Gestione del Rischio

Gestione del rischio

Al fine di compensare il rischio che si verifica nel nostro ambiente, il processo di gestione dei rischi è molto importante da attuare e seguire.

Questo programma deve essere gestito a livello leader e senior dell’organizzazione e implementato da tutti (non solo dallo staff tecnico).

A livello elevato, dobbiamo identificare le nostre risorse importanti, individuare le minacce potenziali contro di loro, valutare le vulnerabilità che abbiamo presentato e quindi adottare misure per mitigare questi rischi.

Identificazione delle risorse

Una delle prime e, probabilmente, una delle parti più importanti del processo di gestione dei rischi è individuare e classificare le risorse che dobbiamo proteggere.

Se non possiamo enumerare le risorse che abbiamo e valutare l’importanza di ciascuna di esse, la loro protezione diventa davvero un compito molto difficile.

Anche se l’identificazione delle risorse può sembrare un compito semplice e superfluo, in realtà può essere un problema più complesso di quello che appare.

In particolare nelle grandi imprese, solo la produzione di un elenco di tutti i beni con cui siamo interessati può essere molto faticoso.

In molti casi potrebbero essere presenti diverse generazioni di hardware e dispositivi, le attività provenienti da acquisizioni di altre società potrebbero rimanere in agguato in aree sconosciute e potrebbero essere in uso numerosi host virtuali non registrati, ognuno dei quali può essere fondamentale per la funzionalità continua di determinati aspetti di un’impresa.

Una volta che siamo stati in grado di identificare i beni in uso, decidere quali di essi rappresentino una risorsa critica è un altro tipo di compito.

Determinare accuratamente quali risorse o beni sono veramente critici per la gestione del business, richiede generalmente l’inserimento di funzioni che utilizzano tali beni.

Bisogna specificare che non tutte le risorse devono essere protette allo stesso modo, ma una volta individuate quelle critiche e più facilmente attaccabili, il costo della messa in sicurezza può essere ridotto concentrandosi esclusivamente sulle parti sensibili del sistema e, solo successivamente, intervenendo su risorse più “robuste”.

Identificazione delle minacce

Una volta che abbiamo individuato le risorse critiche, possiamo passare a identificare le minacce che potrebbero interessarle.

Spesso è utile avere una base dalla quale partire per discutere la natura di una minaccia. A questo proposito è utile fare riferimento al modello di sicurezza CIA o al Parkerian Hexad.

Ad esempio, applicando quest’ultimo modello, per esaminare le minacce che si potrebbero affrontare contro un’applicazione che elabora i pagamenti con carta di credito:

• Riservatezza: se si esportano i dati in modo inappropriato, possiamo avere una potenziale minaccia.
• Integrità: se i dati vengono danneggiati, si potrebbero processare pagamenti errati.
• Disponibilità: se il processo o l’applicazione responsabile dei pagamenti non funziona in modo corretto, non si possono elaborare i pagamenti.
• Possesso: se si perdono i dati di backup, potremmo avere una potenziale violazione.
• Autenticità: se non si hanno informazioni autentiche sui clienti, si possono elaborare transizioni fraudolente.
• Utilità: se si raccolgono dati non valiti o errati, non possono essere utilizzati.

Questa è, chiaramente, un’analisi ad alto livello per valutare le minacce relative a un sistema di pagamento, che però sottolinea immediatamente alcune aree problematiche.

Dobbiamo preoccuparci, ad esempio, di non perdere il controllo dei dati di mantenere dati accurati e di mantenere il sistema funzionante e aggiornato.

Date queste prime informazioni, possiamo iniziare a guardare ai settori di vulnerabilità e ai potenziali rischi.

Vulnerabilità delle risorse

Quando valutiamo la vulnerabilità di un sistema, dobbiamo farlo nel contesto delle potenziali minacce.

Qualsiasi bene potrebbe avere migliaglia o milioni di minacce che potrebbero influenzarlo, ma solo una piccola frazione di queste sarà effettivamente rilevante.

Nel precedente esempio, abbiamo esaminato le potenziali minacce contro un sistema che elabora operazioni tramite carte di credito.

Anche se ad alto livello, possiamo esaminare i problemi che abbiamo precedentemente individuato nella fase di identificazione delle minacce, e possiamo cercare di determinare se esistono delle vulnerabilità in una di queste aree;

• Riservatezza: i nostri dati sensibili vengono crittografati.
  Il nostro sistema è regolarmente testato da una società esterna che si occupa di penetration testing.
• Integrità: bisogna accuratamente convalidare i dati dei pagamenti e controllare se sono corretti, come parte del flusso di lavoro di elaborazione. Dati non validi portano ad una transazione rifiutata.
• Disponibilità: Non abbiamo ridondanza per il database sul back-end del nostro sistema di elaborazione dei pagamenti.
• Possesso: I nostri supporti di backup sono crittografati e portati a mano da un corriere.
• Autenticità: è difficile assicurare che le informazioni valide sul pagamento e sul cliente siano effettivamente appartenenti all’individuo che conduce la transazione, non abbiamo un buon modo per farlo.
• Utilità: Per proteggere l’utilità dei nostri dati, possiamo verificare i numeri di carta di credito, assicurare che l’indirizzo di fatturazione e l’indirizzo e-mail siano validi ed eseguire altre misure per garantire che i nostri dati siano corretti.

Questi esempi costituiscono, come già detto, una visione ad alto livello del processo che si deve intraprendere e serve solo ad illustrare l’attività che va svolta.

Dai risultati ottenuti a questo punto possiamo vedere alcune aree critiche e cominciare a valutare le aree in cui potrebbero verificarsi dei rischi.

