Chi dovrebbe leggere questo documento Il documento è rivolto ai responsabili aziendali. In un ambiente di minacce sofisticato come quello attuale, le strategie di sicurezza tradizionali non offrono più risultati soddisfacenti. Symantec invita quindi le aziende a riconsiderare la loro attuale strategia e condizione sulla sicurezza e a dotarsi di una maggiore resilienza informatica. La resilienza non si definisce solo con una serie di liste di controllo, ma attraverso valutazioni basate sulle minacce attuali e sul livello di rischio accettabile per l’azienda. Questo white paper illustra degli approcci basati su alcune best practice, consigliati per ridurre al minimo il rischio informatico. Gli approcci sono organizzati secondo cinque pilastri e indicano azioni specifiche - per ogni pilastro - da compiersi tramite specifici lavori IT.

1. WhitePaper:
IlprogettoperlaCyberResilience:Una
nuovaprospettivasullasicurezza
Il progetto per la Cyber Resilience:
Una nuova prospettiva sulla sicurezza
Chi dovrebbe leggere questo documento
Il documento è rivolto ai responsabili aziendali. In un ambiente di
minacce sofisticato come quello attuale, le strategie di sicurezza
tradizionali non offrono più risultati soddisfacenti. Symantec invita
quindi le aziende a riconsiderare la loro attuale strategia e condizione
sulla sicurezza e a dotarsi di una maggiore resilienza informatica. La
resilienza non si definisce solo con una serie di liste di controllo, ma
attraverso valutazioni basate sulle minacce attuali e sul livello di rischio
accettabile per l’azienda. Questo white paper illustra degli approcci
basati su alcune best practice, consigliati per ridurre al minimo il rischio
informatico. Gli approcci sono organizzati secondo cinque pilastri e
indicano azioni specifiche - per ogni pilastro - da compiersi tramite
specifici lavori IT.

3. Il progetto per la Cyber Resilience: Una nuova prospettiva sulla sicurezza
Sommario
La sicurezza della navigazione nel luogo di lavoro digitale. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
Una strategia di sicurezza ben ponderata. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
I cinque pilastri. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
Pilastro 1: Preparare/Identificare. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Pilastro 2: Proteggere . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Pilastro 3: Rilevare. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
Pilastro 4: Rispondere. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
Pilastro 5: Recuperare. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
Come arrivare alla Cyber Resilience. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

4. 1
Il progetto per la Cyber Resilience: Una nuova prospettiva sulla sicurezza
1- Agenda Overview for the Nexus of Forces, 20 gennaio 2014 G00261499
2- Forrester Research, Inc., Introducing Forrester’s Targeted-Attack Hierarchy Of Needs, maggio 2014 Rick Holland blog: http://blogs.forrester.com/rick_holland/
14-05-20-introducing_forresters_targeted_attack_hierarchy_of_needs
La sicurezza della navigazione nel luogo di lavoro digitale
A causa di un’importante combinazione di fattori, il luogo di lavoro sta oggi
cambiando a velocità esponenziale. Nella sua pubblicazione Nexus of Forces,
Gartner definisce questo fenomeno come “la convergenza e il reciproco
rinforzarsi di quattro trend interdipendenti: interazione sociale, mobilità,
cloud e informazioni” che “combinandosi danno più poteri sia alle persone
mentre interagiscono fra loro che alle loro informazioni, grazie a tecnologie
diffusissime e ben progettate.”1
Sempre più dipendenti dalla connettività,
utilizziamo il Web per svolgere il nostro lavoro in tempo reale collegandoci a
Internet e ad altri dispositivi mobili. In grado di dare forza e distinti da un effetto
altamente dirompente, questi trend convergenti stanno rendendo il business
più competitivo e agile - ma anche più vulnerabile agli attacchi informatici - e le
aziende devono combattere per essere all’altezza delle sfide che le attendono.
In un ambiente di questo tipo, una strategia di sicurezza ben ponderata è
essenziale per le aziende che considerano prioritaria la sicurezza.
