Prevenzione e gestione dei cyber incidenti: fondamenti per una strategia integrata

Ogni organizzazione che voglia tutelare i propri asset digitali deve dotarsi di un insieme coerente di politiche, procedure e piani operativi, che devono essere regolarmente testati, al fine di affrontare qualsiasi incidente di sicurezza con rapidità e competenza.

Ecco come rispondere efficacemente a un incidente e come mantenere la continuità del business, attraverso la gestione degli incidenti, il piano di risposta agli incidenti, il piano di continuità operativa e il disaster recovery.

I 4 pilastri per la resilienza informatica e di business

In questo contesto, i sottonotati quattro pilastri risultano determinanti per ottenere un’elevata resilienza informatica e di business:

• gestione degli incidenti (incident management): l’insieme di processi e procedure che coprono tutto il ciclo di vita dell’incidente;
• piano di risposta agli incidenti (incident response plan): il documento che definisce, in modo dettagliato, le azioni e i ruoli per reagire prontamente ad eventi avversi;
• piano di continuità operativa (Business continuity plan, Bcp): la guida che permette alle funzioni critiche di un’organizzazione di rimanere attive anche in situazioni di crisi;
• Disaster recovery (Dr): il complesso di procedure e soluzioni tecnologiche per il ripristino rapido di sistemi e dati.

Le 3 gambe di un approccio integrato

Nel contesto contemporaneo, le organizzazioni sono costantemente esposte a molteplici rischi: attacchi ransomware, violazioni di dati sensibili, interruzioni di servizio e disastri naturali.

Adottare un approccio integrato significa evitare di gestire la sicurezza come somma di singole soluzioni tecniche e, invece, puntare a una strategia coordinata. Le 3 gambe dell’approccio integrato sono:

• la visibilità end-to-end: occorre comprendere l’intero perimetro aziendale, dai sistemi Ict ai processi di business;
• una struttura metodologica: bisogna definire ruoli, responsabilità e procedure per ogni fase, dalla prevenzione al ripristino;
• una comunicazione efficace: vanno stabiliti flussi informativi chiari tra team interni e verso gli stakeholder esterni.

Gestione degli incidenti: il quadro generale

La gestione degli incidenti rappresenta, attraverso la logica Pdca, il processo complessivo che consente di:

• Plan: individuare e pianificare le misure da mettere in atto in ottica proattiva attraverso il piano di risposta agli incidenti ed il piano di continuità operativa;
• Do: identificare rapidamente segnali di anomalie o intrusioni – analizzare la natura e la portata di un incidente – contenere gli effetti negativi, limitando i danni sui sistemi e sui dati;
• Check: risolvere l’incidente ripristinando la normale operatività;
• Act: documentare e capitalizzare l’esperienza, per migliorare la prevenzione futura. È un vero “cappello” organizzativo, indispensabile per coordinare le risorse umane e gli strumenti tecnici durante l’intero ciclo di vita dell’incidente.

Piano di risposta agli incidenti: la guida operativa

Il piano di risposta agli incidenti (Irp: Incident response plan) si inserisce a pieno titolo negli strumenti per la gestione degli incidenti, ma si concentra sugli aspetti operativi.

Al suo interno devono essere ben definiti:

• le modalità di rilevamento di un incidente;
• le figure chiave e la relativa catena di comunicazione;
• le procedure di contenimento, analisi e ripristino;
• gli strumenti tecnici e organizzativi da utilizzare;
• i protocolli di comunicazione esterna (autorità di controllo, clienti, media).

Un piano di risposta chiaro consente di agire tempestivamente, minimizzando sia le conseguenze tecnologiche sia la ricaduta reputazionale per l’azienda.

Continuità operativa: garantire le funzioni critiche

Il piano di continuità operativa (business continuity plan, Bcp) è un altro strumento volto ad assicurare che l’azienda possa continuare a erogare i propri servizi o prodotti anche in presenza di gravi interruzioni, siano esse di natura informatica o di altro tipo (eventi naturali, carenza di personale eccetera).

Si tratta di un approccio globale che coinvolge tutti i reparti e definisce:

• scenari di interruzione e livelli di priorità;
• soluzioni di ridondanza e misure per mitigare gli impatti (per esempio, sedi alternative, backup dei dati);
• procedure di comunicazione, emergenza per il personale, la gestione delle risorse critiche e i piani di ripristino.

