I sistemi informativi e la loro sicurezza rappresentano un grosso grattacapo per la maggior parte degli imprenditori, dei manager e degli amministratori, a causa della loro complessità e dell'abbondanza di gergo tecnico. Questo articolo si propone di presentare l'analisi del rischio informatico in modo chiaro e accessibile.
1. Dare una svolta esistenziale all'analisi del rischio informativo
Un equipaggio di astronauti si sta dirigendo nello spazio per salvare l'umanità. Uno di loro pilota la navicella, affiancato dal copilota, e insieme monitorano il display portatile – un complesso sistema di pulsanti e suoni che mostra le informazioni più rilevanti per prendere decisioni – per vedere cosa sta succedendo in tempo reale. I pulsanti diventano rossi e i suoni si attivano, creando un senso di pericolo imminente: la navicella sta per attraversare uno sciame meteorico tra pochi secondi. La differenza tra il successo e il fallimento della missione è la vita o la morte, o in altre parole: il futuro di un'intera specie.
Questo è uno scenario tipico dei film di fantascienza. Condividono tutti uno schema: il protagonista è un leader che prende decisioni in tempi di crisi basandosi su una sola cosa: informazione. Informazioni provenienti da più fonti e supportate da un team da specialisti. Nella maggior parte dei casi, il risultato finale dipende dall'immaginazione dello sceneggiatore, ma nella vita reale il risultato dipende da due fattori: creatività e preparazione.
La formula sembra chiara, anche se ottenere gli ingredienti e il mix giusti è probabilmente la sfida più grande per qualsiasi organizzazione:
Successo = persone + informazioni + preparazione
Cosa succederà questa volta se sarai tu il protagonista? Cosa accadrà se non avrai le informazioni o il team necessari per prendere una decisione? Ok, forse non stai pilotando un'astronave o l'umanità non dipende da te, ma hai comunque un team e altre responsabilità sulle spalle: magari come manager, imprenditore, dipendente o team leader. Chi ti supporta? Chi ti consiglia?
Creatività, visione ed esperienza sono tre qualità che raramente si presentano contemporaneamente in una sola persona, ed è per questo che sono tra le più ricercate. Un individuo creativo, competente ed esperto è la gallina dalle uova d'oro di qualsiasi organizzazione. È ciò che fa la differenza tra il successo e il fallimento nel mondo degli affari: un futuro sostenibile o la fine dell'attività.
2. Che cos'è l'analisi del rischio e perché è importante?
El analisi del rischio informativo Si tratta di un processo di comprensione e valutazione delle risorse informative, delle loro vulnerabilità e delle minacce, con l'obiettivo finale di proteggerle. Ciò implica la considerazione dei diversi sistemi aziendali, nonché delle loro relazioni con i sistemi esterni.
L'articolo Come prepararsi in un mondo con 12 attacchi informatici al secondo Ci ha già dimostrato che non siamo pienamente consapevoli del valore dei nostri beni, delle loro vulnerabilità e di tutte le minacce che incombono quotidianamente sulla loro sicurezza.
È risaputo che "Meglio prevenire che curare"¨. Le organizzazioni internazionali e i governi stanno investendo sempre di più nella prevenzione per affrontare le maggiori sfide dell'umanità, perché sono pienamente consapevoli che non esiste soluzione migliore: perché risolvere i problemi quando possiamo prevenirli? La preparazione è fondamentale.
Essere preparati in termini di sicurezza informatica o sicurezza delle informazioni implica condurre un'analisi e una gestione del rischio. Per fare ciò, dobbiamo rispondere a molte domande:
- Quali sono le nostre risorse informative, qual è il loro valore e quali sono le loro vulnerabilità?
- Quali sono le minacce che ciascuna di esse deve affrontare e qual è il loro impatto sull'organizzazione?
- Come possiamo mitigare le vulnerabilità e massimizzare la sicurezza contro le minacce?
Per la nostra organizzazione, condurre un'adeguata analisi dei rischi non richiede un grande sforzo se siamo convinti della sua utilità e, soprattutto, se la confrontiamo con i benefici che può apportarci aiutandoci a ridurre, e persino evitare, l'impatto che le minacce avrebbero sull'attività e sulla sua continuità qualora si concretizzassero.