Una strategia di sicurezza ben ponderata
Anche se il rischio informatico è un concetto ormai noto, il suo prezzo continua a salire, giorno dopo giorno. Oggi è difficile che un incidente
rimanga un evento isolato, è più probabile che sia parte di una campagna persistente e sostenuta. La maggior parte degli analisti, responsabili
aziendali e visionari sono giunti alla stessa conclusione: non esiste più un’unica soluzione a prova di proiettile che vada bene per tutti e, nella
maggior parte dei casi, un singolo approccio non offre di per sé protezione da un attacco. Anziché continuare a introdurre continuamente nuove
misure di sicurezza, le aziende dovrebbero prima identificare i loro asset aziendali più importanti e quindi verificare in che modo le loro misure
di sicurezza li proteggono. È un cambio di paradigma che punta sulla Security Intelligence per guidare le decisioni e favorire l’agilità
Forrester illustra questo concetto come Targeted-Attack Hierarchy
of Needs.2
Basandosi sulla famosa Gerarchia dei Bisogni per la
realizzazione di sé di Abraham Maslow, lo studio si focalizza sui
bisogni primari necessari per difendere l’ambiente IT dagli attacchi
mirati, ponendo le basi per una strategia di sicurezza resiliente.
I bisogni sono in ordine di importanza: una strategia di sicurezza
effettiva, un reale impegno verso il reclutamento e mantenimento in
azienda dello staff, la focalizzazione sugli aspetti fondamentali, un
portafoglio integrato che favorisca un’azione corale, la prevenzione,
il rilevamento e la risposta.
Figura 1. Schema del programma Nexus of Forces
Infor
m
azioni
So
cial M
o
bile
Clo
ud
Fonte: Gartner (gennaio 2014)
Rilevamento
e risposta
Prevenzione
Un portafoglio integrato che
consente un’azione orchestrale
Focalizzazione sugli aspetti fondamentali
Attenzione al reclutamento
e trattenimento in azienda dello staff
Una strategia di sicurezza effettiva

5. 2
Il progetto per la Cyber Resilience: Una nuova prospettiva sulla sicurezza
I governi affrontano la questione del rischio informatico e della difesa di infrastrutture critiche attraverso l’istruzione e fornendo strategie e
quadri di riferimento formali. In tutto il mondo esistono oggi 35 strategie sulla sicurezza informatica pubblicate da governi e varie altre sono
in fase di sviluppo.3
Per esempio, il governo degli Stati Uniti sta incoraggiando ufficialmente il settore privato a creare strategie di sicurezza
informatica più robuste (Executive Order 13636), mentre l’Unione Europea ha al suo attivo 17 strategie pubblicate. Vi sono quadri di
riferimento anche in Russia, Giappone, Australia e in alcune nazioni africane. Alcuni di questi tentano di configurare un standard minimo di
sicurezza, come il quadro di riferimento sulla sicurezza informatica National Institute of Standards and Technology (NIST) emesso negli Stati
Uniti nel 2014; le linee guida ENISA nell’Unione Europea4
; e il PAS 55 nel Regno Unito. Inoltre, il diffuso standard di sicurezza ISO 27001 (IEC
27001:2013) è stato aggiornato di recente in favore di un migliore allineamento ad alcuni concetti informatici chiave.5
I cinque pilastri
In un ambiente di minacce sofisticato come quello attuale, le strategie di sicurezza tradizionali non offrono più risultati soddisfacenti. I
vecchi metodi che consistevano nell’aggiungere un altro prodotto al mix o nell’attendere che il reparto IT identificasse e proponesse soluzioni
tecnologiche alla divisione business dell’azienda sono oggi del tutto inefficaci. Nessuna azienda può simultaneamente selezionare gli alert,
tracciare le vulnerabilità, applicare le policy di sicurezza in tutti i suoi vari sistemi ed endpoint e valutare accuratamente cosa emerge in
tempo reale da un’enorme massa di dati sulle minacce globali. Per gestire queste sfide concomitanti, le aziende devono cambiare la loro
strategia e condizione sulla sicurezza, passando da un approccio difensivo focalizzato sul malware a un approccio più realistico e resiliente:
una strategia di Cyber Resilience.
La Cyber Resilience è la gestione della sicurezza tramite un approccio multilivello che racchiude al suo interno persone, processi e tecnologie.
Correlare l’intelligence sulla sicurezza è importante, ma lo è altrettanto incrementare l’IQ sulla sicurezza dei propri dipendenti in modo
che siano in grado di prendere le migliori decisioni e ridurre i comportamenti a rischio. Questo ambito operativo esteso elimina il divario
informatico fra il reparto IT e quello business, facendo sì che entrambe le parti dell’azienda possano allinearsi proattivamente per rispondere
unite a minacce e incursioni.