Rischi delle risorse

Una volta individuate le minacce e le vulnerabilità per un dato bene, possiamo valutare il rischio complessivo.

Il rischio è la congiunzione di una minaccia e di una vulnerabilità. Una vulnerabilità senza minacce corrispondenti o una minaccia senza la corrispondente di vulnerabilità, non costituiscono un rischio.

Ad esempio, abbiamo considerato l’elemento seguente come una minaccia potenziale e un’area di vulnerabilità:

Disponibilità: se il processo o l’applicazione responsabile dei pagamenti non funziona in modo corretto, non si possono elaborare i pagamenti.

Non abbiamo ridondanza per il database sul back-end del nostro sistema di elaborazione dei pagamenti.

In questo caso non abbiamo una minaccia e una vulnerabilità che coincidono, con il conseguente rischio di perdere la capacità di elaborare pagamenti con carta di credito, a causa di un unico punto di errore sul nostro back-end del database.

Una volta che lavoriamo con le nostre minacce e vulnerabilità in questo modo, possiamo procedere all’attenuazione (o eliminazione) dei rischi.

Ridurre il rischio

Per aiutarci a mitigare il rischio, possiamo mettere in atto misure per assicurare che venga considerato un dato tipo di minaccia.

Queste misure sono denominate controlli. I controlli sono suddivisi in tre categorie: fisico, logico e amministrativo.

1. Fisico: I controlli fisici sono quelli che proteggono l’ambiente fisico in cui risiede il nostro sistema o dove i nostri dati vengono memorizzati.
   Tali controlli regolano anche l’accesso in entrata e in uscita da tali ambienti.
   I controlli fisici comprendono, logicamente, elementi quali recinzioni, serrande, guardie e telecamere, ma includono anche sistemi che controllano l’ambiente fisico come sistemi di riscaldamento e climatizzazione, sistemi antincendio e generatori di corrente in caso di black-out.
   Anche se a prima vista, i controlli fisici potrebbero non sembrare facenti parte integrante del meccanismo di sicurezza informatica, essi sono in realtà uno dei controlli più critici di cui preoccuparsi.
   Se non siamo in grado di proteggere fisicamente i nostri sistemi e i nostri dati, qualsiasi altro controllo che possiamo mettere in pratica diventa irrilevante.
   Se un attaccante è in grado di accedere fisicamente ai nostri sistemi, può, nella migliore delle ipotesi, distruggere il sistema, rendendolo non disponibile per il nostro uso.
   Nel caso peggiore invece, avrà accesso direttamente alle nostre applicazioni e ai nostri dati e sarà in grado di rubare le informazioni e le risorse o utilizzarle a proprio vantaggio.
2. Controlli logici e tecnici: i controlli logici sono quelli che proteggono i sistemi, le reti e gli ambienti che elaborano, trasmettono e archiviamo i nostri dati.
   I controlli logici possono includere elementi quali password, crittografia, controlli di accesso logico, firewall e sistemi di rilevamento delle intrusioni (IDS).
   Il controllo logico ci consente di impedire che le attività non autorizzate avvengano.
   Se i controlli logici vengono implementati correttamente, un utente malintenzionato o un utente non autorizzato non potrà accedere alle applicazioni o ai dati sensibili, senza sottrarsi ad alcuni controlli previsti.
   Ciò consente di utilizzare più funzioni dello stesso sistema su una stessa piattaforma, senza che avvenga l’accesso reciproco alle risorse dedicate ad ogni funzione.
   Inoltre la compromissione di una parte del sistema non compromette il funzionamento delle altre parti (modularità).
3. Amministrazione: I controlli amministrativi si basano su regole, leggi, politiche, procedure, linee guida e altri elementi che sono cartacei.
   In sostanza, i controlli amministrativi definiscono le regole che ci aspettiamo che gli utenti del nostro ambiente rispettino.
   A seconda dell’ambiente e del controllo in questione, i controlli amministrativi possono rappresentare diversi livelli di autorità.
   Possiamo avere una semplice regola come “spegnere la macchina del caffè al termine della giornata”, al fine di garantire che non provochi problemi di sicurezza fisica bruciando la nostra costruzione durante la notte.
   Possiamo anche avere un controllo amministrativo più rigoroso, come quello che richiede la modifica della password ogni 90 giorni.
   Un concetto importante quando discutiamo i controlli amministrativi è la capacità di far rispettare la loro conformità.
   Se non abbiamo l’autorità o la capacità di garantire che i nostri controlli siano stati compilati, essi risultano totalmente inutili, perché creano un falso senso di sicurezza.
   Ad esempio, se creiamo una politica che dice che la nostra risorsa aziendale non può, in alcun modo, essere usata per uso personale, dobbiamo essere in grado di far valere questo aspetto.
   Al di fuori di un ambiente altamente sicuro, questo può essere un compito difficile.
   Sarà necessario monitorare l’utilizzo del telefono e del telefono cellulare, l’accesso a Internet, l’utilizzo di posta elettronica, le conversazioni di messaggi istantanei, software installato e altre potenziali aree di abuso.
   A meno che non saremmo disposti a dedicare una grande quantità di risorse per monitorare questi e altri settori e affrontare le violazioni della nostra politica, avremmo rapidamente una politica che non saremmo in grado di imporre.
   Una volta che si capisce che non riusciamo a far rispettare una politica, ci esponiamo apertamente ad attività dannose o ad eventuali rischi che pensiamo di avere sotto controllo, ma che in realtà abbiamo creato noi stessi.