5 cose che devi sapere sull'IT Risk Assessment

Con le minacce ai dati sensibili che crescono sia in numero che in sofisticatezza ogni giorno, le organizzazioni non possono permettersi un approccio alla sicurezza sparso e disorganizzato. Invece, hanno bisogno di concentrare i loro limitati budget IT e risorse sulle specifiche vulnerabilità della loro unica postura di sicurezza. Per fare ciò, devono identificare, analizzare e dare priorità ai rischi per la riservatezza, l'integrità o la disponibilità dei loro dati o sistemi informativi, basandosi sia sulla probabilità dell'evento che sul livello di impatto che avrebbe sull'azienda.

Questo processo è chiamato valutazione del rischio IT. In questo post, riveleremo le cinque cose più importanti da sapere sulla valutazione del rischio di sicurezza IT e sulla sua implementazione nel vostro ambiente IT.

1. La valutazione del rischio IT dovrebbe essere la base della vostra strategia di sicurezza IT

Prima di tutto, dobbiamo distinguere tra valutazione del rischio e gestione del rischio. Sebbene entrambi siano componenti essenziali per un forte ecosistema di sicurezza IT, non sono identici. Piuttosto, la gestione del rischio è una parte della valutazione del rischio, fornendo controllo sui rischi aziendali, operativi, di sicurezza delle informazioni e altri. La valutazione del rischio IT implica il compito molto più ampio di comprendere i paesaggi di rischio interni ed esterni per un approccio olistico e organizzativo alla sicurezza.

In altre parole, la valutazione del rischio della sicurezza IT vi aiuta a comprendere quali eventi possono influenzare negativamente la vostra organizzazione e quali lacune di sicurezza rappresentano una minaccia per le vostre informazioni critiche, così da poter prendere decisioni di sicurezza migliori e adottare misure proattive più intelligenti. Ad esempio, rivelando una struttura di privilegi organizzata in modo caotico, account utente nascosti o diritti amministrativi intricati, la valutazione del rischio vi aiuta a prendere i corretti passi nella gestione del rischio per minimizzare il rischio di abuso di privilegi o furto di dati prima che sia troppo tardi.

2. La valutazione del rischio IT è richiesta da molte normative di conformità

L'uso della valutazione del rischio per la sicurezza delle informazioni è solo una parte del quadro. La valutazione del rischio di sicurezza delle informazioni è anche uno dei principali requisiti di molti standard di conformità. Ad esempio, se la tua organizzazione deve essere conforme a HIPAA o potrebbe affrontare audit GDPR a partire da maggio 2018, allora la valutazione del rischio di sicurezza delle informazioni è essenziale per la tua organizzazione al fine di minimizzare il rischio di non conformità e pesanti multe.

Anche se i regolamenti non forniscono istruzioni specifiche su come le organizzazioni dovrebbero controllare e proteggere i loro sistemi IT, richiedono che le organizzazioni proteggano tali sistemi e forniscano agli ispettori prove che i controlli di sicurezza richiesti siano attivi e per ridurre i data security risks.

3. Adottare un framework appropriato rende più semplice iniziare con la valutazione del rischio IT

Un framework di valutazione dei rischi per la sicurezza IT è un insieme di regole che definisce:

• Cosa deve essere valutato
• Chi deve essere coinvolto nelle procedure di valutazione dei rischi
• Quali minacce ha un'organizzazione
• Come verranno analizzati e prioritizzati questi rischi identificati
• Come verrà calcolato il rischio in base alla probabilità e all'impatto
• Quali documentazioni devono essere raccolte e prodotte come risultato della valutazione

Ovviamente, queste regole saranno diverse per ogni organizzazione, a seconda delle sue esigenze e obiettivi, delle sue dimensioni, della complessità e maturità dei suoi processi aziendali, dei tipi di dati coinvolti, delle dimensioni del reparto IT, dei controlli di sicurezza esistenti, dei requisiti industriali applicabili e altro ancora.

Tuttavia, non c'è bisogno di creare da zero il tuo quadro di valutazione del rischio per la sicurezza delle informazioni. Invece, puoi adottare e adattare uno di questi quadri di rischio comunemente utilizzati:

• Valutazione delle Minacce, degli Asset e delle Vulnerabilità Critiche dal punto di vista operativo (OCTAVE) progettata dalla Carnegie Melon University
• Il quadro di valutazione del rischio NIST, come documentato nella pubblicazione speciale SP 800-30
• ISO/IEC 27001:2013

Si noti che tutti questi standard richiedono alle organizzazioni di documentare i loro processi di valutazione del rischio per la sicurezza delle informazioni in modo da poter fornire prove che tutte le procedure di sicurezza dei dati richieste vengano seguite diligentemente.

4. La valutazione del rischio IT deve essere un processo continuo

I sistemi di sicurezza sono come auto da corsa ad alte prestazioni: devono essere costantemente mantenuti, aggiornati e regolati. La valutazione del rischio non è un evento una tantum che fornisce informazioni permanenti e definitive ai responsabili delle decisioni per informare le loro risposte ai rischi per la sicurezza delle informazioni. Invece, poiché sia l'ambiente IT che il panorama dei rischi sono in costante cambiamento, la valutazione del rischio deve avvenire su base continuativa durante tutto il ciclo di vita dello sviluppo del sistema, dalla pianificazione del sistema attraverso l'acquisizione e l'uso fino al ritiro del sistema.

Inoltre, la valutazione dei rischi deve essere effettuata abbastanza frequentemente per individuare potenziali lacune di sicurezza che possono sorgere rapidamente, come la proliferazione di privilegi, account inattivi e account amministrativi con impostazioni di password inappropriate che mettono a rischio dati sensibili e sistemi.

5. La valutazione del rischio IT comporta tre fasi

Il processo di valutazione del rischio può essere grossolanamente diviso in tre fasi:

• Identificazione dei rischi — Determinare le vulnerabilità nei sistemi informativi e nell'ambiente IT più ampio, come permessi di accesso eccessivi o nidificazioni di gruppi complesse, che potrebbero portare a danni se non gestiti in tempo.
• Stima del rischio — Valutare la probabilità che un evento rischioso si verifichi analizzando la probabilità che una data minaccia sia in grado di sfruttare una data vulnerabilità.
• Prioritizzazione dei rischi — Classifica i rischi in base alla stima del rischio combinata con il livello di impatto che causerebbe se si verificasse. Considera l'impatto sull'azienda della divulgazione, modifica o distruzione non autorizzata delle informazioni, o della perdita di disponibilità del sistema informativo. Affronta prima le minacce con la più alta probabilità e impatto.

La valutazione del rischio IT è fondamentale per la protezione dei dati e la continuità aziendale, e deve essere effettuata periodicamente al fine di rilevare nuovi rischi e migliorare le strategie di sicurezza. Se la tua valutazione del rischio non è aggiornata, anche le tue strategie lo sono — è così semplice.

Scopri quali primi passi verso una valutazione efficiente del rischio puoi intraprendere proprio qui. Per apprendere alcune delle migliori pratiche nella creazione di un processo continuo di valutazione e mitigazione del rischio guarda questo webinar registrato IT risk assessment webinar.

Utilizzate la valutazione del rischio IT nel vostro ambiente IT? Quali strumenti utilizzate?