Come diceva Steve Jobs…
3. Analisi del rischio in 7 semplici passaggi
Esistono diverse metodologie per condurre un'analisi completa del rischio: Magerit, la "Guida per la conduzione delle valutazioni del rischio" del NIST, la norma ISO/IEC 27005:2011 e la sua equivalente norma spagnola UNE 71504:2008, tra le altre. Tutte condividono il vantaggio comune di seguire questi passaggi fondamentali:
3.1. Determinare l'ambito dell'analisi dei rischi
Ogni organizzazione è un grande sistema suddiviso in sistemi più piccoli, distinti ma interconnessi. Ad esempio, quando si conduce un'analisi dei rischi dell'intera organizzazione, si potrebbe iniziare dal sistema di gestione, dal sistema di vendita o dal sistema finanziario.
Questo aspetto è fondamentale per le sue conseguenze e per valutare in modo coerente l'investimento necessario a ottenere risultati soddisfacenti: sistemi più sicuri, un'organizzazione più sicura.
3.2. Elencare le risorse e valutarne la criticità
I risorse informative Si tratta di qualsiasi dato o sistema relativo all'elaborazione dei dati, definito e gestito come un'unica unità che può essere compresa, condivisa, protetta e sfruttata in modo efficiente.
Risorse informative Hanno valore, rischio, contenuto e cicli di vita che sono suscettibili di valutazione e gestionePertanto, la loro protezione è essenziale. Esistono diversi sistemi di categorizzazione, ma per semplicità, vale la pena considerare una distinzione fondamentale:
- Tangibile: una persona, un computer, uno smartphone o un server.
- Intangibile: un database, un indirizzo email o dati provenienti da colleghi e clienti
L'identificazione delle risorse che sono alla base dei processi e dei servizi della nostra azienda è un passo fondamentale per ottenere il grande immagine e intraprendere azioni appropriate per proteggerli. Pertanto, nella fase di identificazione degli asset, l'output fondamentale è il mappa delle risorse.
|
ID |
Attivo |
Responsabile |
Criticità (1-3) |
|
ID_BD01 |
Database dei conti bancari dei clienti |
Direttore commerciale |
3 |
|
ID_S01 |
Server principale |
Direttore dei sistemi |
3 |
|
ID_PM01 |
Nuovi prototipi di punta in arrivo nel 2018 |
Product Manager |
3 |
33. Identificare e classificare le minacce a ciascuno dei beni.
Il passo successivo consiste nell'identificare e valutare le minacce per ciascuna risorsa. Esaminiamo le loro vulnerabilità, le minacce a cui sono esposte e il potenziale impatto qualora queste minacce si concretizzassero. Ciò ci consente di valutare le risorse e, di conseguenza, di determinarne l'impatto sui processi e sui servizi che supportano. In questa fase, identifichiamo anche quali rischi l'organizzazione può accettare e quali no, richiedendo ulteriori interventi.
3. 4. Identificare le vulnerabilità e le misure di sicurezza
Il vantaggio di catalogare e valutare ogni risorsa informativa risiede nell'opportunità di conoscerla meglio: di individuarne le vulnerabilità e di porvi rimedio: di proteggerla.
Vulnerabilità = esposizione x suscettibilità / resilienza
Analogamente, analizzeremo le nostre attuali misure di sicurezza per determinare se queste vulnerabilità siano attualmente protette o se, al contrario, sia necessario integrare nuovi sistemi e processi per proteggerle.
Ad esempio, la consapevolezza della mancanza di backup, di software obsoleto o di una posizione inadeguata del data center sono situazioni che possono essere facilmente migliorate se se ne è a conoscenza.
3.5. Valutare il rischio
Il rischio viene calcolato stimando la probabilità, in base alle nostre vulnerabilità, che una minaccia si verifichi e il suo impatto. Il calcolo numerico è più complesso, ma queste tabelle mirano a fornire una comprensione qualitativa di come valutiamo il rischio reale per i vostri sistemi informativi:
Tabella di calcolo della probabilità di minaccia:
| qualitativo | quantitativo | Descrizione |
| cadere | 1 | La minaccia si presenta una volta all'anno. |
| Media | 2 | La minaccia si presenta una volta al mese. |
| alto | 3 | La minaccia si verifica una volta alla settimana |
Tabella di calcolo dell'impatto:
|
qualitativo |
quantitativo |
Descrizione |
|
cadere |
1 |
Il danno derivante dalla minaccia non ha conseguenze rilevanti per l'organizzazione |
|
Media |
2 |
I danni derivanti dalla minaccia hanno conseguenze significative per l'organizzazione |
|
alto |
3 |
I danni derivanti dalla minaccia hanno gravi conseguenze per l'organizzazione |
Una volta valutate e classificate le vulnerabilità, le minacce e il loro impatto, possiamo risolvere l'equazione del rischio:
rischio = minaccia x vulnerabilità x impatto
Con l'aiuto di matrice di rischio Possiamo valutare qualitativamente il tipo di rischio che corriamo:
3.6. Gestione del rischio: selezione e implementazione delle misure di sicurezza.
Una volta che siamo consapevoli dei rischi che corriamo, metà della battaglia è vinta. Il penultimo passo consiste quindi nello scegliere le misure più appropriate per eliminare o ridurre il rischio a un livello accettabile per l'organizzazione.
