I 5 semplici step per la resilienza nella sicurezza informatica delle PMI

Questi consigli non sono una guida per una resilienza completa, ma possono essere l’inizio di un processo continuo che le piccole e medie imprese dovrebbero implementare per essere più preparate.

Il concetto di resilienza dell’impresa ha ultimamente avuto più attenzione ed è una questione importante per molte aziende che oggi si trovano ad affrontare minacce informatiche di crescente complessità.
Per riassumere, un’impressa è resiliente se incorpora un programma di gestione del rischio, se implementa controlli di sicurezza per mitigare il rischio e se monitora continuamente i cambiamenti dei rischi nel tempo. Con questa informazione, vediamo cinque passi per diventare cyber-resilienti.

Step 1 : Chi siamo e qual è il nostro obiettivo?

Questo passo riguarda avere un inventario. Gli imprenditori di PMI sanno di quali risorse critiche hanno bisogno per supportare il loro business?
Bisogna attivare una discussione con i partner chiave e le unità aziendali per documentare le risorse chiave che l’impresa crea, processa e condivide con i suoi partner.

Le risposte a queste domande forniranno una analisi nei tipi di dato che l’azienda possiede, con chi si condividono e su qualsiasi adeguamento sia necessario nel caso di una compromissione.
Tutte queste informazioni dovranno essere usate dal team interno o esternalizzato (MSSP) dedicato alla sicurezza e la gestione del rischio, per fornire servizi su misura rispetto alle esigenze specifiche dell’azienda.

Leggi anche: Il valore aggiunto della sicurezza: cos’è un MSSP e perché è utile per la tua presenza online.

Step 2 : Quali risorse e quali rischi abbiamo?

Una volta che la PMI ha la sua lista iniziale di operazioni, risorse e servizi critici, insieme ai tipi di dati gestiti, essa ha bisogno di guardare a quali informazioni ha da proteggere nella sua infrastruttura.

In questo passo la dirigenza nell’impresa deve analizzare come le risorse aziendali sono allocate alle operazioni di sicurezza, includendo nella discussione come il rischio è identificato, mitigato o accettato.
È importante capire se le operazioni sulla sicurezza sono adeguatamente supervisionate, fornite di personale e finanziate. Con questa informazione contestuale si può capire se c’è bisogno di supporto esterno.

Step 3 : Quanto siamo preparati?

A questo punto del processo di cyber-resilienza, la PMI dovrebbe aver identificato i suoi asset critici e documentato la sua gestione del rischio e le risorse allocate alle operazioni di sicurezza.

Ora vanno poste alcune domande. La dirigenza ha bisogno di revisionare quali tipi di rischio (finanziario, competitivo, normativo) l’azienda affronta e se ha un meccanismo per farlo. Ha bisogno di parlare ai partner esterni ai quali è collegata e capire quali accordi sono attivi per salvaguardare l’azienda nel caso di una compromissione. È durante questo passaggio che una processo chiamato Incident Response (risposta agli incidenti) deve essere esplorato.
L’impresa ha politiche in campo sul come rispondere nel caso di attacco informatico? Queste politiche sono state testate, e quanto spesso?

Step 4 : Non tutta la sicurezza è creata uguale

Con asset, rischi, procedure e partner identificati arriviamo ad uno degli aspetti più critici della preparazione per la resilienza. La dirigenza e gli stakeholder devono revisionare il programma di sicurezza creato. Questo programma, con il suo responsabile, deve aver preso le informazioni raccolte per tradurle in controlli e processi da implementare.

Durante la revisione è essenziale che l’imprenditore lavori con il responsabile della sicurezza per capire il piano sulla sicurezza attuale e la sua maturità. Va notato come il piano copra le operazioni interne ed esterne, e che va verificato se comprende i nuovi servizi utilizzati, anche in cloud.

inelemento offre servizi di consulenza per la sicurezza informatica e di gestione sicura dei siti web. Contattaci

Step 5 : Creare un piano d’azione

Nello step finale del processo, il team di dirigenti e responsabili per la sicurezza o l’IT devono avere una lista dei processi “legacy” (provenienti da gestioni passate) e di eventuali buchi nella sicurezza. In questa fase infatti l’azienda deve prioritarizzare le problematiche, così da affrontare quelle emergenti con azioni immediate e creare sia un piano a breve termine che a lungo termine per gestire le operazioni di sicurezza.

Questa lista potrà essere usata come un piano strategico per stabilire la linea base del rischio, e monitorare nel tempo la sua riduzione man mano che le problematiche di sicurezza sono risolte. Questo piano è un “documento vivente” che evolve e si modifiche col passare degli anni.
In questo modo i team interni o esterni come gli MSSP avranno una maggiore consapevolezza delle criticità e dei piani di risposta agli incidenti per ridurre qualsiasi conseguenza impattante delle compromissioni informatiche.

 

Questo articolo non vuole essere una guida completa per la resilienza sulla sicurezza informatica delle PMI; è solo l’inizio di un processo continuo da implementare per essere sempre più preparti nel futuro.
I CERT nazionali offrono diverse risorse per assistere le PMI nell’iniziare a lavorare alle loro problematiche di resilienza informatica.