La trasformazione digitale sta spingendo l’IT a riprogettare le proprie architetture verso un’infrastruttura decentralizzata che elimini le barriere della gravità dei dati e supporti operazioni pervasive e on-demand. Tuttavia, questo può introdurre nuovi problemi di sicurezza a causa del numero maggiore di punti di accesso.

Cosa ci riserva il panorama in evoluzione della sicurezza IT? Per approfondire le best practice che le aziende dovrebbero considerare nella definizione delle proprie strategie di sicurezza fisica e informatica, abbiamo invitato Don Freese, Principal of Cyber Strategy, Transformation & Risk di PwC, a partecipare a una sessione di domande e risposte dal vivo insieme a Ed Diver, CIO di Digital Realty, durante il nostro evento MarketplaceLIVE a New York nel novembre 2019. Con oltre 22 anni di esperienza nella divisione Global Data Privacy dell’FBI, Don ha portato la sua vasta conoscenza ed esperienza, condividendo le sue riflessioni su:

Vantaggi offerti dal cloud per le strategie di sicurezza
Come considerare il rischio associato ai dati distribuiti ovunque
Superare sfide uniche dal punto di vista della sicurezza relative alle barriere gravitazionali dei dati e passare a un ambiente decentralizzato
Come gestire le operazioni in caso di crisi
Prospettive sulla convergenza tra sicurezza fisica e virtuale

ED: Quale consiglio daresti a CEO e CSO in merito all'adozione del cloud? Come dovrebbero affrontarla e quali sono alcuni dei vantaggi che il cloud può offrire alla loro strategia di sicurezza?

DF: È un'ottima prima domanda per iniziare. Penso che sia proprio quello che ha unito te e me; è quello che ha creato questa situazione in cui siamo finiti sul palco a parlare l'uno con l'altro. Voglio dire, ci sono diversi modi di essere leader nel mondo IT, ma uno degli aspetti fondamentali è che le relazioni contano e noi cerchiamo di dare il buon esempio. Tra noi, che operiamo come CIO e collaboriamo costantemente con i CSO avendo ricoperto questi ruoli in passato, c'è una netta differenza tra il confrontarsi su budget e strategia e cercare deliberatamente di rallentare l'innovazione o lasciare che sia l'area della sicurezza a farlo.

La questione del cloud è una di quelle che riguarda tutti noi: virtualizzare oppure rimanere in un ambiente on-premise? Il cloud è un ottimo strumento per la sicurezza e aiuterà la maggior parte delle aziende a uscire da una situazione di reti legacy che spesso comporta un deficit tecnologico, in particolare sul fronte dello storage dei dati. Se le aziende cercano di gestire questi aspetti da sole con apparecchiature obsolete, si presentano problemi di fine vita, anche solo in termini di responsabilità di patching.

"Il cloud è un ottimo strumento per la sicurezza e aiuterà la maggior parte delle aziende a uscire da una situazione di reti legacy".

Avviare una relazione solida e responsabile con i provider di cloud è un ottimo modo per far progredire i programmi di sicurezza, rispettando allo stesso tempo molti elementi della strategia aziendale. Aggiunge solo valore. Introduce anche sicuramente dei rischi in alcune aree, quando si iniziano a portare i dati in una posizione più centralizzata; questo modifica leggermente la superficie di attacco. Tuttavia, consente anche molte più strategie per controllare l’accesso tramite l’identità, gestire i permessi e capire chi sta accedendo a quali dati, quando e dove. Inoltre, consente di interrompere l’accesso in modo molto rapido, cosa che, francamente, è impossibile con la maggior parte delle reti legacy.

Questa strategia deve essere realizzata in collaborazione con il CIO, con la strategia complessiva dell’azienda, con la leadership aziendale e con le linee di business e di prodotto. Ed è lì che si inizia a vedere la sicurezza come uno strumento aziendale, invece che come qualcosa che rincorre o rallenta il business.

ED: I nostri dati sono disseminati ovunque. La potenza di calcolo è onnipresente quando si parla di applicazioni cloud e on-premise. Come un CIO o un CSO dovrebbero valutare il rischio associato a tale situazione? Come dovrebbero categorizzare e dare priorità al lavoro per affrontare le sfide di sicurezza nei giusti ambiti?

DF: Si torna alla prima parte della tua domanda, ovvero che i dati sono distribuiti ovunque. Senza organizzare i dati e capire dove si trovano, perché li stiamo conservando, come si muovono e quali clienti (interni o esterni) necessitano di accedervi, diventa davvero incoerente cercare di proteggere una rete attorno a tutto questo.

Quindi spostare la strategia di sicurezza verso un approccio data-centric aiuta anche a ripulire i dati dell’intera azienda. Aiuta anche ad affrontare un contesto normativo in evoluzione, come quello del GDPR e del CCPA.

Mi concentrerei sull'opposto di quella domanda: quanta privacy è associata a quei dati? Trovo di grande valore poter collaborare come un unico team insieme a CIO, responsabili della sicurezza e della privacy, consigli di amministrazione e team di prodotto, ponendo a tutti una domanda cruciale: di quanti dati abbiamo effettivamente bisogno nel nostro ecosistema? e organizziamolo, categorizziamolo e controlliamo l'accesso in base all'identità e ad altri criteri che abbia senso applicare.

È giunto il momento di valutare o procedere con la modernizzazione del luogo in cui vengono archiviati i dati e gli ambienti cloud sono il modo ideale per farlo.

ED: ED: Le barriere legate alla gravità dei dati stanno spingendo i responsabili IT verso un ambiente più decentralizzato. Ciò comporterà inevitabilmente delle sfide uniche dal punto di vista della sicurezza.

