Quando si tratta di ottimizzare e razionalizzare i propri sistemi di sicurezza informatica, i manager dei team di cyber security degli enti governativi, tendono a seguire due diverse scuole di pensiero:<\/p>\n
1. Alcuni sostengono:<\/strong> \u201cStiamo utilizzando decine di strumenti diversi di sicurezza informatica e non siamo sempre certi di quelli che possiamo sostituire senza causare un problema di sicurezza\u201d<\/em>. Spesso quindi chi si trova in questa situazione evita o minimizza le modifiche apportate alla propria infrastruttura per paura di introdurre ulteriori rischi.<\/p>\n 2. Altri dichiarano:<\/strong> \u201cStiamo misurando attivamente le prestazioni e l\u2019efficacia dei nostri strumenti e processi di sicurezza\u201d<\/em>. Coloro che seguono questa linea \u00e8 perch\u00e9 riescono ad identificare ed eliminare quelli che sono ridondanti o che non offrono pi\u00f9 valore aggiunto.<\/p>\n \u201cLa prima opzione \u00e8 sicuramente inefficace nell\u2019affrontare una vera razionalizzazione degli strumenti di sicurezza informatica, soprattutto in quanto non aiuta a migliorare la \u201csecurity posture\u201d aziendale\u201d<\/em>, dichiara Gabriele Zanoni<\/strong>, EMEA Solutions Architect di FireEye. \u201cLa seconda opzione, invece, \u00e8 l\u2019approccio migliore, in quanto ci si fa carico di implementare in modo pragmatico la soluzione migliore per la propria sicurezza, permettendo al contempo l\u2019organizzazione di \u201cscaricare a terra\u201d il valore di quanto comprato e quindi ottenere un incremento misurabile in termini di ritorno sull\u2019investimento\u201d.<\/em><\/p>\n Gli strumenti e i processi di sicurezza informatica sono migliorati negli ultimi 20 anni, i mezzi per testare, misurare e tracciare automaticamente l\u2019efficacia della sicurezza non sono invece riusciti a stare al passo. Di conseguenza, i manager dei team di cyber security in ambito governativo, sono costretti a fare affidamento su promesse, supposizioni e a volte speranze.<\/p>\n \u201cTutti i fornitori promettono che i propri prodotti funzioneranno esattamente come sono stati da loro descritti, al contempo i clienti presupporranno che tali prodotti verranno poi distribuiti e configurati in modo ottimale\u201d,<\/em> aggiunge Zanoni. \u201cMolto spesso per\u00f2 questo ricalca solamente il desiderio che i nuovi strumenti acquistati siano implementati correttamente e che, grazie alla loro aggiunta, si possa ottenere un miglioramento della propria \u201csecurity posture\u201d.<\/em><\/p>\n L\u2019assioma che afferma che se non si pu\u00f2 misurare qualcosa non lo si pu\u00f2 migliorare \u00e8 assolutamente vero. Un\u2019efficace razionalizzazione della sicurezza dipende infatti dalla capacit\u00e0 di misurare con precisione e ripetutamente molti aspetti della propria infrastruttura, del team e dei relativi processi di sicurezza informatica. I CISO sanno riconoscere se possiedono strumenti ridondanti e che adempiono allo stesso scopo, ma sanno anche esattamente quali siano e dove si trovino?<\/p>\n La probabilit\u00e0 che i dipendenti, anche al di fuori del lavoro, abbiano pi\u00f9 di un sistema antivirus (AV) attivo sui propri pc \u00e8 molto alta e a dire il vero succede la stessa cosa anche in azienda dove ci sono numerosi livelli ridondanti di controlli. Tutti questi strumenti sono stati inseriti nel corso del tempo nelle reti aziendali per aumentarne la sicurezza, tuttavia non viene usato un metodo efficace per prendere decisioni (basandosi su evidenze certe) quando \u00e8 necessario capire se la rimozione di una soluzione possa causare un rischio inaccettabile a livello di sicurezza.<\/p>\n La mancanza di visibilit\u00e0 sull\u2019efficacia degli strumenti di sicurezza informatica costringe gli enti governativi ad adottare uno dei due approcci descritti all\u2019inizio, ovvero o essere conservativi o essere eccessivamente tattici nella misurazione del rischio inerente la sicurezza informatica. L\u2019arte della riduzione dei rischi non \u00e8 solo un problema degli enti governativi; infatti, se prendessimo un\u2019azienda qualsiasi, presente nelle Fortune 500, scopriremmo che in media impiega pi\u00f9 di 100 differenti prodotti di sicurezza informatica. A complicare ulteriormente le cose c\u2019\u00e8 il fatto che una significativa quantit\u00e0 di questi strumenti si sovrappone in termini di caratteristiche\/funzionalit\u00e0 con altri sistemi gi\u00e0 presenti.<\/p>\nLa problematica<\/strong><\/h3>\n