Con la morfologia delle minacce e le esigenze delle organizzazioni in continua evoluzione, è naturale che la Cyber Resilience sia anch’essa
una strategia in mutamento costante. Il processo appare chiaro se visto sotto l’ottica di un quadro di riferimento con cinque pilastri:
preparare/identificare, proteggere, rilevare, rispondere e recuperare. Utilizzando questo quadro di riferimento, è possibile valutare ogni
pilastro rispetto alla strategia di sicurezza informatica della propria azienda. Se consideriamo per esempio il pilastro preparare/identificare,
le valutazioni della vulnerabilità possono mettere in luce le debolezze della condizione di un’azienda rispetto alla sicurezza. Valutando il
rischio che ogni debolezza comporta e ponendo rimedio alle debolezze più critiche, si dovrebbe riuscire a migliorare la propria preparazione
in caso di attacco. Quando ogni ciclo di valutazione è programmato, la strategia di sicurezza è ben implementata. E considerato che ogni
azienda ha sistemi suoi esclusivi e diverse esigenze di sicurezza, i risultati di ogni serie di valutazioni devono essere confrontati con l’attuale
ambiente delle minacce e con il livello di rischio accettabile per l’azienda, e non con una serie di liste di controllo più o meno generiche.
Per ogni pilastro vengono consigliati approcci basati su best pratice che riducono al minimo il rischio informatico, ogni approccio richiede
specifiche azioni da compiersi tramite precisi lavori IT.
Preparare/
Identificare
Proteggere Rilevare Rispondere Recuperare
3- ENISA http://www.enisa.europa.eu/activities/Resilience-and-CIIP/national-cyber-security-strategies-ncsss/national-cyber-security-strategies-in-the-world
4- http://www.enisa.europa.eu/publications/articles/standards-for-cyber-security
5- ISO27001 Update: http://en.wikipedia.org/wiki/ISO/IEC_27001:2013

6. 3
Il progetto per la Cyber Resilience: Una nuova prospettiva sulla sicurezza
Pilastro 1: Preparare/ Identificare
Per affrontare e superare con successo un attacco è essenziale comprendere appieno la condizione della propria azienda su sicurezza e rischio.
Come prima cosa, identificare scrupolosamente le informazioni vitali dell’azienda. Condurre quindi una valutazione dell’infrastruttura e delle
informazioni che comprenda tutte le vulnerabilità note sulla sicurezza. Stabilire un punto di riferimento iniziale e confrontare i risultati con quelli
di aziende di pari livello. Individuare subito le criticità più urgenti e porvi rimedio rende l’azienda meno appetibile per i pirati informatici.
Per farlo servirà operare con vera leadership aziendale, non basterà agire semplicemente da guida. In questa fase, infatti, è fondamentale
un reale impegno da parte dell’azienda e dei titolari dei dati. Insieme a queste figure aziendali, è necessario assegnare un rating agli
asset informativi, in termine di valore per l’azienda, e dare priorità a quelli da proteggere di più. Chiedere: dove si trovano i dati? Chi li sta
utilizzando? Qual è il loro valore? In che modo vengono attualmente protetti? Ci sono vulnerabilità? Se sì, cosa li rende vulnerabili? Questo
esercizio migliora la consapevolezza dei dipendenti su cosa può accadere se mettono a rischio i dati aziendali. Aiuta inoltre ad allineare i
reparti business e IT rispetto al rischio informatico e alla gestione, favorendo un cambiamento culturale nel comportamento dei dipendenti.
Nello specifico, è essenziale puntare a:
• Migliorare la visibilità e la comprensione delle informazioni e dei sistemi, con operazioni di discovery e mappatura degli asset e del network;
• Comprendere la condizione di rischio informatico per mezzo di valutazioni e simulazioni;
• Identificare e porre rimedio alle vulnerabilità della propria organizzazione IT, comprese quelle della catena di approvvigionamento, da cui
provengono molti attacchi dei criminali informatici;
• Mappare gli asset connessi alle relazioni con i vendor;
• Generare maggiore consapevolezza sullo scenario delle minacce esterne e comprendere in che modo riconoscere quando si è sotto tiro
grazie a capacità complete di intelligence sulle minacce globali, correlazione e analisi;
• Rendere gli utenti consapevoli dell’aspetto informatico tramite una formazione regolare e continuativa sulle best practice e i comportamenti
a rischio, e
• Verificare che siano operative appropriate strategie di backup e recovery.
