Gestione continua della postura e valutazioni puntuali a confronto

Anticipare la curva della sicurezza inizia con un cambio di mentalità

Gran parte del lavoro di sicurezza parte da una spinta esterna. Un auditor invia un elenco di richieste o un alert arriva nella casella di qualcuno, e il team lascia tutto per indagare e rispondere. Anticipare la curva richiede una mentalità diversa. Decidi com'è una buona postura, verificala con un ritmo costante e correggi ciò che devia prima che qualcuno debba spingerti. Questa è la sicurezza proattiva, e non dovrai mai indagare sull'incidente che hai evitato.

Il ciclo spinta, indagine, reazione

Molti dei team con cui parlo gestiscono la sicurezza come un ciclo con due inneschi.

Il primo è l'audit. Nessuno guarda da vicino la postura finché non arriva l'auditor. Allora il team passa settimane a estrarre report, ricostruire cronologie e inseguire screenshot per dimostrare di aver soddisfatto i criteri tutto l'anno. Questo può spuntare la casella della conformità. Come pratica di sicurezza lascia molto a desiderare, perché le evidenze mostrano ciò che era vero nella settimana in cui sono state raccolte e molto poco dei mesi precedenti.

Il secondo è l'alert. I team più maturi scelgono gli scenari che contano, costruiscono alert attorno ad essi e indagano quando ne scatta uno. È un vero passo avanti. Il problema è che molti alert descrivono una policy già violata. Quando scopri che qualcuno è stato aggiunto a Domain Admins, o che una cartella di file sensibili è stata aperta a Everyone, stai indagando su una violazione che avresti preferito prevenire. In entrambi i casi, l'auditor o l'incidente decide il calendario del tuo team.

I framework si aspettano già un miglioramento continuo

Gli auditor hanno superato le istantanee da tempo. Un report SOC 2 Type I verifica se i controlli sono progettati correttamente in una singola data. Un report Type II verifica se hanno operato in modo efficace in un periodo, in genere da 3 a 12 mesi. ISO/IEC 27001:2022 richiede di monitorare e misurare i controlli di sicurezza (clausola 9.1) e di migliorare continuamente il sistema di gestione della sicurezza (clausola 10.1). NIST CSF 2.0 include come categorie sia il monitoraggio continuo sia il miglioramento. Ogni framework chiede di dimostrare che agisci sulla tua postura nel tempo, e la corsa pre-audit è il modo più difficile per dimostrarlo.

Come appare la sicurezza proattiva nella pratica

La sicurezza proattiva è soprattutto un ritmo costruito attorno alle policy, e si può iniziare in piccolo.

• Definisci le prime policy partendo da un benchmark. Non devi inventare una definizione di ciò che è buono. Parti dal framework o dal benchmark che conta per la tua azienda, che siano i CIS Benchmarks, NIST CSF o i criteri SOC 2 verificati dal tuo auditor. Trasforma in policy una manciata dei suoi controlli. Buoni punti di partenza sono gli account abilitati senza accessi recenti, gli account che non richiedono una password, i gruppi privilegiati con membri che nessuno sa spiegare e i file sensibili condivisi con Everyone o con utenti esterni.
• Conosci i tuoi scenari e ottieni i dati. Per ogni policy, decidi cosa devi vedere per sapere se è rispettata. Poi adotta uno strumento che monitori quelle informazioni in modo continuo, così non devi ricostruirle a mano ogni trimestre.
• Rendi i risultati chiari e azionabili. La tua baseline è utile solo se il team riesce a leggerla a colpo d'occhio e capire cosa correggere per primo. Se serve un esperto per interpretare i risultati, nessuno agirà di conseguenza.
• Rivedi i rischi proattivi ogni settimana. Riserva 30 minuti per esaminare i rischi più importanti che non sono ancora diventati un alert o un incidente. Per ciascuno, decidi se è ragionevole. Se non lo è, correggilo. Se continui ad accettare lo stesso rilievo, forse la policy va adattata a come funziona davvero l'azienda.
• Osserva l'andamento. Un singolo punteggio mostra dove sei oggi. Come cambia nel tempo mostra al management, e al tuo auditor, se la pratica funziona. Miglioramenti piccoli e costanti rendono gli audit più semplici e continuano a ridurre il rischio, allontanandoti da una possibile violazione.

Prendiamo un esempio comune. Un collaboratore esterno finisce un progetto e il suo account resta abilitato. In un modello basato sugli alert, lo scopri quando quell'account accede da un posto inatteso. Con un ritmo proattivo, compare nella revisione settimanale come account abilitato senza attività recente, e lo disabiliti prima che qualcun altro possa usarlo.

Il lavoro sulla postura non fermerà ogni attacco, e servono ancora alert per i comportamenti sospetti. Riduce le configurazioni errate su cui contano gli attaccanti, così gli alert che ricevi hanno più probabilità di segnalare qualcosa di nuovo.

Perché la maggior parte dei team resta reattiva

La dimensione del team conta meno della maturità della pratica. Un team di tre persone può gestire un programma maturo, e una grande azienda può comunque correre da un audit all'altro. I team che faticano di più sono quelli che cercano di migliorare, o che vi sono spinti da un nuovo requisito di conformità, da una revisione di sicurezza di un cliente o da un questionario per l'assicurazione cyber.

Ciò che li frena è l'attrito. Non hanno una definizione di buono già pronta. Non sanno quali tra centinaia di impostazioni contino di più, e nessuno ha tempo di costruire un framework da zero. Le organizzazioni più grandi spesso assumono consulenti per consegnarne uno. È costoso e di solito produce un'altra valutazione congelata a una sola data. La maggior parte delle piccole e medie imprese non può nemmeno metterla a budget.

Penso che eliminare quell'attrito sia compito del prodotto. Un buon strumento per la postura dovrebbe offrire una baseline integrata, una vista in linguaggio semplice di ciò che determina il rischio e un'idea chiara di cosa correggere per primo. Se si aspetta che il team porti il proprio framework, la maggior parte dei team non supera mai il primo passo.

Inizia dal ritmo

Non serve un programma maturo per iniziare. Parti da poche policy di un benchmark, ottieni una baseline e proteggi 30 minuti a settimana. Dopo qualche mese, le spinte esterne smettono di dettare la tua agenda e il prossimo audit diventa un report che puoi estrarre in un pomeriggio.

È questo il tipo di pratica che stiamo costruendo Netwrix 1Secure per supportare, con valutazioni del rischio integrate che offrono ai team un punto di partenza per la loro postura.

Scopri a che punto è oggi la tua postura. Avvia una prova gratuita di Netwrix 1Secure.