Disaster recovery: il ripristino tecnologico

Strettamente correlato al Bcp, il disaster recovery è dedicato al ripristino dei sistemi IT in caso di disastri su larga scala o incidenti gravi, come la distruzione di un data center.

Le procedure di Dr includono:

• backup e ripristino dei dati;
• repliche e failover su sistemi secondari;
• obiettivi di tempo (Rto) e di perdita dati accettabile (Rpo).
• il Dr mira a ridurre al minimo i tempi di fermo e a salvaguardare l’integrità dei dati, integrandosi con il Bcp per assicurare che l’infrastruttura IT supporti la continuità del business.

Le misure di supporto

Le misure di supporto costituiscono un pilastro essenziale affinché l’intero sistema di prevenzione e gestione degli incidenti risulti effettivamente efficace. In assenza di un adeguato sostegno formativo, di test periodici e di un aggiornamento puntuale della documentazione, anche le soluzioni tecniche ed organizzative più avanzate rischiano di non reggere di fronte a eventi critici.

Di seguito analizziamo i tre elementi fondamentali che, se correttamente implementati, consentono di mantenere viva e costantemente evoluta la capacità di risposta e mitigazione dei rischi.

Formazione costante del personale coinvolto nella gestione degli incidenti

La crescente complessità delle minacce informatiche e la rapidità con cui i contesti operativi possono mutare rendono imprescindibile un piano di formazione e aggiornamento continuo, al team incaricato di gestire gli incidenti e a tutte le risorse potenzialmente coinvolte, che dovrebbe essere caratterizzato da:

• conoscenza degli strumenti: il personale chiamato ad applicare le procedure dovrebbe possedere sia le competenze tecniche (per esempio sull’uso dei sistemi di monitoraggio e di analisi forense) sia le competenze organizzative (procedure di escalation, ruoli di comunicazione eccetera).
• allineamento con le best practice e gli standard: riferimenti come ISO/IEC 27035 (incident management) o il NIST SP 800-61 (Computer security incident handling guide) forniscono precise indicazioni su quali competenze dovrebbero essere acquisite o rafforzate;
• approccio multidisciplinare: è opportuno coinvolgere, oltre al team incaricato di gestire gli incidenti IT, anche figure di compliance, responsabili legali, HR e PR, affinché ognuno sappia come contribuire durante tutte le fasi dell’incidente (rilevamento, contenimento, comunicazione).

Esercitazioni per identificare misure deboli o da affinare

Le esercitazioni periodiche (come tabletop exercise, simulazioni o drill) rappresentano un modo efficace per valutare sul campo la robustezza del proprio sistema di incident management, come del resto richiamato anche dalla ISO 22031:2019 Sistema di gestione della continuità operativa.

Certamente sono utili:

• il tabletop exercise (TTX): una simulazione strutturata in ambiente controllato, in cui i principali stakeholder aziendali analizzano e discutono scenari ipotetici di incidenti di sicurezza, testando procedure di risposta, ruoli e processi decisionali senza un’effettiva esecuzione tecnica;
• le simulazioni tecniche (per esempio penetration test): che permettono di verificare se le soluzioni di difesa e di rilevamento funzionano correttamente e se il personale reagisce in modo coordinato.

L’analisi dei risultati: da ogni esercitazione dovrebbero emergere lesson learned fondamentali, segnalando procedure poco chiare, ruoli non ben definiti o oluzioni tecniche non adeguate.

Questa fase di valutazione è cruciale per il miglioramento continuo dell’intero piano.

Aggiornamento della documentazione a seguito dei test e dei cambiamenti di contesto

La documentazione (policy, procedure operative, piani di continuità, piani di risposta, registri di audit eccetera) deve essere costantemente rivista e adeguata in base agli esiti delle esercitazioni e alle mutate condizioni interne/esterne.