È essenziale offrire sessioni di formazione regolari. La parte preparatoria consiste nel rendere nota al personale l’esistenza di policy e
processi di sicurezza e di aiutare il personale stesso a comprendere l’importanza aziendale di tali policy e processi. Le persone non pratiche
di sicurezza o non necessariamente consapevoli del valore di determinate informazioni possono compiere gravi errori o essere soggette al
rischio di exploit. Tutti i dipendenti devono comprendere come gestire in modo appropriato i dati sensibili dell’azienda ed essere consapevoli
di cosa sia il furto dell’IP di un dipendente.
Una volta che un’organizzazione ha adottato una policy, ha creato un programma per migliorare la consapevolezza e ha reso operativo il
controllo degli accessi, rimangono da implementare le strategie di rilevamento e i piani di reazione. Per avere assistenza nello sviluppo di tali
piani sono disponibli varie soluzioni, fra cui servizi di intelligence sulle minacce e strumenti di data discovery. L’intelligence sulle minacce è
fondamentale per aiutare le aziende a prepararsi contro minacce attuali ed emergenti.
L’intelligence sulla sicurezza offre alle aziende una più vasta comprensione sull’intero scenario delle minacce, compresi gli effettivi esecutori
delle minacce e i trend del momento. Con un attento studio dell’infrastruttura interna aziendale e considerando i potenziali impatti che
determinate minacce possono avere sulla loro organizzazione, i manager della sicurezza possono proattivamente prevedere minacce ed
exploit. Grazie a questa strategia, i servizi di intelligence sulle minacce consentono ai responsabili della sicurezza di proteggere meglio e
rendere più sicuro l’ambiente operativo, gestendo i rischi.
Pilastro 2: Proteggere
Una volta che è chiaro il quadro dei dati in proprio possesso: la loro ubicazione, il livello di sensibilità, la loro vulnerabilità e quale sia la
propria tolleranza al rischio, è possibile adottare le prime misure effettive per la protezione dei dati. Il secondo pilastro riguarda infatti lo
sviluppo e l’implementazione di protezioni per l’infrastruttura e i servizi critici, al fine di limitare o contenere l’impatto di un attacco.

7. 4
Il progetto per la Cyber Resilience: Una nuova prospettiva sulla sicurezza
L’obiettivo è proteggere nel modo migliore possibile l’infrastruttura e i dati della propria azienda dagli attacchi. Nessun investimento di
tempo, soldi e impegno può garantire un successo sicuro. L’obiettivo è ridurre al minimo le possibilità che si verifichi una violazione e,
qualora ciò avvenga, essere in grado di reagire prontamente per ridurre il danno.
La valutazione dell’infrastruttura e dei dati effettuata in precedenza dovrebbe aver evidenziato eventuali lacune nelle proprie difese. A questo
punto è importante chiedersi: le soluzioni di prevenzione attualmente in uso sono aggiornate e soggette a una buona manutenzione? I propri
sistemi di difesa sono in grado di garantire protezione contro le più recenti minacce avanzate e gli ultimi exploit? Si sta facendo affidamento
su singoli prodotti non uniformi? Si sta adottando un approccio integrato verso la protezione che garantisca una reale consapevolezza sulla
situazione e la capacità di reagire meglio ai rischi informatici? Sono operative policy ed esecuzioni automatizzate per ridurre al minimo il
fattore umano o le violazioni connesse ai processi? Perché non considerare un’attività di feedback continua per migliorare i risultati?
Obiettivi principali:
• Proteggere il proprio sito Web e gli utenti online dalle minacce informatiche;
• Rendere sicuri i sistemi critici per il business dalle minacce informatiche (il data center è di norma il primo posto dal quale cominciare);
• Proteggere gli endpoint e i gateway dell’azienda da attacchi mirati e minacce avanzate;
• Proteggere la propria forza lavoro mobile e i clienti, e
• Proteggere e gestire gli asset informativi per tutto il ciclo di vita, compresa la protezione da perdita di dati e accessi non autorizzati, ad
esempio con la crittografia o utilizzando un data vault.
