Gli MSP sono uno dei principali bersagli degli attacchi informatici. Non è una questione di “se”, ma di “quando” l’attacco potrebbe verificarsi e il fattore di differenziazione per la maggior parte degli MSP e dei loro clienti è quanto velocemente si riesce ad attuare un piano di risposta e recovery.
Il successo di un MSP attento alla sicurezza che desidera proteggere le proprie risorse digitali e la propria reputazione aziendale dipende dalla sicurezza dei suoi clienti e dall’efficacia delle misure di sicurezza adottate. Capire dove risiede la responsabilità nel caso di un attacco informatico – contro l’MSP o i suoi clienti – è fondamentale per identificare la portata del problema, contenerlo e risolverlo. Individuare l’origine dell’attacco consente di migliorare il livello di sicurezza di tutte le parti coinvolte.
Una recente ricerca di Gartner mostra che oltre il 90% dei dipendenti ha ammesso di aver attuato una serie di azioni non sicure durante le attività lavorative con la consapevolezza di poter esporre la propria azienda ai rischi.
L’e-book di Gartner rileva che entro il 2025, il 60% delle aziende prenderà in esame l’analisi del rischio informatico come fattore significativo nelle trattative con parti terze per evitare la compromissione di informazioni, sistemi e infrastrutture. Se a ciò si aggiunge che gli attacchi informatici di oggi sono sempre più sofisticati, gli MSP, e i CISO in generale, devono necessariamente essere proattivi e pronti nell’avere un piano di risposta e recovery.
Come la maggior parte dei processi di pianificazione, nella gestione di un attacco informatico c’è un “Prima”, un “Durante “e un “Dopo”.
Prima dell’attacco
- Promuovere e mantenere una cultura aziendale orientata alla sicurezza e basata su un approccio Zero Trust
- Valutare costantemente le abitudini di sicurezza informatica dei propri clienti e assicurarsi che le policy e le patch di sicurezza siano aggiornate. Adottare misure per ridurre al minimo i rischi con l’automazione, la gestione delle identità, le policy, i sistemi e le procedure. Aggiornare regolarmente i propri sistemi e i software dei clienti per prevenire gli attacchi informatici.
- Stabilire le best practice e gli standard di sicurezza per la propria azienda e i propri clienti e valutarli regolarmente.
- Creare un piano di backup e di Disaster Recovery as a Service (DRaaS) e riesaminarlo almeno una volta al trimestre, tenendo presente che il ripristino istantaneo non è sempre l’opzione migliore o disponibile per un recupero e un ripristino sicuri.
- Contemporaneamente, sviluppare un piano di risposta agli incidenti che delinei le misure da adottare in caso di attacco. Dovrebbe includere misure per isolare i sistemi infetti, informare le parti interessate e ripristinare le operazioni aziendali. Questo piano deve essere collegato al piano di disaster receovery. Identificare il piano di comunicazione di crisi e l’albero delle chiamate (compresi i legali, l’assicurazione, le principali parti interessate, i coach per gli stati di crisi, l’ecosistema dei partner e i dipendenti).
- Stampare una copia cartacea del proprio piano (nel caso in cui non sia possibile accedervi durante un attacco) e creare una sintesi di una sola pagina con i punti più importanti.
- Incoraggiare i propri clienti a eseguire esercitazioni per la loro azienda e per i clienti per l’esecuzione di un piano di ripristino d’emergenza: testare le procedure e individuare le lacune. L’obiettivo di queste esercitazioni è il miglioramento continuo.
- Promuovere la resilienza alle minacce informatiche in modo da poter rispondere a una violazione riuscendo al contempo a portare avanti le attività quotidiane.
Durante l’attacco
- Identificare il tipo di attacco.
- Mettere in atto il piano di risposta agli incidenti, determinare la gravità del problema e iniziare ad attivare il team di risposta agli incidenti.
- Contenere l’incidente in base al proprio piano di risposta agli incidenti. Ciò può comportare l’isolamento di un endpoint, la disconnessione della rete interessata da Internet, la disabilitazione dell’accesso remoto o la modifica di tutte le password.
- Valutare l’esposizione dei dati. Determinare se questo problema costituisce una violazione della sicurezza.
- Stabilire se è necessario coinvolgere il proprio agente di assicurazione informatica, un consulente legale o addirittura le autorità.
- Avviare il piano di comunicazione di crisi.
- Eseguire il piano di backup e disaster recovery, che comprenda anche la strategia di resilienza informatica.
Dopo l’attacco
- Valutare i danni.
- Eseguire il debrief con il team di risposta agli incidenti.
- Comunicare con clienti, stakeholder, investitori, partner e dipendenti.
- Imparare dall’esperienza e condividerla.
- Ampliare le misure di protezione per garantire che la causa scatenante non si verifichi nuovamente.
- Ampliare le misure di rilevamento per garantire il rilevamento delle variazioni dell’attacco nell’ambiente aziendale.
- Istituire un nuovo piano di prevenzione basato su quanto appreso.
- Verificare le aree che non hanno funzionato bene durante le esercitazioni.
Per preservare il successo e la reputazione della propria azienda e dei clienti, è indispensabile una pianificazione, prevenzione, monitoraggio, rilevamento e ripristino dei processi. Adottando le misure sopra elencate, gli MSP potranno meglio proteggere il loro team e i loro clienti dagli attacchi informatici e consentire loro una ripresa più rapida e in sicurezza.
Dave MacKinnon, Chief Security Officer di N-able
