Le esigenze degli utenti sono cambiate radicalmente negli ultimi cinque anni: la diffusione dei dispositivi mobile e l’avvento del cloud hanno trasformato profondamente le aziende, rendendo sempre più obsoleto un concetto di difesa tradizionale. Lo smart working dell’ultimo anno non ha fatto altro che accentuare ulteriormente il processo di evoluzione verso una visione sempre più “liquida” del perimetro aziendale. Se, come è ormai assodato, le difese tradizionali non sono più sufficienti, è altrettanto vero che oggi non si può più escludere un attacco a priori: dobbiamo dare per scontato che la nostra organizzazione sarà interessata da un problema di sicurezza, possiamo provare ad anticiparlo, costruendo una strategia completa, ma dobbiamo comunque accettare che presto o tardi accadrà. Per questo emerge in modo sempre più preponderante un concetto che in 4wardPRO abbiamo molto a cuore: la corporate resiliency, che, declinata in ambito sicurezza, comporta la capacità di reagire a un attacco informatico dimostrando la propria resilienza. La digital transformation, sotto la spinta dell’emergenza Covid-19, ha estremizzato la necessità di adottare un nuovo approccio alla sicurezza. Le vecchie politiche di accentramento in ambito security, che riportano tutto nel “fortino” aziendale, anche rispetto ai dipendenti che si collegavano da casa, sono risultate complicate. La triangolazione stessa, imponendo il passaggio dalla VPN per meglio controllare lo scambio di dati, si è dimostrata poco sensata. Oggi le aziende hanno bisogno di un nuovo modello di sicurezza che si adatti in modo più efficace alla complessità dell’ambiente moderno, abbracciando la forza lavoro mobile e proteggendo persone, dispositivi, applicazioni e dati ovunque si trovino. Le tecnologie ci vengono incontro e ci permettono di proteggere il dato ovunque sia, ma per farlo impongono l’adozione di un approccio Zero Trust che ci obblighi a verificare che la persona che si sta collegando e vuole usufruire del dato sia autorizzata a farlo.
Da questo punto di vista, per un approccio moderno alla sicurezza, la comunicazione tra client e cloud deve essere pulita per definizione, anche perché il sistema stesso fatica a fidarsi di qualcuno che si pone in mezzo tra esso e il singolo dispositivo, in una logica di “man in the middle” che accomuna molte tipologie di attacco informatico.
Oggi le organizzazioni IT possiedono un livello di maturità molto variabile in termini di security, con modelli di operation e budget molto diversi tra loro. Basti pensare, come indicano i dati dell’ultima edizione dell’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, che nel 40% delle organizzazioni non esiste una specifica funzione di Information Security, ma è incardinata sotto l’IT, e il responsabile della sicurezza è lo stesso CIO. Da qui nasce anche una differente sensibilità e consapevolezza sui temi della security che porta alcuni responsabili a credere ancora che implementare la migliore tecnologia sia sufficiente a fermare eventuali attacchi.
Il modello Zero Trust, invece, ci permette di monitorare efficacemente la situazione: invece di pensare che tutto ciò che si nasconde dietro il firewall aziendale sia al sicuro, presuppone la verifica di ogni richiesta come se questa provenisse da una rete aperta.
Oggi lo sforzo di prevenzione e adeguamento deve essere continuo e dovrebbe partire sempre da un Cyber Security Assessment (CSA) mirato, con lo scopo di analizzare la propria infrastruttura, i controlli di sicurezza messi in atto e la capacità di rimediare alle vulnerabilità. Una valutazione che non può prescindere da un’analisi e gestione del rischio condotta nel contesto degli obiettivi aziendali della propria organizzazione, e che deve essere fatta non solo a scopo informativo ma strategico, per aiutare i clienti a capire quali sono le proprie priorità in termini di cybersecurity e gli interventi da mettere in atto.
Se è vero che tutti vorrebbero proteggere al meglio i propri asset digitali, è infatti altrettanto vero che bisogna fare i conti con le peculiarità dei diversi modelli operativi, con il budget e, soprattutto, con una terza variabile fondamentale: il fattore umano. Secondo la European Union Agency for Cybersecurity (ENISA) il 62% degli attacchi informatici è causato da utenti non adeguatamente formati.
