Identifying Hazards to Better Prepare for Cyberattacks

Identificazione dei pericoli per prepararsi meglio agli attacchi informatici

Autore: Bob Violino

I Chief Information Officer dovrebbero esplorare o addirittura abbracciare una strategia di difesa ad ampio spettro, un modo più efficace di approcciarsi alla sicurezza, incentrato su pericoli interni, che potrebbero causare costose violazioni.

Ma quanto costose? Riprendersi da un incidente DDoS (Distributed Denial of Service) può costare a un istituto finanziario in media 1,2 milioni di dollari, in confronto ai 952.000 dollari impiegati dalle aziende di altri settori, secondo un rapporto del 2017 di Kaspersky Lab.

Identifying Hazards to Better
Un approccio ad ampio spettro può difendere da minacce impreviste costringendo le organizzazioni a considerare e analizzare i pericoli esistenti.

Alcune aziende, come Akamai Technologies, provider della piattaforma di cloud delivery globale, hanno fatto della difesa ad ampio spettro un componente fondamentale dei propri programmi di cyber sicurezza.

Finora la difesa contro le minacce informatiche si è basata su requisiti dettati dalla conformità normativa o dagli standard del settore. Di conseguenza, le difese potrebbero non avere molto a che vedere con le minacce e le vulnerabilità reali per la sicurezza dell'azienda.

"Con questo approccio, non dovrete aspettare e anticiperete le modifiche da apportare nel panorama della sicurezza", ha spiegato Andy Ellis, Chief Security Officer presso Akamai.

Cosa importante, una tradizionale strategia potrebbe non tenere conto delle minacce ransomware o DDoS più recenti. Chiunque può paralizzare un'azienda se non è pronta a difendersi dagli attacchi.

Ampliare le difese

Un approccio ad ampio spettro può difendere da minacce impreviste costringendo le organizzazioni a considerare e analizzare i pericoli esistenti. Spesso questi pericoli si basano su variabili come il tipo di azienda, in che modo essa lavora online, dove si trova e l'accesso che offre ai dipendenti, ai partner commerciali e ai clienti.

Con una difesa ad ampio spettro, prima di lanciare una nuova applicazione sul web, un'azienda dovrà prima fare un elenco dei possibili pericoli derivanti dall'andare avanti.

"Un esempio di pericolo sarebbe un database di applicazioni online", ha detto Ellis. "Dovete fare un passo indietro e chiedervi quali siano le perdite inaccettabili che affrontate facendo tutto questo".

Se l'applicazione rischia di esporre un database che ospita le informazioni personali dei clienti, ad esempio, ciò sarebbe considerata una perdita inaccettabile e il progetto non andrebbe avanti, a meno che il rischio non fosse prima mitigato.

La gestione della sicurezza in tal modo potrebbe anche aiutare i dirigenti della sicurezza a convincere i leader aziendali del perché la sicurezza è importante. Anziché dire ai dirigenti dell'azienda che è disponibile un nuovo insieme di difese, ad esempio, un Chief Information Security Officer dovrebbe illustrare dettagliatamente le conseguenze di una violazione.

"Potrebbe essere difficile convincere l'azienda ad acquistare un firewall per le applicazioni web, ma è semplice convincerla se si fa presente che tale soluzione è essenziale per la protezione dei dati che non si desidera divulgare", ha detto Ellis. "Questo approccio vi consente di collegare gli strumenti che volete acquisire ai pericoli che tentate di mitigare. Il punto chiave è focalizzarsi sul pericolo".

Il lavoro dei responsabili della sicurezza e dei CIO è quello di accertarsi che tutti i pericoli principali siano stati presi in considerazione.

Creando un elenco completo, "probabilmente riuscirete a difendervi dagli avversari sconosciuti", ha detto Ellis.

La natura e la posizione della risorsa rendono l'organizzazione vulnerabile a prescindere dalla minaccia: sia che si tratti di un attacco SQL injection o di qualcos'altro, non ancora nemmeno immaginabile.

Creazione di rapporti

Una strategia di difesa ad ampio spettro può aiutare a ottenere fondi per le iniziative di sicurezza. Ma i fondi potrebbero non essere la vera sfida.

"Il compito più difficile è rafforzare la notorietà e la diffusione delle vostre soluzioni presso i partner aziendali", ha detto Ellis.

È necessario istruire i partner aziendali sui rischi aziendali. "Ciò richiede l'instaurazione di rapporti tra i partner aziendali, cosa che potrebbe risultare difficile", ha affermato.

È compito del CIO e del dirigente della sicurezza promuovere una difesa ad ampio spettro, insegnando agli altri quali siano le perdite inaccettabili.

L'idea di creare una difesa ad ampio spettro è ancora poco nota a molte aziende, sebbene alcune di esse che lavorano nel settore dei servizi finanziari l'hanno usata per qualche tempo, ha detto Ellis.

Il concetto può funzionare per aziende di qualsiasi tipo e dimensione, sebbene le aziende più piccole, alle quali mancano risorse interne, potrebbero aver bisogno di aiuto per iniziare. Questo aiuto potrebbe derivare da un provider di servizi di sicurezza gestito.

Servendosi di questo approccio, ha continuato Ellis, un'organizzazione può creare un programma di sicurezza basato sui rischi reali e più strettamente concentrato su ciò che è necessario proteggere.

Bob Violino è uno scrittore freelance nel campo aziendale e tecnologico, le cui sfere di competenza includono il cloud computing, la cyber sicurezza e i big data.

Related CIO Content