Cos’è la gestione del rischio informatico?

È difficile valutare il rischio informatico con certezza matematica. Raramente le aziende hanno piena visibilità sulle tattiche dei criminali informatici, sulle vulnerabilità della propria rete o su rischi più imprevedibili come condizioni meteorologiche avverse e negligenza dei dipendenti. Inoltre, gli stessi tipi di attacchi informatici possono avere conseguenze diverse da un'azienda all'altra. Le violazioni dei dati nel settore dell'assistenza sanitaria costano in media 10,10 milioni di dollari, mentre il costo per il settore alberghiero è di 2,9 milioni di dollari, secondo il rapporto IBM Cost of a Data Breach.

Per questi motivi, autorità quali il National Institute of Standards and Technology (NIST) suggeriscono di affrontare la gestione del rischio informatico come un processo iterativo continuo anziché un evento unico. La revisione periodica del processo consente a un’azienda di incorporare nuove informazioni e rispondere ai nuovi sviluppi nell'ambito del più ampio panorama minacce e a livello dei propri sistemi IT.

Per assicurare che le decisioni sul rischio tengano conto delle priorità e delle esperienze dell’intera organizzazione, il processo è generalmente gestito da una combinazione di stakeholder. I team di gestione del rischio informatico possono includere amministratori, dirigenti come il CEO e il Chief Information Security Officer (CISO), membri dei team IT e di sicurezza, funzionari dell'ufficio legale e HR e rappresentanti di altre unità di business. 

Numerose sono le metodologie di gestione del rischio informatico che possono essere utilizzate in azienda, tra cui il NIST Cybersecurity Framework (NIST CSF) e il NIST Risk Management Framework (NIST RMF). Pur differendo leggermente, tutti questi metodi seguono una catena molto simile di passaggi di lavoro fondamentali.

L'inquadramento del rischio è l’atto di definire il contesto in cui vengono prese le decisioni sul rischio. Inquadrando il rischio fin dall’inizio, le aziende possono allineare le proprie strategie di gestione del rischio alle strategie aziendali globali. Questo allineamento contribuisce a evitare errori inefficaci e costosi, come l'implementazione di controlli che interferiscono con funzioni chiave di business. 

Per inquadrare il rischio, le aziende definiscono aspetti quali:

Ambito del processo: quali sistemi e immobilizzazioni saranno esaminati? Quali tipi di minacce verranno analizzate? Quale scala temporale verrà presa in considerazione (ad esempio, i rischi nei prossimi sei mesi, nel prossimo anno, ecc.)?

Inventario e assegnazione priorità delle immobilizzazioni: quali dati, dispositivi, software e altri asset sono presenti nella rete? Quali di queste immobilizzazioni sono più critiche per l'organizzazione?

Risorse organizzative e priorità: quali sistemi IT e processi di business sono più importanti? Quali risorse, finanziarie e non, impegnerà l’azienda nella gestione del rischio informatico?

Requisiti legali e normativi: a quali leggi, standard o altri mandati deve ottemperare l'azienda? 

Queste e altre considerazioni forniscono all’azienda le linee guida generali nel processo decisionale sui rischi. Aiutano inoltre l'azienda a definire la propria tolleranza al rischio, ovvero i tipi di rischi che può e non può accettare.

Attraverso l'accertamento del rischio di cybersecurity, le aziende identificano minacce e vulnerabilità, stimano i loro potenziali impatti e assegnano priorità ai rischi più critici.

Il modo in cui un'azienda conduce l'accertamento del rischio dipenderà dalle priorità, dall'ambito e dalla tolleranza al rischio definiti nella fase di inquadramento. Nella maggior parte dei casi vengono valutati i seguenti aspetti: 

Minacce: persone ed eventi che possono interrompere un sistema IT, sottrarre dati o compromettere in altro modo la sicurezza delle informazioni. Le minacce includono attacchi informatici intenzionali (come ransomware o phishing) ed errori dei dipendenti (quale la memorizzazione di informazioni riservate in database non protetti). Anche i disastri naturali, come terremoti e uragani, possono rappresentare una minaccia per i sistemi di informazioni.