Tutte le tre aree — personale, processi e tecnologie — sono importanti per il pilastro della protezione. Per salvaguardare l’infrastruttura e
gli asset critici è fondamentale disporre delle giuste tecnologie. Inoltre, le soluzioni tecnologiche impiegate devono offrire protezione anche
a una forza lavoro che opera sempre più in mobilità. Proteggere l’accesso mobile alla rete e ai dati è sempre più importante considerato che
i dipendenti accedono con frequenza sempre maggiore ai dati aziendali sensibili. In più, le tecnologie adottate devono essere integrate per
garantire un livello di intelligence che consenta di rilevare rapidamente un attacco.
La chiave è nella gestione del personale e dei processi. Un recente studio di Ponemon Institute ha evidenziato che il 35% delle cause madri
delle violazioni di dati è l’errore umano, sotto forma di negligenze da parte di dipendenti e personale a contratto. Lo stesso report ha inoltre
attribuito il 29% delle violazioni a difetti dei sistemi, che includono errori IT e dei processi aziendali. Le violazioni connesse a fattori umani o
errori nei processi nascono spesso da una scarsa attenzione per la sicurezza informatica da parte dei dipendenti, sia del reparto IT che della
divisione business. Alla radice dell’errore umano vi sono di frequente l’uso, la memorizzazione o la distribuzione di dati sensibili dell’azienda
con modalità non appropriate, nonché un approccio negligente verso le policy operative e di business.
Oltre alla formazione e alla consapevolezza, è importante che le aziende verifichino e facciano rispettare anche l’aderenza alle policy. Il
monitoraggio e l’esecuzione delle policy non migliorano solo la condizione dell’azienda rispetto al rischio, ma comunicano anche a tutta la
forza lavoro l’importanza che l’azienda attribuisce alla riservatezza delle informazioni e alla proprietà intellettuale. La mancata applicazione
delle policy e l’assenza di monitoraggio alimentano un atteggiamento culturale che va esattamente nella direzione opposta: se lo stesso
reparto IT non dà valore e non protegge le informazioni digitali, perché dovrebbero farlo i dipendenti?
Pilastro 3: Rilevare
Il pilastro Rilevare guarda allo sviluppo e implementazione delle attività volte a identificare rapidamente un attacco, a valutare quali sistemi
potrebbero esserne colpiti e garantire una risposta in tempi rapidi. In più, in questa fase si continua a monitorare la rete alla ricerca di
indicatori di altri attacchi connessi all’attacco principale, verificando che le protezioni messe a difesa abbiano funzionato in modo efficace.
Il rovescio della medaglia, quando un’azienda investe così tanto tempo e lavoro per cercare di proteggersi dagli attacchi, è che può trovarsi
impreparata rispetto a cosa fare quando un attacco ha di fatto avuto successo.

8. 5
Il progetto per la Cyber Resilience: Una nuova prospettiva sulla sicurezza
Una delle conseguenze di maggior rilievo di questa mancanza di preparazione è che mina la capacità dell’azienda a reagire con efficacia
alla violazione avvenuta. Se si dilatano i tempi di risposta e i tempi di risoluzione, i criminali informatici hanno più tempo per l’exploit e per
apportare danni. Considerano che oggi negli Stati Uniti il costo totale per una violazione di dati è pari in media a 5,4 milioni di dollari, appare
chiaro che non si tratta di un problema secondario.6
I danni non includono solo il costo per rimediare alla violazione, ma anche le sanzioni
per la mancata compliance, la perdita di reputazione e/o la perdita di clienti. Va da sé, che se un’azienda non dispone delle necessarie
soluzioni per impedire la violazione in primo luogo, i criminali informatici potranno fare scempio senza limiti di tempo. In base al Verizon
Data Breach Investigations Report del 2014, l’85% delle intrusioni nei sistemi dei punti vendita non sono state scoperte prima di settimane e
il 43% degli attacchi ad applicazioni Web sono stati scoperti dopo mesi.
Quando si verifica una violazione, l’unico modo per ridurre al minimo i danni in modo proattivo ed efficace consiste nel disporre delle giuste
policy di rilevamento e risposta, di processi e di tecnologie. Le tante aziende che dispongono già di strategie di rilevamento e risposta,
dovrebbero valutare regolarmente se queste sono adeguate e stabilire se sono in grado di contenere e rimediare in tempi rapidi a una
violazione. I Big Data e i relativi strumenti di analisi associati all’emergere del cloud, della connettività mobile e dell’uso dei social, offrono la
possibilità di elaborare e analizzare dati strutturati e non strutturati sulla sicurezza informatica, per favorire l’esecuzione di questo processo.
