CISO Insider: Problema 1

Il COVID-19 ha costretto le organizzazioni a ricorrere maggiormente alla flessibilità del luogo di lavoro e accelerare la trasformazione digitale, e questi cambiamenti naturalmente hanno reso necessarie alcune modifiche anche nelle tattiche di sicurezza. Il perimetro si è esteso ed è sempre più ibrido, estendendosi su più cloud e piattaforme. Anche se le nuove tecnologie sono state una manna per molte organizzazioni, rendendo possibile la produttività e la crescita anche in tempi così difficili, i cambiamenti hanno anche presentato un'opportunità per i criminali informatici, che lavorano per sfruttare le vulnerabilità trovate in ambienti digitali sempre più complessi.

L'aumento degli attacchi di phishing relativi al lavoro remoto è in cima alle priorità dei professionisti della sicurezza con cui ho parlato, e ciò è risultato anche dalla nostra ricerca. In un sondaggio condotto da Microsoft nel 2020, il 55% dei leader della sicurezza ha affermato che le loro organizzazioni avevano rilevato un aumento degli attacchi di phishing dall'inizio della pandemia e l'88% degli intervistati ha dichiarato che gli attacchi di phishing avevano interessato la loro organizzazione. Anch'io sento spesso parlare dell'aumento di attacchi ransomware, di come il malware rimanga una minaccia costante e di come la compromissione delle identità continui a essere una grave piaga che affligge i team della sicurezza.

Inoltre, sappiamo che gli attacchi stato-nazione sono sempre più aggressivi e persistenti. L'attacco alla catena di approvvigionamento NOBELIUM, sfruttando la piattaforma SolarWinds, è stato uno dei tanti nuovi attacchi che hanno riempito le prime pagine dei giornali nell'ultimo anno. Mentre nuove tecniche grossolane diventano spesso di tendenza, i CISO mi ripetono continuamente che anche questi attori di minacce avanzate, come la maggior parte dei criminali informatici, tendono a concentrarsi su attacchi a basso costo e a valore elevato.

Per chiarire ulteriormente questo punto, abbiamo visto un aumento di autori di attacchi stato-nazione che utilizzano la tecnica del password spraying. Essere un leader della sicurezza significa gestire i rischi e le priorità, e molti leader mi raccontano che il rafforzamento dell'igiene informatica per prevenire le linee di attacco più comuni, in particolare nel crescente footprint digitale, è la loro massima priorità. I nostri dati e la ricerca supportano questa opinione: stimiamo che l'igiene della sicurezza di base protegge ancora circa il 98% degli attacchi (vedi pagina 124 nel Report sulla difesa digitale Microsoft, ottobre 2021).

Si può pensare che è facile parlare delle procedure di sicurezza fondamentali, ma è molto più difficile metterle in pratica, soprattutto quando un team è sovraccarico di lavoro e a corto di personale. Ma vorrei sottolineare che essere un leader della sicurezza consiste nel gestire i rischi e le priorità, e questo rende l'utilizzo di strumenti di base un approccio pienamente pragmatico. Troppo spesso, gli incidenti della sicurezza non riguardano tanto il SE ma il QUANDO. Ci sono centinaia di statistiche allarmanti sulla cybersecurity; ad esempio, ogni giorno vengono lanciati circa 4000 cyberattacchi solo negli Stati Uniti e vengono hackerati più di 30.000 siti Web in tutto il mondo.

Credo che la migliore linea di difesa sia l'adozione di un approccio bilanciato e l'investimento in prevenzione, rilevamento e reazione agli incidenti.

Anche se può sembrare difficile investire in nuovi livelli di prevenzione mentre si cerca ancora di tenere il passo delle crescenti esigenze in merito a rilevamento e reazione, trovare il giusto equilibrio tra questi due sforzi è essenziale e vantaggioso. Da uno studio del 2021 di Ponemon Institute e IBM Security è emerso che le organizzazioni senza un piano o un team di risposta agli incidenti hanno riscontrato un aumento fino al 55% del costo medio delle violazioni dei dati. I team della sicurezza che possono bilanciare una prevenzione solida con una strategia che include una risposta agli incidenti e investimenti in strumenti di rilevamento e correzione saranno pronti per affrontare qualsiasi imprevisto.