Vulnerabilità: errori o debolezze di un sistema, un processo o un asset di cui possono approfittare le minacce per causare danni. Le vulnerabilità possono essere tecniche, come un firewall configurato in modo erroneo e tale da consentire al malware di penetrare in una rete o un bug del sistema operativo che gli hacker possono sfruttare per assumere il controllo di un dispositivo da remoto. Le vulnerabilità possono derivare anche da politiche e processi inefficaci, ad esempio una politica di controllo accessi poco rigorosa che consenta alle persone di accedere a più asset di quelli richiesti.

Impatti: ciò che una minaccia può fare a un’azienda. Una minaccia informatica può interrompere servizi critici, causando tempi di inattività e mancato guadagno. Gli hacker possono sottrarre o distruggere dati sensibili. Attraverso attacchi di compromissione delle e-mail aziendali abili truffatori possono indurre i dipendenti a inviare loro denaro.

Gli impatti di una minaccia possono riverberarsi oltre l'organizzazione. I clienti a cui vengono sottratte informazioni che permettono l'identificazione personale (PII) durante una violazione dei dati sono essi stessi vittime dell'attacco.

Poiché può essere difficile quantificare l'impatto esatto di una minaccia sulla sicurezza informatica, le aziende spesso utilizzano dati qualitativi quali tendenze cronologiche e storie di attacchi su altre organizzazioni per stimare l'impatto. Anche la criticità degli asset è un fattore chiave: quanto più un asset è critico, tanto più costosi saranno gli attacchi contro di esso.

Rischio: misura la probabilità che una potenziale minaccia si ripercuota su un'organizzazione e il danno che potrebbe derivarne. Le minacce più probabili e suscettibili di causare danni significativi sono le più rischiose, mentre le meno rischiose sono quelle improbabili che possono causare danni di lieve entità.

Durante l'analisi del rischio, le aziende prendono in considerazione fattori multipli per valutare la probabilità di una minaccia. I controlli di sicurezza esistenti, la natura delle vulnerabilità IT e il tipo di dati conservati da un’azienda sono tutti aspetti che possono influire sulla probabilità delle minacce. Anche il settore di un'azienda può svolgere un ruolo determinante: come infatti emerge dall'X-Force Threat Intelligence Index le organizzazioni che operano nei comparti della produzione industriale e finanziario affrontano un maggior numero di attacchi informatici rispetto alle organizzazioni nell'industria dei trasporti e delle telecomunicazioni.

L'accertamento del rischio può basarsi su fonti di dati interne, come i sistemi di gestione delle informazioni e degli eventi di sicurezza (SIEM), e sulla threat intelligence esterna. Può inoltre analizzare minacce e vulnerabilità nella catena di fornitura dell'azienda, poiché gli attacchi ai fornitori possono influire sull'azienda stessa. 

Soppesando tutti questi fattori, l'organizzazione è in grado di costruire il proprio profilo di rischio. Tale profilo fornisce il repertorio dei potenziali rischi dell'azienda, assegnando priorità in base al livello di criticità. Quanto più una minaccia è rischiosa, tanto più critica è per l’organizzazione. 

L'organizzazione monitora i nuovi controlli di sicurezza per verificare che funzionino come previsto e soddisfino i requisiti normativi pertinenti. 

L'organizzazione tiene inoltre sotto controllo il più ampio panorama minacce e il proprio ecosistema IT. Eventuali cambiamenti nell'uno o nell'altro, quali l’insorgere di nuove minacce o l’aggiunta di nuovi asset IT, possono far emergere nuove vulnerabilità o rendere obsoleti controlli precedentemente efficaci. Mantenendo una sorveglianza costante, l’azienda può perfezionare il proprio programma di sicurezza informatica e la strategia di gestione del rischio quasi in tempo reale.