Il contesto sempre più digitalizzato e caratterizzato da un continuo aumento di attacchi cyber implica necessariamente la capacità da parte delle organizzazioni di strutturare un framework di cyber resilience efficace ed efficiente, quale calibrata sintesi di business continuity, risk management e cyber security. Gli eventi informatici avversi sono quelli che influiscono negativamente sulla disponibilità, l’integrità o la riservatezza dei sistemi IT collegati in rete e delle informazioni e dei servizi associati. Si tratta di eventi di natura intenzionali (ad esempio, attacchi informatici) o non intenzionali (ad esempio, aggiornamento software non riuscito) oppure eventi causati da esseri umani, da eventi atmosferici estremi o da una loro combinazione.
L’obiettivo della cyber resilience è garantire la capacità dell’organizzazione di conseguire i propri obiettivi – anche a fronte del verificarsi di una crisi o di una violazione della sicurezza – ed essere in grado di riprendersi, di ripristinare processi, servizi o attività dopo tali eventi. Si tratta, altresì, di aggiornare o modificare continuamente le proprie strategie di risk management, di business continuity e di cybersecurity a fronte dell’evoluzione della tecnologia e dello scenario dei rischi e delle minacce, in modo tale da garantire non solo la cyber resilience ma anche la organizational ed operational resilience.
In un mondo perfezionista e sempre più digitalizzato, i sistemi di un’organizzazione dovrebbero funzionare 24 ore al giorno, sette giorni alla settimana, 365 giorni all’anno. Purtroppo, dobbiamo prendere atto che, oggigiorno, il continuo aumento degli eventi informatici avversi (intenzionali o non intenzionali) può mettere a dura prova la resilienza degli asset hardware e software dell’organizzazione. Pertanto, diventa fondamentale strutturarsi anticipatamente.
Cyber resilience e cyber security, le differenze
La cyber resilience di un’organizzazione implica essere in grado di combattere le avversità e continuare a operare in modo tale da garantire il conseguimento degli obiettivi dell’organizzazione. Ma, prima di tutto, è importante che l’organizzazione abbia ben chiara la distinzione tra cyber security e cyber resilience. Ovvero:
- La cyber security si concentra sulla protezione di un’organizzazione dagli attacchi informatici tramite firewall, VPN, software anti-malware e pratiche di igiene digitale quali l’applicazione di patch a software e firmware. Tutte pratiche queste, che rischiano di non poter essere avviate o non conseguire risultati se a monte si è trascurato di formare i dipendenti in termini di comportamento sicuro. Ma siamo ancora alla fase della difesa preziosa, che non rende mai invulnerabili.
- La cyber resilience si concentra, invece, su ciò che accade quando le misure di cyber security falliscono, nonché quando i sistemi vengono interrotti a causa di errori umani, di interruzioni di corrente e di condizioni meteorologiche estreme e così via.
Come ridurre il profilo di rischio
È doveroso ricordare che la cyber resilience implica, da parte dell’organizzazione, la conoscenza del proprio contesto in termini di asset hardware e software, delle operazioni che dipendono dalla tecnologia e le loro varie interrelazioni e correlazioni, dei dati critici e dove essi sono archiviati in modo tale da comprenderne gli impatti e, di conseguenza, attuare tutte le misure necessarie per ridurli al minimo. Si tratta, insomma, di anticipare i rischi e le minacce e definire le necessarie strategie per essere in grado di resistere a crisi e ad incidenti che da essi scaturiscono, garantendo – anche ad un livello ridotto – la continuità di processi, di servizi e di attività considerati critici, dal momento che la loro indisponibilità prolungata potrebbe impedire il raggiungimento degli obiettivi e compromettere irreversibilmente l’organizzazione.
Attraverso una strategia strutturata di cyber resilience, l’organizzazione è in grado di ridurre sia la probabilità di successo di un attacco sia l’entità del danno qualora un attacco cyber avesse successo. Ovvero, la cyber resilience contribuisce a ridurre il profilo di rischio a lungo termine delle organizzazioni in modo tale da affrontare con successo le sfide sia contingenti sia quelle future che scaturiranno da un incremento inarrestabile dell’impiego delle tecnologie di Intelligenza artificiale, di Internet of Things (IoT) e di calcolo quantistico.
Cyber resilience, come attuare una strategia in azienda
La cyber resilience è un processo in continuo divenire e sine die all’interno del quale la business continuity e la cyber security devono integrarsi in modo da preparare/identificare, proteggere, rilevare, rispondere e ripristinare. Collettivamente, questi concetti e i piani d’azione risultanti contribuiscono a sviluppare una strategia per rispondere efficacemente a eventi imprevisti e riportare l’organizzazione a riprendere la propria operatività il più rapidamente possibile.
