La gestione degli asset nella prevenzione degli attacchi informatici. La relazione tra conoscenza e protezione. Senza una visione completa, le organizzazioni sono esposte a rischi maggiori
Si può fare cybersecurity senza appoggiarla su una buona conoscenza dei dispositivi che si devono mettere in sicurezza e proteggere? Intuitivamente, credo che chiunque direbbe di no: come è possibile gestire la sicurezza di qualcosa se non si sa di averlo?
Ho quindi chiesto all’intelligenza artificiale che oggi va per la maggiore di cercare se esistono dei dati in proposito. Mi ha quindi citato delle fonti apparentemente molto interessanti, ma che, controllando di persona, non si riescono a trovare, oppure non riportano i dati che mi interessavano. Ho avuto quasi la sensazione che mi stesse prendendo in giro. Insomma, a quanto pare è difficile trovare conferma sperimentale all’intuizione iniziale, e rimane il dubbio che il tema sia considerato una mera attività di “IT Operations” o in altre parole, un problema da contabili dell’informatica, e poco più.
Dobbiamo quindi continuare a farci guidare dall’intuito e dagli aneddoti, ma anche senza ricorrere ai “sacri testi”, possiamo intuire come una gestione inadeguata degli asset possa avere un impatto significativo sulla sicurezza informatica. La citata intelligenza artificiale, per esempio, mi dice che secondo l’FBI, l’attacco è stato possibile perché Colonial Pipeline non aveva una corretta gestione dei propri asset e dei relativi livelli di sicurezza. Non ho trovato conferme, ma tutto sommato potrebbe anche avere ragione. Una corretta gestione degli asset può, per converso, avere un impatto significativo sulla sicurezza informatica, oltre che essere una utile ottimizzazione del denaro che comunque dovremmo far spendere all’azienda per tenere traccia di tutti i vari dispositivi di cui si serve.
Di fatto, insomma, il lavoro – bene o male – dobbiamo farlo di già (quanto meno per motivi contabili o di scadenza della garanzia). Tanto varrebbe farlo bene, a parità di costo, e sfruttarlo anche per migliorare la nostra postura di cybersecurity. Che l’asset management sia comunque problematico è largamente condiviso. Già nel 2020, il Data Breach Investigations Report di Verizon dà indicazioni rispetto al fatto che l’asset management fatto male sia alla radice delle permanenti difficoltà che le organizzazioni hanno per rimanere al passo con le patch da installare (pag. 28 del report). E come potrebbe essere altrimenti? Come potrei gestire l’aggiornamento del software sulle macchine, se nemmeno ho chiaro quali macchine devo gestire tout court? Il problema di sapere quali macchine devo gestire è quindi così complesso? Ora, non è detto che un problema concettualmente semplice sia anche dotato di una soluzione semplice: le scienze abbondano di controesempi, come il problema dei ponti di Königsberg – semplice da enunciare, ma del tutto privo di soluzioni.
La pratica empirica, tuttavia sembrerebbe dimostrare che le soluzioni al problema dell’asset management esistano, sebbene naturalmente, richiedano un certo dispendio di energie e denaro. Sono sicuro che, tra i lettori di questo articolo, c’è almeno una persona che si è dotata di un buon software di asset management ed è soddisfatta di come viene utilizzato in azienda, e la invito a contattarmi per poterla citare in un futuro articolo.
Secondo l’AI che citavo prima, le organizzazioni che hanno una visibilità completa degli asset hanno un rischio tra il 36% ed il 40% inferiore di subire una violazione della sicurezza. Speriamo che abbia ragione.
Mauro Cicognini Comitato Scientifico di CLUSIT
