Il quadro di riferimento britannico per la valutazione della sicurezza informatica

Se la vostra organizzazione garantisce l’illuminazione pubblica, l’approvvigionamento idrico o l’intervento dei servizi di emergenza, un attacco informatico non è solo un problema informatico, ma una crisi di sicurezza pubblica. È proprio questa la realtà che il Cyber Assessment Framework del National Cyber Security Centre del Regno Unito è stato concepito per affrontare, ed è per questo che un numero crescente di organizzazioni lo sta adottando come punto di riferimento per la propria cyber resilience.

Concepito inizialmente per gli operatori dei servizi essenziali, il CAF ha riscosso successo ben oltre il settore delle infrastrutture critiche. Il Servizio Sanitario Nazionale (NHS), gli operatori di telecomunicazioni, i dipartimenti del governo centrale e una cerchia sempre più ampia di organizzazioni lo utilizzano ormai per rispondere a una domanda apparentemente semplice: le nostre difese funzionano davvero?

Ciò che distingue il CAF da molti altri quadri di riferimento in materia di conformità è la sua attenzione ai risultati piuttosto che agli input. Non vi viene chiesto se avete acquistato un determinato strumento o se avete spuntato una determinata casella. Si chiede se le vostre capacità in materia di sicurezza stiano producendo i risultati desiderati. Tale distinzione è più importante che mai, poiché le minacce diventano sempre più sofisticate e la superficie di attacco si estende a ogni aspetto del modo in cui le persone lavorano.

Quattro obiettivi, 14 principi, un’unica sfida interconnessa

Il CAF articola la cyber resilience in quattro obiettivi: gestione dei rischi di sicurezza, protezione dagli attacchi informatici, individuazione degli eventi di sicurezza informatica e riduzione al minimo dell’impatto degli incidenti. All’interno di questi quattro obiettivi sono contenuti quattordici principi, ciascuno dei quali viene valutato sulla base di indicatori specifici che definiscono le buone pratiche.

Ciò che risulta evidente quando si esaminano tali principi nel loro insieme è che essi non descrivono controlli tecnici isolati. Essi descrivono un sistema interconnesso di governance, protezione, individuazione e risposta, in cui una debolezza in qualsiasi ambito compromette l’intero sistema.

Si consideri l’Obiettivo A, che riguarda la gestione dei rischi per la sicurezza. La CAF richiede che il consiglio di amministrazione dia prova di responsabilità, che venga attuata una gestione dinamica dei rischi basata su informazioni concrete relative alle minacce, che vi sia una comprensione completa delle vostre risorse (compresi i dati e il personale) e che vi sia visibilità sui rischi della catena di approvvigionamento. Nulla di tutto ciò è realizzabile attraverso single prodotto o una revisione dei rischi effettuata una volta all’anno. Ciò richiede segnali costanti, intelligenza integrata e una linea di comunicazione chiara dalla sala del consiglio alla prima linea.

È proprio in questo ambito che molte organizzazioni incontrano difficoltà. Dispongono di strumenti in grado di generare dati, ma non di quella visione d’insieme che trasforma i dati in governance. Tengono traccia meticolosamente delle risorse di sistema, ma dispongono di una visibilità limitata su come le informazioni sensibili circolino attraverso le piattaforme di collaborazione, la posta elettronica e la crescente gamma di strumenti di intelligenza artificiale che il proprio personale utilizza quotidianamente.

Le persone: il rischio che il quadro normativo non può ignorare

Uno dei cambiamenti più significativi nel modo in cui concepiamo il rischio informatico — e che trova riscontro nel CAF — è il riconoscimento del fatto che le persone rappresentano sia l’obiettivo principale sia la variabile principale. Gli autori degli attacchi non si limitano a sfruttare le vulnerabilità del software. Sfruttano i comportamenti umani: l’urgenza, la fiducia, la curiosità e la routine.

I principi della CAF in materia di sensibilizzazione e formazione del personale, controllo dell’identità e degli accessi e sicurezza dei dati indicano tutti questa realtà. Per raggiungere l’indicatore “raggiunto” in questi ambiti non bastano i moduli di formazione annuali. È necessario comprendere quali siano le persone maggiormente a rischio, quali comportamenti determinino tale rischio e come intervenire nel momento più cruciale.

Le ricerche dimostrano costantemente che una piccola percentuale di utenti (8%) è coinvolta nella stragrande maggioranza (80%) degli incidenti di sicurezza. Un quadro di riferimento basato sui risultati come il CAF solleva naturalmente la questione se la vostra organizzazione sia in grado di identificare tali individui, comprenderne il profilo di rischio e adottare misure concrete al riguardo. Le campagne di sensibilizzazione generiche, da sole, non vi consentiranno di raggiungere l’obiettivo.

Rilevamento e risposta: da un approccio reattivo a uno resiliente

L'ultima versione del CAF, la 4.0, ribadisce che il monitoraggio reattivo non è più sufficiente. Gli obiettivi C e D spingono le organizzazioni verso un’attività proattiva di individuazione delle minacce, una risposta automatizzata e una vera e propria resilienza operativa.

In pratica, ciò significa la capacità di individuare le minacce che sono sfuggite alle difese iniziali, analizzarle rapidamente utilizzando strumenti moderni e attivare procedure di risposta volte a contenere il danno prima che si diffonda. Ciò significa conservare i dati critici in archivi a prova di manomissione, in modo da garantire la possibilità di recupero e l'adempimento degli obblighi normativi. Ciò significa trarre insegnamento da ogni incidente: analizzarne le cause alla radice, adeguare i controlli e colmare il divario tra quanto accaduto e i cambiamenti apportati.

Non si tratta di obiettivi ambiziosi. Si tratta degli standard stabiliti dalla CAF per qualsiasi organizzazione i cui servizi siano rilevanti per la sicurezza pubblica e la vita quotidiana.

Un quadro di riferimento da prendere sul serio

Il punto di forza della CAF risiede nel suo rifiuto di consentire alle organizzazioni di nascondersi dietro le procedure di appalto. L'acquisto di uno strumento non equivale alla gestione di un rischio. L'installazione di un sensore non equivale all'individuazione di una minaccia. Avere una linea politica non equivale a governare in modo efficace.

Per le organizzazioni che si avvicinano al CAF — sia perché richiesto dalla normativa, sia perché desiderano disporre di un indicatore attendibile della propria resilienza — la chiave sta nel ragionare in termini di risultati interconnessi. Il Suo ecosistema di sicurezza Le fornisce le prove, la visibilità e la capacità di risposta richieste dal quadro normativo? Potrebbe illustrarci non solo ciò di cui dispone, ma anche quali risultati consente di ottenere?

Quello è il bar. E in un panorama delle minacce caratterizzato da attacchi generati dall’intelligenza artificiale, da un numero crescente di punti di collaborazione e da un rischio umano persistente, la risoluzione di tali minacce richiede ben più di una semplice spunta su una casella.

Per saperne di più, scarichi il documento informativo sulla soluzione “UK Cyber Assessment Framework”di Mimecast