Viaggio ai confini del NIST Cybersecurity Framework

L’obiettivo della prima tappa è farsi un quadro generale della situazione. «La cyberdifesa consiste in una serie di sfide impegnative», spiega Cyrill Peter, Head Cybersecurity Services di Swisscom B2B. «Da un lato ci sono le complessità, dall’altro le varietà delle tecniche di attacco. E questo in combinazione con l’esigenza di garantire tempi di risposta sempre più rapidi».

Una volta individuati gli elementi da proteggere, si procede all’attuazione di idonee misure di sicurezza. La seconda tappa del viaggio serve a gettare le fondamenta per ogni futura protezione contro gli attacchi informatici. Queste misure di protezione dovrebbero essere prese in considerazione sin dall’inizio, ad esempio nello sviluppo di software e infrastrutture, come sottolinea Stephanie Ramseyer, Security Solution Architect di Swisscom: «Il mio lavoro inizia molto prima della fase di sviluppo vera e propria. Per prima cosa riuniamo sviluppatori, product manager e responsabili di prodotto e definiamo i possibili punti deboli».

In questa tappa gioca un ruolo fondamentale il tempo. Spesso, infatti, i criminali informatici riescono a esplorare con tutta calma la rete aziendale prima di colpire. Questo cosiddetto «lateral movement» serve a individuare i dati rilevanti e ad ottenere quanti più diritti di accesso possibile per il flusso di dati e la crittografia. 

«Il riconoscimento tempestivo degli attacchi informatici è oggi essenziale per una cyberdifesa efficace», commenta Oliver Stampfli, Head of Cyberdefence B2B di Swisscom. Questo permette infatti di evitare danni più gravi. «È quindi fondamentale disporre di sistemi di rilevamento adeguati», aggiunge Andrew Campbell.

Siamo arrivati alla tappa decisiva. Qui entrano in gioco i talenti dell’Incident Response. Le moderne strategie di cyberdifesa partono dal presupposto che i malviventi siano già penetrati all’interno del sistema. Questo paradigma dell’«Assume Breach» implica che gli attacchi informatici non possono essere completamente evitati. Ma il contenimento tecnico di un attacco è solo una parte del lavoro. Altrettanto importante è comunicare nel modo giusto. «Comunichiamo gli incidenti internamente», rivela Marco Wyrsch. «Ma coinvolgiamo anche i clienti, i fornitori e i partner interessati».

Questo presuppone tuttavia che siano disponibili i necessari canali di comunicazione. «L’Incident Response può anche avere effetti inattesi», afferma Alexander Odenthal, Group Information Security Officer di Swiss Life. «Può ad es. succedere che non funzioni più l’ambiente chat normalmente utilizzato, con ripercussioni anche sulla telefonia. È perciò importante testare questi scenari anticipatamente».

Si sentono sempre più spesso notizie di aziende che impiegano settimane o mesi per tornare alla normalità dopo un attacco informatico. Il successo di questa fase dipende anche dalla preparazione. Marco Wyrsch lo spiega senza giri di parole: «Testare, esercitarsi ed essere pronti». 

Qui rivestono un ruolo fondamentale i backup e soprattutto il ripristino dei dati e dei sistemi. «Backup di qualità insufficiente, dati non disponibili a causa di un attacco informatico, difficoltà nel ripristino: tutti questi fattori possono creare spiacevoli sorprese», afferma Alexander Odenthal.

Per raggiungere il suo obiettivo, la cyberdifesa deve essere adeguatamente guidata. Per questo nel Cybersecurity Framework 2.0 è stato integrato in ogni tappa il principio della Governance. Ciò richiede anche il coinvolgimento dei dirigenti, spiega Marco Wyrsch: «Gli investimenti nella cybersicurezza non danno frutti se i dirigenti non si attivano in prima persona per la protezione dell’azienda, assumendosi le proprie responsabilità». Ciò vale indipendentemente dal modello di gestione dell’IT, sottolinea Pascal Lamia: «Anche se l’IT è esternalizzato, la cybersicurezza deve essere discussa a livello dirigenziale. Stiamo facendo abbastanza per la nostra sicurezza informatica? Proteggiamo adeguatamente i dati dei clienti?».

È qui che entra in gioco la gestione dei rischi – per trovare una risposta a questi interrogativi prima che sia troppo tardi. Lo spiega Georgia Fotaki, Information Security Governance Manager di Swisscom: «Gestire il rischio non significa semplicemente rispondere alle minacce. Si tratta piuttosto di anticipare ciò che ci attende all’orizzonte, di adeguarci e di diventare resilienti in tutti gli ambiti».