Tutti abbiamo sentito parlare delle "grandi dimissioni". Più del 40% del personale globale sta pensando di lasciare il proprio impiego quest'anno, e i leader della sicurezza e i loro team sono già sotto organico. Spesso parlo con i CISO su come vanno le cose in generale, e permettersi, trovare e fidelizzare grandi talenti è una delle loro principali preoccupazioni. E se un grande talento si dimette, devono trovarne subito un altro dello stesso livello o potenziare le competenze dei dipendenti rimasti. Una tecnologia più efficiente, integrata e automatizzate può essere utile, ma non è abbastanza.

La terminologia del settore della sicurezza è entrata nel linguaggio comune visto che le pagine dei quotidiani parlano regolarmente di cyberattacchi, e questi attacchi (e le relative notizie) possono avere un impatto notevole su un'azienda. Ma indovina un po'? Questa non è una brutta notizia dopotutto. Dato che la cybersecurity è diventata un argomento familiare in tutte le aree di un'organizzazione, il concetto secondo cui "la sicurezza è un dovere di tutti" sta iniziando a diffondersi nelle organizzazioni. Soprattutto con i modelli di lavoro ibrido e i perimetri di sicurezza ampliati in tutti i modi possibili, i leader della sicurezza si affidano sempre di più a soluzioni innovative per proteggere tutti, anche se devono far fronte alla carenza di talenti e a lacune nelle competenze. Oggi i leader della sicurezza all'avanguardia non "fanno di più con meno", ma "fanno di più con risorse diverse".

La carenza di talenti e competenze certamente non è un fatto positivo, ma c'è un piccolo raggio di sole: la creazione di una cultura della sicurezza sta diventando una realtà. Molti CISO affermano che uno dei modi più efficaci per affrontare la sfide della sicurezza insieme alle difficoltà relative alla gestione del personale consiste nel definire una cultura secondo cui la sicurezza sia un dovere di tutti. I CISO stanno promuovendo sempre di più questo concetto: l'intera organizzazione può assumersi la responsabilità della sicurezza, soprattutto mentre deve far fronte alla carenza di personale o a problemi finanziari.

I team di sviluppo, gli amministratori di sistema e anche gli utenti finali devono capire i criteri di sicurezza che li riguardano. La condivisione delle informazioni è fondamentale e i team della sicurezza cercano modi sempre nuovi di collaborare con gli sviluppatori, gli amministratori e i responsabili dei processi aziendali per comprendere i rischi e sviluppare criteri e procedure utili per l'intera organizzazione.

La carenza di talenti e le lacune nelle competenze (soprattutto nell'ambito della cybersecurity in continua evoluzione) stanno spingendo i CISO a cercare nuovi modi per rimanere al passo. Una strategia sempre più diffusa consiste nel delegare attività a dipendenti esterni al team della sicurezza. I CISO stanno cercando di sfruttare l'intera organizzazione, con particolare attenzione alla formazione degli utenti finali per renderli parte della soluzione e alla creazione di une rete di supporto tra team.

Migliorare le conoscenze degli utenti finali sulle minacce alla sicurezza (ad esempio, assicurandosi che comprendano il phishing e i segnali di attacchi leggeri) consente di aumentare gli occhi e le orecchie del team della sicurezza, soprattutto in una strategia di "punta di lancia", dove gli utenti finali spesso sono un punto di ingresso per un attacco. Non sto dicendo che gli utenti finali possono essere magicamente addestrati a controllare tutto, ma avere utenti preparati e in allerta può alleggerire notevolmente il carico di lavoro dei team della sicurezza.

Un'altra strategia consiste nel delegare attività della sicurezza al personale IT. Fare in modo che il team IT lavori a stretto contatto con il team della sicurezza e garantire che l'IT sia sempre informato delle strategie della sicurezza sta aiutando molti leader della sicurezza a estendere la loro missione a tutte le aree dell'organizzazione.

Fornire indicazioni e supporto sull'automazione e su altre strategie di gestione proattiva delle attività e dei flussi di lavoro consente ai CISO di espandere i loro team e sfruttare l'IT per mantenere una postura di sicurezza solida.

Tutte le ricerche Microsoft citate si avvalgono di società di ricerca indipendenti per contattare professionisti della sicurezza per studi quantitativi e qualitativi, garantendo rispetto della privacy e rigore analitico. Le citazioni e i risultati inclusi in questo documento, se non diversamente specificato, sono tratti da studi di ricerca Microsoft.