Pensiamo a come monitorare gli eventi di sicurezza interna e correlarli alle minacce esterne, e a come essere certi che i dati siano disponibili
per stabilire rapidamente quando o se sono stati violati. Monitorare le possibili centinaia di endpoint, tentativi di login e di accesso ai dati
in una rete trafficata non è un compito semplice. E il compito appare poi impossibile se unito al tentativo di migliorare la consapevolezza
sullo scenario globale delle minacce. In questo caso torna sicuramente utile un servizio di sicurezza gestita. Le offerte di sicurezza gestita
spaziano da monitoraggio e prioritizzazione della sicurezza fino a protezione da minacce avanzate e gestione della risposta agli incidenti, e
possono aiutare a implementare una strategia di sicurezza resiliente che consenta di prepararsi, proteggersi e reagire ad attacchi informatici
con rapidità.
Un’azienda resiliente sotto l’aspetto informatico si distingue per un reparto IT proattivo che ha visibilità sull’intero ambiente, che dispone di
profonde integrazioni a livello di dati grazie a cui ricavare informazioni, un reparto in grado di evolvere regolarmente e rispondere a criminali
sempre più sofisticati. Mettendo in correlazione l’intelligence sulla security, il reparto IT può rilevare rapidamente un potenziale problema e
porvi rimedio prima che questo si allarghi, riducendo danni e costi.
Pilastro 4: Rispondere
Il pilastro Rispondere offre una guida ai tipi di attività che possono accelerare i tempi per rimediare al problema e contenere l’impatto
dell’attacco una volta che questo è stato rilevato. Affinché il processo di rilevamento sia efficace, è essenziale che la risposta sia tempestiva.
Benché siano disponibili numerose soluzioni e servizi al riguardo, il punto più importante in termini di risposta è che siano disponibili
persone e processi interni all’organizzazione.
Un’organizzazione deve cioè disporre di un piano di risposta che dica chiaramente alle persone cosa fare quando si verifica un incidente.
È necessario disporre di un Computer Security Incident Response Team (CSIRT), con ruoli specifici e responsabilità chiare. Tali ruoli
dovrebbero essere assegnati a membri competenti dell’organizzazione. Ci deve essere un responsabile/manager del team che deve avere la
responsabilità di dichiarare l’incidente, coordinare le attività del CSIRT e comunicare i report sulla situazione ai dirigenti aziendali.
Avere un piano d’azione predefinito e ben compreso da tutti, consente di coordinare il lavoro di risposta rendendola più tempestiva ed
efficace rispetto a quanto avviene in assenza di piani precisi. L’esistenza del team CSIRT dovrebbe essere indicata da un documento e
ratificata dalla dirigenza. Il piano d’azione inoltre dovrebbe prioritizzare i diversi tipi di eventi e richiedere un livello di notifica e/o risposta
idonea per il livello dell’evento o della minaccia.
6- 2013 Cost of Data Breach Study: United States, indagine di Ponemon Institute LLC, maggio 2013

9. 6
Il progetto per la Cyber Resilience: Una nuova prospettiva sulla sicurezza
Preparazione
Prepararsi a un
attacco
Implementare il piano
di risposta
Raffinare il piano
di risposta
Rilevamento Risposta Recupero Riesame
Ingresso
hacker
Hacker
rilevato
M
essa
in
sicurezza
dei
sistem
i
Norm
ale
operatività
ripristinata
Tempo
Un piano di risposta consente di determinare rapidamente l’estensione del rischio per l’ambiente e quindi di rispondere. Per una risposta più
rapida, l’ideale è automatizzare gli step per l’azione di rimedio, oltre a eseguire prove in cui i dipendenti implementano policy e procedure.
Per creare un proprio piano, è consigliabile:
• Gestire il rischio misurando e tracciando la propria resilienza informatica, valutando quanto i sistemi siano stati ben protetti durante
l’attacco (si è propagata un’infezione o l’attacco è stato respinto?);
• Creare un piano: indicare come si intende rispondere a eventuali incidenti informatici;
• Stabilire in che modo saranno mantenuti e testati i processi e le procedure di risposta;
• Coordinare le attività di comunicazioni sulla risposta e comprendere in che modo verranno svolte le attività di analisi e attenuazione, e
• Strutturare un sistema nel quale le lezioni apprese siano incorporate nelle attività di risposta future.
