Ecco perché «zero» è il numero più importante per un CISO

Comprendere questi concetti «zero» e le loro conseguenze è cruciale per proteggere gli asset aziendali e garantire la continuità operativa. Questi concetti condizionano la pianificazione strategica della cyberdifesa e tengono conto delle mutate esigenze di protezione, per essere in grado di reagire in modo celere e adeguato ad esempio ad attacchi come quello a Roundcube.

Il mondo dell’IT si trova oggi fuori dal perimetro – cloud, IoT e home office sono le parole chiave. Questi fattori portano a un sempre più rapido allontanamento dalle tradizionali strategie di sicurezza, mentre i concetti «zero» diventano la base per le best practice e per rafforzare la cyberresilienza. In linea con questo cambiamento, sia nel panorama degli attacchi che delle misure di difesa, muta anche il ruolo del CISO: concetti quali Zero Trust accrescono la rilevanza strategica della cyberdifesa mirata ad assicurare la continuità delle attività aziendali. 

La Garnter, società di consulenza e ricerche di mercato, ha delineato quattro fasi di questo sviluppo. Il ruolo del CISO passa da una posizione reattiva a una attiva, con crescente grado di maturità.

1. Security e Compliance Manager: crea i presupposti per le direttive di sicurezza, implementa le misure di sicurezza e controlla che vengano rispettati i requisiti normativi.
2. Responsabile del Cyberrisk Management: un ruolo che va oltre le responsabilità tecniche e mette in relazione la cybersecurity con i rischi aziendali.
3. Figura decisiva della gestione dei rischi: il CISO è parte integrante del team di risk management. Le sue valutazioni hanno valore strategico e i cyberrischi sono espressi in termini di conseguenze sulle attività aziendali, la CRQ (Cyberrisk Quantification) diventa uno strumento determinante.
4. Business enabler strategico: la cybersecurity e il cyberrisk management diventano un fattore strategico dello sviluppo aziendale. Il cyberrisk appetit assume importanza nello sviluppo strategico. 

Quest’evoluzione richiede ai CISO di andare oltre le pure metriche tecniche a livello di comunicazione. Devono poter tradurre le cyberminacce in termini di rischi aziendali, ad esempio come possibili perdite di fatturato oppure come fattori che possono compromettere l’operatività. La cybersecurity può così trasformarsi da voce di costo a volano riconosciuto per il business.

I concetti «zero», ossia Zero Trust, 0-day, ora zero e paziente zero, sono strettamente interdipendenti e costituiscono il fondamento dello sviluppo strategico della cyberdifesa. Il ruolo del CISO è quello di accompagnare questa trasformazione e di implementarla agendo da interfaccia tra «business» e IT. Infatti, Zero Trust è il modello di sicurezza informatica che permette di limitare i cyberrischi e di fornire una base sicura ai piani di sviluppo dell’impresa. 

Ma come si assume questo ruolo il CISO e cosa significa per la strategia di cyberdifesa?

1. Zero Trust come filosofia strategica: Zero Trust significa agevolare un cambiamento culturale e operativo che non si limita all’implementazione di tool. È possibile adottare gradualmente questo approccio cominciando con IAM (Identity and Access Management) e i «low hanging fruits», dunque laddove se ne colgono rapidamente i vantaggi. Il compito del CISO è dimostrare l’utilità delle misure in termini economico-aziendali, ad esempio postazioni di lavoro da remoto più sicure o una transizione digitale conforme alle normative di protezione dei dati.
2. Rafforzare la sicurezza della catena di fornitura: negli ultimi tempi emergono sempre più di frequente vulnerabilità 0-day nei prodotti di security. Il Google Threat Intelligence Group (GTIG) ha esaminato 75 exploit 0-day nel 2024. Per il 60% degli attacchi a prodotti aziendali si trattava di soluzioni di sicurezza. È pertanto essenziale che le aziende trattino anche i fornitori di software di sicurezza e i software di terzi fornitori critici seguendo i principi di Zero Trust.
3. Priorità alla sicurezza e le persone al centro: in molti scenari di attacco la prima vittima è la persona, il Patient Zero. I collaboratori svolgono pertanto un ruolo cruciale nella cybersecurity, sia in termini di target d’attacco sia come prima linea di difesa. È quindi fondamentale promuovere la security awareness e lo sviluppo di una cultura di sicurezza adottata attivamente in tutta l’azienda.
4. Il prezzo del cyberrischio: la capacità di valutare i rischi sul piano economico è determinante nell’ora zero, cioè nel momento in cui un’azienda riconosce un attacco e deve prendere rapidamente delle decisioni. Una valutazione fattuale delle potenziali conseguenze economiche consente di porre le giuste priorità, di mobilitare le risorse adeguate in modo mirato e di gestire efficacemente la comunicazione in caso di crisi. La cybersecurity vale così non solo come disciplina tecnica, ma sempre di più come fattore economico per l’azienda. Frameworks come FAIR (Factor Analysis of Information Risk) o NIST SP 800-30 aiutano a quantificare i cyberrischi e a calcolare possibili perdite.
5. Rafforzare il Business Continuity Management (BCM): in caso di emergenza conta ogni secondo, soprattutto nell’ora zero. È qui che si vede quanto l’azienda è preparata contro un attacco. Test regolari e verifiche periodiche dei piani di emergenza sono determinanti per il corretto funzionamento di Disaster Recovery in caso di cyberattacco e per rispettare gli obiettivi di RTO (Recovery Time Objective) e RPO (Recovery Point Objective). I Tabletop Exercises contribuiscono a migliorare la cooperazione tra la Cybersecurity e i diversi reparti in caso di emergenza.
6. Continua sorveglianza e permanente adeguamento: soprattutto gli exploit 0-day mostrano chiaramente quanto sia importante adottare una sorveglianza continua del proprio ambiente. Poiché questi attacchi avvengono senza preavviso, le aziende devono essere in grado di riconoscere le anomalie in tempo reale, reagire rapidamente e adeguare le loro misure di difesa in modo dinamico. Solo grazie a questa agilità, un’organizzazione sarà in grado di mostrare resilienza anche rispetto a minacce imprevedibili.