DF: La maggior parte delle aziende con cui collaboriamo ha una presenza globale. Analizzare la situazione per paese è un po’ irrilevante quando si parla di architettura, a parte la governance dei dati a livello nazionale, ma lo consideriamo un approccio secondario. E mentre osserviamo questo aspetto, spesso possiamo davvero mettere in discussione l’azienda ponendo la domanda:

Perché stai memorizzando così tanti dati?
Perché conservate i dati per un determinato periodo di tempo?
Che utilità hanno per le vostre operazioni?

Si tratta di domande che le aziende semplicemente non si pongono. Spesso, quando le aziende discutono di un progetto di trasformazione digitale o di migrazione a un ambiente cloud, partono da presupposti errati sulla quantità di dati che gestiscono e archiviano attualmente, e si limitano a calcolare quanto costerebbe il passaggio a un ambiente cloud. Se fai un passo indietro e dai un'occhiata alle norme sulla privacy e a come vengono utilizzati i dati a fini aziendali, è incredibile come tutto questo non venga preso in considerazione. Spesso ci rendiamo conto che si ottengono enormi vantaggi in termini di efficienza riducendo la quantità di dati archiviati o, almeno, effettuando l'archiviazione a cadenza regolare. E poi si arriva ad affrontare argomenti del tipo: come si fa a ripristinare i dati e come ci si prepara a farlo nell'attuale panorama delle minacce?

Perché non concentrarsi sui dati effettivamente necessari per operare? Cosa è effettivamente redditizio come organizzazione? E perché non trasferire anche quegli altri dati che puoi archiviare? Forse ne hai bisogno per altri motivi, ma ora puoi archiviare in modo molto più economico. E in ambienti come quelli offerti da Digital Realty. Lo facciamo davvero spesso con diverse aziende ed è una strategia fantastica che apre tantissime possibilità.

ED: Molti CSO e CEO passano molto tempo a preoccuparsi di una violazione e di come recuperare i dati in uno scenario del genere. Mi sorprende sempre come non l’abbiano pianificato in anticipo. Qualche opinione a riguardo?

DF: Sì, è una preoccupazione. È un aspetto che nel nostro ambiente di lavoro insegniamo molto. Lavoriamo sia con i dirigenti sia con i consigli di amministrazione su come gestire le operazioni in caso di crisi. Sentirai sempre gli esperti di cybersecurity, come me, parlare di esercitazioni, preparazione e pianificazione per questo tipo di situazioni. Ma andando due livelli più in profondità, spesso non vediamo questo tipo di esercitazione a livello tecnico o operativo. Cosa comprendono i team di ingegneria e i team di infrastruttura? Cosa deve considerare il CIO quando una minaccia moderna entra nel sistema? Ad esempio una che crittografa rapidamente i dati, come nel caso del ransomware, bloccando le operazioni.

Che tipo di discussioni stanno avvenendo e quali mitigazioni vengono adottate in questi casi? Il vantaggio, tornando alla tua primissima domanda su alcune delle strategie cloud esistenti, è che, quando si verificano eventi come il ransomware in un ambiente, tali ambienti possono essere disattivati e messi offline in frazioni di secondo. Nessuno saprà nemmeno che si è verificato un evento. E molto spesso, avere i dati organizzati, come abbiamo detto attraverso una governance adeguata, una corretta localizzazione e un’adeguata archiviazione, ovvero elementi fondamentali che non sono presenti in molti dei nostri ambienti di rete legacy, una volta che questi aspetti sono stati messi a posto grazie a una strategia cloud efficace, queste preoccupazioni scompaiono.

ED: Il panorama è cambiato davvero negli ultimi anni: la sicurezza fisica da sola non è più sufficiente e stiamo assistendo alla necessità di una convergenza tra sicurezza virtuale e fisica. Cosa osservi riguardo a questa convergenza nel settore?

DF: Spesso, i modelli di sicurezza fisica e di sicurezza informatica sono gestiti da due team completamente separati. Sono team che non hanno mai davvero dialogato e, spesso, a livello culturale, non si scambiano idee in modo efficace. La natura stessa delle persone che guidano ciascuna di queste organizzazioni è molto diversa. Ora abbiamo la tecnologia operativa (OT) o l’IoT che spesso guidano ciò che accade nel mondo della sicurezza fisica. E penso che questa sia un’ottima domanda, perché vogliamo che queste reti siano organizzate tanto quanto lo storage di rete più ampio nel sistema che stanno proteggendo. Sono adeguatamente segmentati oppure hanno creato un vettore di minaccia installando controlli di accesso digitali direttamente nell'infrastruttura portante dei loro dati?

"È giunto il momento di valutare o procedere con la modernizzazione del luogo in cui vengono archiviati i dati e gli ambienti cloud sono il modo ideale per farlo". Purtroppo, spesso hanno creato un vettore di minaccia, e questo avviene semplicemente a causa della mancanza di comprensione di come funzionano questi diversi elementi: come funzionano i lettori di carte e come vengono venduti dai fornitori. Quindi è necessario rallentare e assicurarsi che, prima che i team di sicurezza fisica implementino questo tipo di soluzioni, vi sia innanzitutto una valutazione strategica e che, inoltre, si utilizzi quel dato per controllare gli accessi in modo logico. Quindi cosa intendiamo con questo? Vogliamo fare la stessa cosa con i dati. Se qualcuno non ha un ruolo o un corretto elemento di accesso, non dovrebbe poter accedere. Tuttavia, il modo più semplice per configurare un lettore di badge digitale in modalità predefinita è che, se si possiede quel badge, si possa entrare. Segmentare anche questi spazi fisici è altrettanto importante.

Per saperne di più su MarketplaceLIVE e sulle ultime novità, registrati qui: www.marketplacelive.com

Dove il decentramento incontra la sicurezza informatica