Porre rimedio a un attacco può essere difficile. Quando chi attacca prende il controllo dei sistemi aziendali, l’azienda è in sostanza - e in
alcuni casi letteralmente - tenuta in ostaggio. Nel marzo 2014, lo strumento di gestione progetti online Basecamp venne colpito da un
attacco DDoS (Distributed Denial-Of-Service). Chi aveva condotto l’attacco inondò il sito Web di traffico non consentendo agli utenti di
potervi accedere, fino a quando l’azienda non pagò un riscatto. In casi come questi, i servizi di risposta all’incidente possono aiutare le
aziende a implementare piani di risposta chiaramente definiti per fornire assistenza con le operazioni di recupero.
Pilastro 5: Recuperare
L’ultimo pilastro da esaminare, fondamentale per qualunque strategia di sicurezza resiliente, è il recupero. Questa fase comprende lo
sviluppo e implementazione di appropriati sistemi e piani per ripristinare tutti i dati e servizi colpiti nel corso di un attacco informatico.
Per quanto si lavori sulla preparazione e protezione delle aziende, è possibile che non sia riescano ad evitare certi tipi di attacchi. Anche
se si risponde rapidamente a una violazione informatica, un attacco può avere sempre conseguenze. Quali che siano le conseguenze,
un’organizzazione deve riuscire a restituire piena operatività al personale, ai processi e ai sistemi con la massima rapidità possibile. E un
recupero efficace dipende da un piano di recupero chiaro e completo.
Molte aziende dispongono di piani già operativi per la business continuity e il disaster recovery, con funzionalità quali backup e recovery,
archiviazione cloud, archivi offsite, data center ridondanti e geograficamente separati e altre misure di continuità delle attività. Tuttavia,
questi piani spesso non comprendono best practice e scenari di recupero fondamentali.
Per esempio, anche se molte organizzazioni eseguono backup regolari, poche sanno esattamente quali dati sono compresi nel backup. È
importante comprendere a che livello i dati compresi nel backup siano realmente importanti per l’azienda. In caso di disastro, quali sono i
primi dati e sistemi che un’azienda deve ripristinare per tornare a una normale operatività? Un’azienda deve essere certa che i suoi piani di
recupero rispondano a questa domanda.

10. 7
Il progetto per la Cyber Resilience: Una nuova prospettiva sulla sicurezza
I data center ridondanti sono importanti, ma vanno tenuti presenti aspetti logistici e geografici che possono influire sulla capacità di failover.
Dei data center molto vicini l’uno all’altro, per esempio, non sono di grande aiuto se una città o regione è colpita da un evento catastrofico.
Ma lasciando stare gli aspetti geografici, cosa succede se un’emergenza taglia le comunicazioni con i data center?
Sebbene molte organizzazioni prevedano questo problema nei loro piani di recupero, la maggior parte si focalizza solo sul recupero dopo
interruzioni delle attività causate da guasti del sistema e disastri naturali. Molte non prevedono bene cosa fare in caso di una seria catastrofe
informatica.
Le organizzazioni hanno bisogno di un piano d’azione per ripristinare la normale operatività anche in caso di violazione informatica su larga
scala. Esistono molti resoconti di aziende che avevano piani completi di business continuity di tipo tradizionale e regolari esercitazioni di
recupero e di failover del data center che si sono trovate poi clamorosamente impreparate una volta colpite da un attacco informatico esteso
a tutta l’impresa.
Pensiamo alle conseguenze che un attacco informatico potrebbe avere sui sistemi, sul personale e sui processi aziendali. Cosa servirebbe fare se
gli smartphone o i tablet dei dipendenti fossero compromessi? Se un attacco malware aggressivo rendesse inutilizzabile un numero significativo
di hard drive dei notebook aziendali? Con quanta rapidità sarebbe possibile mettere su nuovi hard drive? Esistono processi per il provisioning
rapido di nuovi sistemi per i dipendenti più importanti se necessario? È essenziale pensare a tutti i modi in cui un attacco informatico può avere
un impatto sulla propria organizzazione. Quali sono i processi e le procedure che servono per il recupero dopo un attacco?
Fondamentalmente, bisogna garantire che i sistemi critici rimangano disponibili anche nel corso dell’incidente, e stabilire quindi in che modo
ripristinare gli altri sistemi e dati successivamente. Come per i piani di risposta, anche i piani di recupero devono essere rivisti e aggiornati
regolarmente per soddisfare tutti gli aspetti di un disastro che può colpire un’organizzazione.
