Cinque modi per rendere i processi per la sicurezza delle informazioni a prova di futuro

Dal DDoS al furto degli IP, le organizzazioni stanno pagando caro gli attacchi informatici  ma, avendo compreso il potenziale impatto di tali aggressioni sul business, sempre più aziende sono pronte a gestirne i rischi. Secondo la survey Global State of Information Security® del 2014, organizzazioni leader del settore stanno “potenziando le funzionalità di sicurezza utilizzando metodi che dimostrano che tale scelta è sempre più un imperativo di business, non una sfida per l’IT”. Dalla survey emerge che le perdite provenienti da incidenti sono aumentate in media del 18% nello scorso anno e che le perdite ingenti risultano un numero maggiore rispetto a quelle meno rilevanti. Per innovarsi e crescere, le organizzazioni devono gestire i rischi informatici in modo più proattivo.

Se le aziende sono pronte a impegnarsi per migliorare la protezione, qual è la strategia che devono applicare i team addetti alla sicurezza? Per prima cosa è necessario che stabiliscano processi di sicurezza coerenti e formalizzati, che si integrino con i processi di business critici già in uso. Dovranno quindi lavorare a fianco a fianco con le aziende per impostare obiettivi, creare consapevolezza sui rischi e comunicare le soluzioni ai problemi. Per svolgere queste operazioni occorre comprendere le modalità di utilizzo delle informazioni all’interno delle aziende e individuare la soluzione migliore per proteggere globalmente i processi di business più importanti.

Da diverso tempo il Security for Business Innovation Council (SBIC) sostiene la necessità per le aziende di gestire in modo proattivo i rischi informatici. Nell’ultimo report è stata evidenziata in particolare l’importanza di ottimizzare i processi di sicurezza, sottolineando come processi ad hoc, quali la conformità a checklist e la protezione basata sul perimetro, rappresentino soluzioni ormai inadeguate per la gestione delle minacce attuali.  All’interno del report Processi a prova di futuro vengono illustrati alcuni dei principali problemi derivanti da processi di sicurezza obsoleti:

  • L’utilizzo di termini tecnici per definire i rischi risulta poco comprensibile per i responsabili aziendali
  • L’impiego di complicati metodi manuali per tenere traccia dei rischi non è funzionale per il business
  • Gli assessment di controllo frammentari point-in-time non bastano più
  • Il sistema per l’assessment e la supervisione della sicurezza di terze parti deve essere aggiornato rapidamente
  • È necessario migliorare le metodologie di raccolta e analisi dei dati relativi alle minacce

Grazie ai cinque consigli forniti nel report potrai comprendere come aggiornare i processi esistenti, progettarne di nuovi e implementare tecniche che consentano lo sviluppo dei programmi per la sicurezza delle informazioni. Sono inclusi:

  1. Spostare l’attenzione dagli asset tecnici ai processi di business critici: inizia a documentare i processi e a progettare l’implementazione di una protezione end-to-end per i processi di business più importanti.
  2. Stabilire valutazioni di business dei rischi per la sicurezza informatica: sviluppa scenari per stimare la probabilità e il potenziale impatto degli incidenti e perfeziona le tecniche per quantificare i rischi ipotizzando perdite monetarie.
  3. Stabilire un processo di valutazione del rischio incentrato sul business: utilizza strumenti automatizzati per tenere traccia dei rischi pur mantenendo l’attenzione focalizzata sul business.
  4. Impostare un percorso per accertare l’efficacia dei controlli su base di prove: raccogli i dati necessari per verificare regolarmente l’efficacia dei controlli, a livello interno, così come per le terze parti.
  5. Sviluppare metodi di data collection informati: interpretando i tipi di domande a cui gli strumenti di analisi sono in grado di rispondere, puoi costituire un set di use case per i dati personalizzato.

Considerato che i team responsabili della sicurezza delle informazioni si trovano a dover soddisfare esigenze e aspettative sempre più pressanti, adottare una nuova prospettiva per i processi fondamentali potrebbe rappresentare un enabler importante per il miglioramento. Siamo certi che le indicazioni più aggiornate appena fornite ti consentiranno di individuare i processi da aggiornare.

 “Nonostante tutte le innovazioni relative a business, tecnologia e scenari di nuove minacce, è necessario continuare a concentrare l’attenzione sulla sicurezza delle informazioni, ormai destinata a trasformarsi per consentire il successo delle organizzazioni. In qualità di professionisti del settore, spetta a noi l’esclusivo vantaggio competitivo di innovare radicalmente le tecniche di protezione.”

Roland Cloutier, Vice President, Chief Security Officer, Automatic Data Processing, Inc.

 

No Comments