Pertanto, ogni organizzazione deve essere in grado di:
- Garantire una gestione proattiva dei rischi – È sempre una questione di conoscenza del contesto interno ed esterno dell’organizzazione in termini di rischi e di minacce cyber in modo tale da identificare le misure di mitigazione degli stessi e progettare efficaci ed efficienti strategie. Si tratta di effettuare un censimento degli asset hardware e software, degli accessi, degli end-point e dei dati in modo tale da identificarne vulnerabilità e punti di cedimento ed il loro impatto sull’organizzazione.
- Disporre di sistemi efficaci ed efficienti di rilevamento – Secondo le ultime statistiche di settore, ci vogliono mediamente 277 giorni prima di rilevare una violazione dei dati. Ne consegue che risulta quanto mai urgente e fondamentale un monitoraggio continuo da parte dell’organizzazione, mediante la dotazione di sistemi di rilevamento efficaci ed efficienti in grado di rilevare qualsiasi anomalia in termini di cyber security.
- Disporre di piani di Risposta e Recovery – Quando si rileva una violazione o un attacco, l’organizzazione deve prontamente attivare un sistema di risposta. Pertanto, come si è soliti dire, bisogna prepararsi in tempo di pace per agire in tempo di guerra. Ovvero, l’organizzazione dovrebbe – ove possibile – dotarsi di Sistemi automatizzati di Risposta e Recovery oltre a definire un Piano di Risposta e Disaster Recovery, Crisis Management e Crisis Communication, identificando ruoli e responsabilità, oltre a redigere le varie procedure di attivazione dei piani stessi.
- Implementare procedure di autovalutazione e miglioramento – Si tratta di sottoporre a valutazioni periodiche i vari piani ed aggiornare e/o modificare la strategia di cyber resilience a fronte delle variazioni del contesto interno ed interno, dell’evoluzione della tecnologia e della tipologia degli attacchi cyber, dei risultati di test e di esercitazioni, oltre a fare tesoro delle lesson learned.
Insomma, quanto sopra descritto presuppone la progettazione di un framework di cyber resilience strutturato che risulti efficace ed efficiente. È doveroso sottolineare l’importanza del coinvolgimento e del supporto del Top Management in termini sia di risorse economiche (per investire sempre più nei necessari sistemi di automazione di rilevamento e di risposta) e sia di personale con competenze tecniche di cybersecurity.
L’importanza della formazione
Molte aziende commettono l’errore di lasciare la cyber resilience esclusivamente nelle mani del team di cyber security o IT, dimenticando che la sicurezza è responsabilità di tutti. Di fatto, l’intera organizzazione dovrà incorporare la cultura della cyber security ed essere in grado di identificare e rilevare malware, minacce di phishing e comprendere quando ci si trova di fronte ad una violazione di dati. Il processo accelerato di digitalizzazione ed innovazione, a cui sono sottoposte le organizzazioni, presuppone necessari cambi di paradigmi atti a promuovere flessibilità, agilità, sinergie e dialettiche costruttive tra i vari team attraverso una comunicazione aperta. Inoltre, le organizzazioni devono predisporre programmi di formazione, esercitazioni e test, percorsi di carriere per i professionisti della cybersecurity in un’ottica di strategia di apprendimento continuo e di valorizzazione dei talenti.
Solo in questo modo l’organizzazione potrà incorporare la cultura incentrata sulla sicurezza che funge da solida base al framework di cyber resilience. Di fatto, si tratta di concepire la cyber resilience come la calibrata sintesi di persone, di processi e di tecnologia – i.e. le cosiddette organizzazioni bioniche – che si basano altresì su una strutturata governance e conformità normativa.
Conclusione
Siamo di fronte alle cosiddette organizzazioni bioniche – fatte di tecnologia e persone – in cui risulta fondamentale garantire la centralità ed il coinvolgimento del personale. L’organizzazione, anche se può attingere alla potenza dei dati e sfruttare la tecnologia più recente, deve essere in grado di stabilire una dialettica ed una sinergia costruttiva tra i vari team e le differenti funzioni. Un contesto sempre più caratterizzato da un approccio olistico in cui il top management agisce con il cuore e con la mente e, come un buon magister – nell’accezione dell’origine latina del termine, i.e. colui che indica la via – avvia l’implementazione di una cultura forte, agile, flessibile, promuovendo l’apprendimento tra pari, la discussione aperta e la formazione continua. Si tratta, di fatto, di strutturare un framework efficace ed efficiente per anticipare la cosiddetta imprevedibile certezza dei rischi cyber.