Come arrivare alla Cyber Resilience
Le conseguenze di un grande attacco informatico possono essere devastanti per qualunque organizzazione. Purtroppo non esiste una
soluzione totalmente sicura contro gli attacchi e c’è sempre la possibilità di una violazione a dispetto del lavoro di preparazione e protezione
svolto da un’azienda. Molti clienti non hanno le sofisticate competenze richieste per gestire queste minacce più avanzate. Per ridurre al
minimo la potenziale devastazione di un attacco informatico, è necessario pensare alla sicurezza in modo diverso. Pensare cioè, non a
eliminare il rischio informatico, ma a creare la resilienza informatica.
Per far ciò, è bene iniziare da un nuovo modo di parlare del rischio informatico. È essenziale allineare i reparti IT e business e incoraggiare
discussioni regolari e produttive per identificare i benefici e i rischi associati a una strategia di resilienza informatica. Trovare e utilizzare un
linguaggio comune. Chi si occupa di sicurezza nel reparto IT deve accettare il fatto che la divisione business sarà tentata di prendere alcuni
rischi per ottenere buoni risultati e dovrà pertanto mettere in grado la divisione business di prendere decisioni informate su come gestire il
rischio informatico.
La dirigenza senior deve avere un ruolo più attivo nello stabilire e supervisionare un programma di sicurezza informatica. In un’organizzazione
resiliente sotto l’aspetto informatico, la dirigenza senior assume le decisioni ed è in definitiva responsabile per la compliance. In virtù di ciò,
questi manager devono essere istruiti sulle scelte che la loro compagnia deve fare e prendersi le responsabilità degli eventuali rischi.
Infine, il reparto IT deve passare da un approccio “poliziesco” a un atteggiamento che favorisca una strategia completa e integrata a cui
contribuiscano persone, processi e tecnologie. Cambiando approccio culturale verso le informazioni digitali e favorendo una strategia che
includa preparazione, prevenzione, rilevamento, risposta e recupero, le aziende possono ottenere un’effettiva resilienza informatica e la
capacità di rispondere e recuperare rapidamente dopo un attacco.
Contatta oggi stesso il tuo rappresentante dell’account Symantec o partner rivenditore per discutere di come iniziare a integrare
la Cyber Resilience nella tua strategia di sicurezza. Per ulteriori informazioni sulla Cyber Resilience e per rimanere aggiornato sul
tema, visita il microsito Symantec sulla Cyber Resilience. go.symantec.com/cyber-resilience.

12. Il progetto per la Cyber Resilience: Una nuova prospettiva sulla sicurezza
Informazioni su Symantec
Symantec Corporation (NASDAQ: SYMC) è una
società esperta nella protezione delle informazioni,
che aiuta persone, imprese e governi che cercano
la libertà di sfruttare le opportunità offerte dalla
tecnologia, ovunque e in qualsiasi momento.
Fondata nell’aprile del 1982, Symantec, una
società Fortune 500 che gestisce una delle più
grandi reti globali di analisi dati, fornisce soluzioni
all’avanguardia per la sicurezza, il backup e
la disponibilità dei sistemi che memorizzano
informazioni vitali e consentono di accedervi e
condividerle. La società ha oltre 20 mila dipendenti
che risiedono in più di 50 Paesi. Il 99% delle
società Fortune 500 è cliente di Symantec.
Nell’anno fiscale 2013, ha registrato ricavi per
6,9 miliardi di dollari. Per saperne di più visitare
www.symantec.it o connettersi con Symantec
all’indirizzo: go.symantec.com/socialmedia.
Per contattare le nostre sedi nei
diversi Paesi e i loro numeri di
contatto visita il nostro sito.
Symantec Italia
Via San Bovio, 3 – 20090 San
Felice di Segrate (MI), Italy,
Tel: +39 02/0703321 -
02/36013200
fax: +39 02/70332360
www.symantec.it
Copyright © 2014 Symantec Corporation. Tutti
i diritti riservati. Symantec, il logo Symantec e il
logo Checkmark sono marchi o marchi registrati
di Symantec Corporation o di sue affiliate negli
Stati Uniti o in altri Paesi. Altri nomi possono
essere marchi registrati dei rispettivi proprietari.
8/2014 21335929IT