Una volta individuati, vengono raggruppati in programmi e attività, e vengono designati i responsabili della loro attuazione.
3.7. Documentare l'esperienza in modo che l'apprendimento rimanga all'interno dell'organizzazione: salvaguardare il know-how.
El know-how È uno dei maggiori vantaggi competitivi e, insieme alla creatività, ciò che permette alle nostre organizzazioni e società di progredire. Per questo motivo, raccomandiamo sempre di creare e aggiornare una documentazione delle circostanze vissute all'interno dell'organizzazione, indicando quali alternative hanno funzionato e quali no, al fine di apportare miglioramenti.
In questo modo, non solo manterremo vivo il patrimonio di conoscenze della nostra organizzazione, ma ne faciliteremo anche la comprensione da parte di eventuali collaboratori futuri.
4. Costi e benefici di un'analisi dei rischi
A giugno abbiamo già affrontato Come prepararsi in un mondo con 12 attacchi informatici al secondo dei Costi medi derivanti dalla negligenza in materia di sicurezza informatica:
Secondo il “Indagine globale sullo stato della sicurezza informaticaSecondo uno studio della società di consulenza PwC, le perdite nelle aziende spagnole derivanti esclusivamente da attacchi informatici potrebbero aggirarsi intorno a 1,4 milioni di euro nel 2016Se ci concentriamo sul caso delle PMI, l'assicuratore Mapfre, sulla base di vari studi, stima che l'importo sia compreso tra Tra i 20.000 e i 50.000 euro in media.
Tutte queste perdite di informazioni possono rappresentare un costo elevato per le aziende, non solo in termini di interruzione dell'attività, ma anche in la perdita di immagine, di fiducia e persino di clienti, e il recupero delle risorse informative stesse.Sebbene tale importo dipenda dall'attività dell'azienda e dalla sensibilità dei dati persi, lo stesso studio stima che il costo medio di recupero di un record di dati perso a causa di un attacco informatico sia di 152 euro. Questa cifra è significativamente superiore a quella derivante da errori di sistema o fattori umani, stimata rispettivamente tra i 119 e i 123 euro. Questi dati ci danno un'idea del notevole impatto che la perdita di diverse migliaia di record di informazioni aziendali sensibili può avere su un'azienda.
Se la tua azienda si avvale di servizi di sicurezza e gestione delle informazioni, il costo dipenderà dalla portata del progetto e dal tipo di professionista incaricato. Noi di EPUNTO Interim Management disponiamo di manager senior con oltre 15 anni di esperienza nei sistemi informativi e nella sicurezza, che lavorano su base progettuale per la durata da te richiesta. In questo modo, inseriamo nella tua azienda un manager temporaneo che ti aiuterà a comprendere e affrontare le tue sfide, dando vita a un processo di soluzioni, apprendimento e autonomia gestionale.
I vantaggi della gestione e della sicurezza dei sistemi informativi sono chiari:
- Evitare problemi
- Reagire più rapidamente e con maggiore precisione
- Maggiore efficienza: risultati migliori con minori investimenti.
- Ampliare e migliorare la nostra comprensione della nostra organizzazione e delle nostre persone
- Sii più intelligente
Conclusioni
Abbiamo iniziato parlando di scene, o in altre parole, di una successione di fotogrammi. E questo perché Tutto cambia nel tempo: i processi, le risorse, i servizi, le persone, le vulnerabilità, le minacce e i loro impatti.
I settori dell'informatica e della tecnologia, per loro stessa natura, crescono esponenzialmente e a ritmi vertiginosi. Pertanto, la nostra costante attenzione e cura sono essenziali per essere preparati in un mondo con 12 attacchi informatici al secondo. Si tratta di un processo di miglioramento continuo, la cui natura tecnica richiede un team con esperienza e competenze sia generali che specifiche.