In particolare la documentazione assume rilevanza in relazione a:

• revisioni post-esercitazione: ogni qualvolta si individuino lacune operative o si introducano nuovi strumenti, è necessario aggiornare i manuali e le procedure per evitare discrepanze tra teoria e pratica;
• cambiamenti di contesto: l’avvento di nuove minacce, l’adozione di tecnologie emergenti o variazioni organizzative (fusioni, ristrutturazioni, turnover del personale) richiedono adeguamenti tempestivi, affinché i piani restino sempre allineati alla realtà aziendale;
• coinvolgimento dei referenti: l’aggiornamento deve essere partecipato, coinvolgendo i vari responsabili di funzione per garantire che ogni modifica sia effettivamente calata nella prassi quotidiana e condivisa da chi sarà chiamato a metterla in atto.

In definitiva, la solidità di un sistema globale di gestione e prevenzione degli incidenti non può prescindere da un approccio dinamico, in cui la formazione continua, le esercitazioni periodiche e l’aggiornamento della documentazione siano parte integrante della cultura organizzativa.

In questo modo è possibile assicurare che piani e procedure, per quanto ben progettati inizialmente, rimangano efficaci nel tempo e all’altezza delle sfide poste da un panorama di rischi e minacce in costante evoluzione.

I controlli di riferimento della ISO/IEC 27001:2022

Il tema della gestione degli incidenti non può dirsi esaurito senza un riferimento ai controlli previsti dalla norma ISO/IEC 27001:2022 in questo ambito.

In particolare, esaminando la ISO/IEC 27002:2022 e selezionando i controlli contrassegnati dall’attributo “Information security event management” ossia quelli più pertinenti al tema trattato, si individuano i seguenti:

• 5.24 pianificazione e preparazione della gestione degli incidenti di sicurezza delle informazioni
• 5.25 valutazione e decisione sugli eventi di sicurezza delle informazioni
• 5.26 Risposta agli incidenti di sicurezza delle informazioni
• 5.27 Imparare dagli incidenti di sicurezza delle informazioni
• 5.28 raccolta di prove
• 5.37 procedure operative documentate
• 6.8 segnalazione di eventi di sicurezza delle informazioni
• 8.15 logging
• 8.16 attività di monitoraggio
• 8.17 sincronizzazione degli orologi.

Inoltre, a completamento delle misure indicate, rivestono un ruolo di significativo supporto quelle associate all’attributo della continuità, le quali includono:

• 5.29 sicurezza delle informazioni durante l’interruzione
• 5.30 preparazione dell’ICT per la continuità aziendale
• 5.37 procedure operative documentate
• 8.6 gestione della capacità
• 8.13 backup delle informazioni
• 8.14 ridondanza delle strutture di elaborazione delle informazioni.

Infine non bisogna trascurare le misure stabilite negli standard della famiglia ISO/IEC 27035 che trattano del tema dell’Information security incident management e comprendono le seguenti ISO/IEC:

• ISO/IEC 27035-1:2023 – Information technology – Information security incident management — Part 1: Principles and process;
• 27035-2:2023 – Information technology – Information security incident management — Part 2: Guidelines to plan and prepare for incident response;
• ISO/IEC 27035-3:2020 – Information technology – Information security incident management — Part 3: Guidelines for ICT incident response operations;
• 27035-4:2024 – Information technology – Information security incident management — Part 4: Coordination.

Le misure previste da questi controlli, insieme ad altri strumenti, come le linee guida, che in parte si sovrappongono a quelle già delineate e in parte ne introducono di nuove, contribuiscono a completare il quadro delle azioni da adottare.

Queste azioni, di natura sia correttiva sia preventiva, sono essenziali per una gestione completa degli incidenti.

Prospettive future

Una protezione efficace contro gli incidenti di sicurezza passa necessariamente attraverso una visione d’insieme: dalla gestione degli incidenti e dal piano di risposta per intervenire nell’immediato, fino alla continuità operativa e al disaster recovery per garantire il funzionamento e il ripristino dell’infrastruttura.

Nei prossimi articoli approfondiremo la gestione e la risposta agli incidenti e, successivamente, la continuità operativa e il disaster recovery, verificando come tali elementi si integrino per formare un ecosistema di sicurezza informatica maturo.

L’obiettivo finale è costruire un ecosistema di sicurezza solido, in cui la prevenzione e la risposta agli incidenti siano parte integrante della strategia aziendale, rendendo l’organizzazione più resiliente, competitiva e capace di proteggere i propri asset critici nel lungo periodo.