazioni e dati con diverse modalità:
- la somministrazione di questionari adattabili alla struttura dell’organizzazione, permette di ottenere una valutazione del posture di security generale, ricalcando i controlli dei più importanti framework e standard internazionali attualmente in vigore;
- dall’acquisizione delle configurazioni tecnologiche a presidio della funzione di cyber security, è possibile apportare al calcolo del risk score complessivo, una valutazione più oggettiva;
- attingendo ai database delle minacce più comunemente perpetuate, individuate per settori e tipologie di business, è possibile declinare il risk score complessivo in base agli attacchi e agli attori criminali ai quali un operatore è più facilmente esposto.
Acquisiti questi input, si calcola un indicatore di rischio complessivo e lo si declina nei vari domini tecnologici presi in considerazione. L’obiettivo è ottenere un overall di rischio che permetta la predisposizione di un piano di remediation e l’esecuzione in un secondo assessment successivo alla sua implementazione, sino alla minimizzazione del rischio”.
In generale, la considerazione del dato finanziario nel modello della quantificazione del rischio di sicurezza (Cyber Risk Quantification) permette di ottenere un output di natura economico-finanziaria che esprime la perdita sopportata da un’organizzazione al verificarsi dello scenario di incidente informatico più grave; il dato finanziario allo stesso tempo, è utile a guidare il management nelle decisioni sugli investimenti, futuri in relazione a scenari di tipo “what-if” sulla base dell’allocazione di risorse finanziarie su alcuni progetti di remediation, piuttosto che altri.
Best practice di valutazione del rischio e impatti economici
Un’organizzazione può decidere di intraprendere un percorso di quantificazione del rischio (Cyber Risk Quantification) per analizzare la propria postura di cyber security o quella dei suoi fornitori.
Nel primo caso, si compie un assessment generale e tecnologico che restituisce un overall risk e un livello di maturità declinato sui controlli dei più autorevoli standard internazionali.
A tale scopo, è necessario individuare con precisione il perimetro della valutazione del rischio, concentrando l’analisi sulle applicazioni e sugli altri asset maggiormente esposti alla minaccia cibernetica, senza dimenticare le aree di rischio legate ai dipartimenti e ai processi dell’azienda, primi tra tutti, quelli del comparto di Information Technology (IT).
Aluigi suggerisce un preciso accorgimento: “Nella fase di raccolta degli input da considerare per l’assessment, è necessario considerare le sole informazioni relative alla postura cyber dell’organizzazione in analisi che siano effettivamente rilevanti ai fini dell’individuazione degli indicatori di rischio”.
Nei casi di valutazione del rischio di terze parti (Third Party Risk Management) o di analisi di rischio della catena di approvvigionamento (Supply Chain Risk Management), si effettua una valutazione della catena di fornitura di un’organizzazione, con l’obiettivo di mettere in sicurezza le terzi parti che possono risultare ‘meno mature’ da un punto di vista IT e Cyber. La scelta dei fornitori da sottoporre ad assessment è un momento delicato dell’analisi.
È consigliabile individuare i fornitori la cui criticità nella fornitura, si ripercuote nel volume e nell’attinenza ai processi di business dei beni e dei servizi che da essa dipendono.
È importante per Aluigi chiarire che “il modello della quantificazione del rischio (Cyber Risk Quantification) è uno strumento funzionale alla fornitura di servizi assicurativi a copertura del danno cibernetico. In tal senso, le compagnie assicurative hanno a disposizione una metodologia che permette di aggiungere, al calcolo del valore da assicurare e del premio assicurativo, i dati di rischio cyber e finanziario, entrambe necessari alla valutazione. Non è possibile, infatti, assicurare un asset dal verificarsi di un determinato evento, in questo caso, un incidente informatico, se il suo impatto finanziario non è noto”.
In questo senso, è quindi molto importante anche la scelta del framework di valutazione, che deve offrire modalità non solo limitate all’individuazione di uno score numerico, ma, affinché sia completa, deve anche permettere di produrre una relazione qualitativa sull’aderenza della postura di cyber security del soggetto aziendale valutato, rispetto ai maggiori standard di riferimento italiani, europei e internazionali, quali ad esempio, il NIST, gli standard ISO, il GDPR, la CMMC e tanti altri.
Non ultimo è bene ricordare che la quantificazione del rischio cyber rappresenta la base per una gap analysis funzionale all’ottenimento di certificazioni, sempre più necessarie per l’esecuzione di attività nel mondo della cyber security. Aluigi specifica che il team di Cyber Partners adotta come standard di riferimento il Framework Nazionale per la Cybersecurity e la Data Protection.
Sfide da gestire ed errori da evitare
Nel processo di identificazione e gestione del rischio vi sono errori da evitare accuratamente.
In particolare, è necessario ricordare che:
- Le organizzazioni non sono tutte uguali: è necessario considerare il contesto organizzativo e tecnico dell’azienda, gli asset critici, le minacce e le vulnerabilità esistenti, e il grado di maturità rispetto al rischio cyber. Quindi sempre, adattare il modello alle precise caratteristiche di ogni struttura di business.
- Le minacce mutano continuamente: trascurare l’evoluzione delle minacce e del rischio di una organizzazione è una sottostima dai risvolti fatali; dotarsi di strumenti capaci di identificare i rischi e le vulnerabilità di un’organizzazione, ma anche di monitorarli in real time, fornendo una visione olistica e continua della loro postura di cyber security, diventa quindi essenziale.
- Il perimetro di un’organizzazione può essere molto complesso. Condurre un’analisi imprecisa del perimetro esterno che sottovaluti, ad esempio, gli elementi eventualmente nascosti (ad es. gli Shadow IT) può indurre a valutazioni imprecise e poco aderenti alla reale postura cyber dell’Organizzazione.
In termini di sfide legate al processo di analisi del rischio, Aluigi sottolinea come la crescente dipendenza dei processi di business dall’infrastruttura IT e OT delle organizzazioni stia rendendo la gestione del rischio cibernetico una materia sempre più centrale nell’operato dei manager aziendali.
La traduzione del rischio cyber in termini economico-finanziari agevola il passaggio della cyber security dalle IT room alle Board room, offrendo linguaggi e obiettivi comuni ai vari dipartimenti impegnati nella gestione del rischio.
Inoltre, le abilità del modello di gestione e quantificazione del rischio (Cyber Risk Quantification) forniscono elementi di supporto alle decisioni, in relazione agli investimenti per le azioni di risoluzione (remediation), garantendo una massimizzazione del costo totale e un ritorno dell’investimento (Return of Investiment-ROI).
La sicurezza informatica deve essere considerata come un obiettivo comune in azienda e il modello di quantificazione del rischio (Cyber Risk Quantification) aiuta a concretizzare questa sfida, senza la quale nessuna organizzazione potrebbe mai ritenersi sicura.
Contributo editoriale sviluppato in collaborazione con Cyber Partners