È fondamentale quindi educare alla sicurezza anche i singoli utenti, non solo chi si occupa di sicurezza in azienda. Accompagnando i nostri clienti nella formazione su Microsoft 365, ad esempio, ci siamo accorti che spesso anche se hanno già acquistato i tool non hanno ancora compreso bene come proteggere i proprio ambienti e come utilizzarli in modo corretto. Per questo abbiamo creato appositamente uno spin-off in ambito risk assesment per spiegare loro come funziona il tenant Office 365. Il nostro obiettivo è proprio quello di formare sia gli utenti finali sia gli amministratori di sistema, compreso chi sviluppa le applicazioni, perché possano divenire “secure by default”.
In realtà, Microsoft 365 offre molti strumenti per la sicurezza efficaci e completi, anche per quanto riguarda le esigenze di conformità a molti standard normativi, ma chi li utilizza spesso non ne sfrutta pienamente le potenzialità. Nel guardare alla security abbiamo scelto di utilizzare lo stack Microsoft non solo perché siamo partner storici dell’azienda ma perché ad oggi è l’unico in grado di riunire tutte le principali tecnologie di sicurezza in un’unica console di amministrazione completa. Piuttosto che compiere una stratificazione di vendor su vari ambiti, riteniamo per una azienda importante possedere una visione unica e omogenea e seguire l’attacco tramite un unico strumento, senza doversi interfacciare tra migliaia di prodotti diversi che rendono il tutto ancora più oneroso.
Microsoft è in grado di aggregare una mole di dati con oltre 8 triliardi di segnali di sicurezza in ingresso elaborati ogni giorno che rappresentano una base importante per offrire agli utenti servizi di sicurezza integrati. La possibilità di accedere a servizi cloud da qualsiasi location nel mondo e garantire la sicurezza solo attraverso la correlazione dei dati rappresenta infatti un valore unico sul mercato.
Le aziende che supportiamo operano in tutti i settori, perché la difesa informatica è ormai trasversale; tutte hanno bisogno di sicurezza dal punto di vista infrastrutturale e della protezione del dato, che oggi purtroppo è ancora un elemento sottovalutato. Anche se i nostri principali clienti operano in ambito enterprise, offriamo una copertura anche alle piccole e medie organizzazioni con servizi gestiti dedicati e un’assistenza unica e personalizzata.
Crediamo, infatti, che per raggiungere la resilienza in ambito security sia necessario partire dalla comprensione del cliente, fornendogli un unico interlocutore che sia in grado di semplificare la comunicazione e, allo stesso tempo, identificando gli specialisti più adatti. In base all’infrastruttura del cliente, alle esigenze di business, alle diverse identità, device e applicazioni siamo, infatti, in grado di comporre un gruppo dedicato che lo possa supportare nell’adozione di un nuovo modello di sicurezza.
A nostro avviso, l’approccio vincente non è mai quello di avere molti “tuttologi”, ma tecnici qualificati che vengano coordinati in modo orizzontale rispetto all’ampiezza dell’intervento ma che siano anche in grado di verticalizzare l’intervento stesso quando se ne presenta la necessità.
In caso di attacco la prima cosa da fare è infatti non perdere tempo per riuscire a recuperare i log, comprendere quello che è successo e seguire tutta la traccia; con i nostri esperti e sfruttando l’intelligenza artificiale sia per la protezione che per il rilevamento di tentativi di attacco riusciamo a fare tutto questo. Un vantaggio competitivo indispensabile oggi per i clienti, che adottando una sicurezza Zero Trust supportata dalla formazione e dalla comprensione delle proprie esigenze e dei rischi, potranno raggiungere una reale security awareness e navigare saldamente in un mercato sempre più dinamico, dimostrando resilienza e capacità d’affrontare le sfide di domani.
A cura di Paolo Heuer, Modern Work & Cybersecurity Director e Francesco Tamba, Chief Technology Officer di 4wardPRO
