Verso un approccio integrato

Un cambiamento nel modo di affrontare le minacce

Autore: Dirk Jan van den Heuvel, Amministratore Delegato di Bureau Veritas Cybersecurity

In qualità di direttore di un'azienda di cybersecurity in crescita, vedo un cambiamento nel modo in cui affrontiamo le minacce. La divisione tradizionale tra, ad esempio, 'awareness' o 'goveranance' o 'misure tecniche' spesso comporta una disconnessione nella gestione dei rischi informatici. La soluzione: un approccio più integrato e multidisciplinare.

Alcune grandi imprese dispongono di buone misure per controllare i rischi di cybersecurity. Hanno un ufficio CISO, un sistema di gestione della sicurezza, formazione e misure tecniche. Seguono gli standard ISO 27k o il NIST Cybersecurity Framework (Identify, Protect, Detect, Respond, Recover, Govern). Hanno adottato politiche per analizzare i rischi, le minacce, le scoperte e i problemi, in modo da imparare e migliorare. Con un grande team di esperti di sicurezza, controllano i rischi informatici di un'impresa così grande. Complimenti!

Disconnessione tra le diverse misure

Per le organizzazioni più piccole (fino a migliaia di dipendenti), invece, la sfida è più grande. Hanno bisogno di diverse competenze per gestire i rischi informatici in modo maturo. Dall'esterno le loro misure di sicurezza possono sembrare buone: possono organizzare la formazione, avere politiche di sicurezza e misure tecniche in atto per ridurre i rischi informatici. Ma ciò che vediamo nella pratica è che queste misure sono spesso piuttosto scollegate:

• La formazione sulla consapevolezza e sul comportamento non è legata alle specificità dell'organizzazione o del settore in cui opera. Spesso viene gestita come un argomento di conformità, e non come un modo per controllare i rischi reali.
• Un sistema di Security Management potrebbe essere in atto, ma potrebbe non affrontare le minacce reali sul lato tecnico, o i rischi relativi alla governance e al fattore umano.
• Le misure tecniche e informatiche potrebbero essere buone, ma insufficienti o sbilanciate. Ad esempio, se sono presenti misure di "Protezione" adeguate, ma misure di "Rilevazione" o "Risposta" insufficienti.

Abbiamo bisogno di un approccio più equilibrato

Le sfide informatiche di oggi richiedono un approccio equilibrato e integrato delle misure di cybersecurity. Le misure di protezione, rilevamento, risposta e governance devono essere tutte allineate. Le persone con un background in Awareness e Behavior, Security Management o IT Security devono lavorare insieme per proteggere l'organizzazione. Dobbiamo liberarci dei silos tradizionali e concentrarci maggiormente sulla collaborazione e sull'integrazione. La sicurezza informatica, la cybersecurity e il fattore umano devono fondersi insieme, sia per le organizzazioni più grandi che per quelle più piccole.

NIS2 e DORA: movimento verso l'integrazione

Fortunatamente, vediamo un movimento verso questo approccio integrato in regolamenti come NIS2 e DORA. Non si tratta di una lista di controllo o di un semplice elenco di azioni, ma in definitiva di conoscenza e formazione, mentalità, responsabilità, gestione continua del rischio, prove e forse anche sanzioni. Queste normative mondiali richiedono a molte organizzazioni critiche e importanti di implementare misure di gestione della sicurezza solide e integrate. E secondo le normative, i loro fornitori critici devono fare lo stesso.

Si tratta di una bella sfida per le organizzazioni critiche e importanti della nostra società. Il tempo in cui era sufficiente avere un ISMS; il tempo in cui un pentest annuale avrebbe affrontato i rischi; il tempo in cui i clienti potevano accettare qualsiasi incidente informatico come 'sfortuna', è finito. Abbiamo bisogno di un approccio più professionale, multidisciplinare e basato sul programma (con vari percorsi in parallelo). A Bureau Veritas Cybersecurity piace questa sfida. Ecco perché chiamiamo il 2024 l'anno dell'Approccio Integrato.

Il mondo della cybersecurity sta cambiando. Si abboni alla nostra Newsletter Cyber Vision per saperne di più sulla natura mutevole della cybersecurity e sul futuro della cyber resilience.