Cyber security in azienda: lo scenario attuale

La prevenzione in ambito Cyber Sicurezza Aziendale è divenuta ormai di fondamentale importanza in uno scenario in cui la tecnologia cambia più velocemente di quanto la maggior parte delle aziende riesca a tenere il passo.

Una delle sfide più difficili di oggi è l’implementazione delle best practice di sicurezza informatica, applicate a una rete che è sempre meno strutturata e decentralizzata.

Di fronte ad attacchi informatici sempre più mirati alla violazione di dati riservati, con conseguenti danni economici e reputazionali difficilmente calcolabili, due dei tipici comportamenti tenuti finora dalle aziende in ambito cyber security risultano ormai del tutto inadeguati:

• iniziare a pensare alla sicurezza informatica solo quando si verificano gli incidenti;
• investire in soluzioni tecnologiche “stand alone” senza una strategia di sicurezza definita.

Smeup ics è il partner che, avvalendosi delle migliori tecnologie, è in grado di studiare le soluzioni più idonee per ogni scenario.

La security in azienda non può più essere vista come una semplice soluzione tecnologica di protezione, ma deve essere affrontata e gestita come un vero e proprio processo di sviluppo che porti alla realizzazione di un programma strutturato di sicurezza aziendale.

5 “Punti Saldi ” alla base della Cyber Sicurezza Aziendale.

Governance

La governance della sicurezza IT è il sistema mediante il quale un’organizzazione orchestra e controlla la sicurezza IT; da non confondere con la gestione della sicurezza IT:

• la gestione della sicurezza IT si occupa di prendere decisioni per mitigare i rischi;
• la governance determina chi è autorizzato a prendere decisioni.

La governance specifica il quadro di responsabilità e fornisce la supervisione per garantire che i rischi siano adeguatamente mitigati, mentre la direzione garantisce che i controlli siano implementati per mitigare i rischi.

La direzione consiglia strategie di sicurezza. La governance garantisce che le strategie di sicurezza siano allineate con gli obiettivi aziendali e coerenti con le normative.

È importante, inoltre, ripetere l’attività di analisi nel tempo: le minacce informatiche, infatti, si evolvono e la valutazione del rischio deve quindi essere vista come un’attività ricorsiva soggetta ad aggiornamenti che non può esaurirsi semplicemente con l’identificazione del rischio iniziale.

Management

La visibilità a 360° di quello che avviene all’interno del proprio perimetro fisico e virtuale.

5 aree in cui è fondamentale agire per garantire la cyber security in azienda:

1. Network Security, ovvero la sicurezza “perimetrale” dell’azienda: firewall, SSL, VPN e più in generale ogni apparato che è in contatto sia con l’interno che con l’esterno dell’azienda e che ha come prima responsabilità il blocco delle potenziali minacce;
2. Content Security, ovvero il controllo degli “oggetti” in entrata/uscita e download/upload, con l’eventuale inibizione degli stessi in caso di riscontrata minaccia (e-mail e mobile security, anti malware, Data Loss Prevenzioni ecc…);
3. Datacenter & Cloud security, ovvero tutti i servizi di sicurezza legati all’infrastruttura, ai sistemi e al mondo virtuale. Oltre alle protezioni standard dei sistemi, rientrano in quest’area anche Vulnerability Protection, Log Management e SIEM (Security Information and Event Management);
4. Identity & Access Management, ovvero l’insieme di attività volte a gestire le identità digitali e le modalità di accesso ai sistemi come l’autenticazione a più fattori. In tal senso, anche le soluzioni PAM (Privileged Access Management) consentono ai CIO e ai responsabili della sicurezza IT di proteggere l’accesso agli asset critici garantendo che solo chi possiede le credenziali corrette possa accedere alle informazioni business-critical.
5. Application security, ovvero l’insieme di soluzioni che permettono di sviluppare codice con requisiti specifici di sicurezza e di strumenti che permettono di analizzare il traffico Web e proteggere le applicazioni in modo preventivo.

Identificati i rischi e le soluzioni organizzative, occorre introdurre le soluzioni tecnologiche per raggiungere gli obiettivi che si erano prefissati nella fase di governance.

Awareness

Per raggiungere gli obiettivi di sicurezza che l’azienda si è prefissata, la tecnologia da sola non basta. Lo step successivo nella creazione di una strategia di difesa cibernetica consiste nel consapevolizzare gli utenti aziendali dei rischi e delle minacce a cui vanno incontro mentre utilizzano non solo gli strumenti di lavoro (pensiamo, ad esempio, all’e-mail aziendale) e le infrastrutture produttive considerate critiche, ma anche lo smartphone e tutti i dispositivi ad uso personale.

La superficialità delle persone, infatti, rappresenta un ottimo veicolo di informazioni aziendali per gli attaccanti, sempre alla ricerca del modo migliore per “bucare” il perimetro cyber dell’azienda.

È necessario, inoltre, che non solo le persone interne all’azienda siano formate ed educate da un punto di vista comportamentale e tecnico: è fondamentale che tutta la supply chain composta da fornitori esterni, clienti e utenti esterni raggiunga un livello altrettanto elevato di formazione in tema di cyber security aziendale.

Incident

Quando il piano di sicurezza è stato completato e sono state implementate tutte le soluzioni tecnologiche necessarie, è opportuno prevedere processi e soluzioni che controllino e monitorino costantemente lo stato delle infrastrutture critiche aziendali e le eventuali anomalie che possano eventualmente presentarsi. Questo permetterà di avere una pronta reazione e quindi contenere l’incidente in termini di eventuali danni. Un’investigazione successiva permetterà di comprendere le cause dell’incidente e quindi di prevedere azioni migliorative atte a evitare il futuro accadimento di incidenti simili.

Compliance

Rappresenta l’ultimo pilastro per la realizzazione di un piano strategico di difesa cibernetica.

Parallelamente a tutte le attività che un’azienda deve svolgere in ottica di sicurezza, esistono normative, leggi e standard di settore, nazionali e internazionali, a cui deve essere sempre compliant.

Possiamo affiancarti nella progettazione implementazione e gestione di un network sicuro, performante e flessibile.

A Innovare i tuoi processi informatici ci pensiamo noi.

Gabriele Dovico Lupo
Sales Specialist – SMEUP ICS
My LinkedIn Profile