Minacce alla cybersicurezza nelle PMI + best practice su 5 principi e policy

La scorsa settimana abbiamo iniziato ad approfondire il report Devolutions State of IT Security in SMBs in 2022 Survey (scarica il report qui).

Abbiamo messo in evidenza alcune tendenze e problematiche chiave in materia di cybersicurezza, come il fatto che il 67% delle PMI è più preoccupato per le minacce quest’anno rispetto allo scorso. Abbiamo inoltre condiviso raccomandazioni pratiche ed efficaci per aiutare le PMI a sviluppare una strategia di difesa che:

• Limiti la capacità di un malintenzionato di muoversi liberamente all’interno dell’ambiente.
• Consenta funzionalità di visibilità e risposta.
• Prevenga un’esposizione non necessaria.
• Implementi un recupero delle operazioni robusto ed efficiente.

Oggi proseguiamo questa importante discussione mettendo in evidenza cinque principi e policy che aiutano le PMI a ridurre significativamente i rischi legati alla cybersicurezza, aumentando al contempo visibilità, governance e controllo.

1. Principio del privilegio minimo

Il principio del privilegio minimo (POLP) consiste nel garantire agli utenti finali solo l’accesso necessario per svolgere le proprie attività quotidiane.

Raccomandiamo alle PMI di adottare queste best practice per implementare e applicare il POLP:

• Spiegare lo scopo del POLP a tutti gli utenti finali, in modo che comprendano e accettino che questa policy non ha lo scopo di ostacolarli o bloccare la loro produttività. L’obiettivo è proteggere l’azienda da una violazione che potrebbe rivelarsi molto costosa.
• Valutare ogni ruolo per scegliere il livello di accesso corretto. Non dare per scontato che i livelli storici siano ancora appropriati. I privilegi di cui un ruolo (o un determinato utente finale) poteva avere bisogno tre anni fa potrebbero non essere più validi oggi. Nel determinare i livelli di accesso, il valore predefinito dovrebbe essere il “privilegio minimo”, e un accesso maggiore dovrebbe essere concesso solo quando necessario.
• Quando è richiesto un accesso privilegiato temporaneo, utilizzare credenziali monouso concesse il più tardi possibile e revocate immediatamente dopo l’uso. Questo approccio, noto come “privilege bracketing”, può essere implementato sia per i singoli utenti sia per processi e sistemi.
• Separare gli account amministratore dagli account standard e separare le funzioni di sistema di livello superiore da quelle di livello inferiore.
• Stabilire piena visibilità su ciò che gli utenti finali fanno e su quando lo fanno.
• Verificare regolarmente i privilegi degli utenti finali per assicurarsi che l’accesso sia appropriato.
• Rimuovere immediatamente l’accesso per gli utenti finali che lasciano l’organizzazione (clicchi qui per ulteriori best practice sulla gestione delle uscite dei dipendenti).
• Disporre della capacità di revocare automaticamente l’accesso privilegiato in caso di emergenza.

2. Zero trust

Lo zero trust integra il POLP e si basa sulla comprensione del fatto che nessuno viene considerato automaticamente affidabile fin dall’inizio. Al contrario, la gestione degli accessi viene valutata in base al contesto, al comportamento e alla posizione dell’utente finale, piuttosto che ai segreti di autenticazione forniti al momento del login. Per questo motivo, alcuni potrebbero affermare che un’etichetta migliore per questa policy (e probabilmente più gradita agli utenti finali non IT!) sia “fidati, ma verifica”.

Sebbene lo zero trust sia una policy importante da molti anni, è diventato ancora più cruciale e rilevante nell’attuale realtà del lavoro da casa (WFH), che sfuma il confine tra la rete aziendale e l’utilizzo del cloud.

Raccomandiamo alle PMI di adottare queste best practice per implementare e applicare lo zero trust:

• Utilizzare l’autenticazione a più fattori (MFA) in tempo reale per verificare l’affidabilità quando si tenta di accedere a nuove risorse di rete o quando il contesto cambia.
• Estendere i controlli di identità all’endpoint, al fine di riconoscere e convalidare tutti i dispositivi.
• Organizzare gli utenti per gruppo/ruolo per supportare le policy relative ai dispositivi.
• Utilizzare il deprovisioning automatico e disporre della capacità di cancellare, bloccare e disiscrivere i dispositivi rubati o smarriti.
• Aggiornare regolarmente i diritti degli utenti finali in base ai cambiamenti di ruolo/mansione, nonché alle modifiche delle policy di sicurezza e dei requisiti di conformità.
• Monitorare il comportamento e consentire avvisi quando vengono rilevate attività insolite o sospette.

3. Separazione dei compiti

La separazione dei compiti si basa sulla comprensione fondamentale che, quando due o più persone sono coinvolte in un flusso di lavoro sensibile, il rischio di uso improprio o manipolazione è inferiore rispetto al caso in cui l’attività venga svolta da un singolo individuo.

Raccomandiamo alle PMI di adottare queste best practice per implementare e applicare la separazione dei compiti:

• Stabilire e assegnare i ruoli in modo da ridurre al minimo il rischio e prevenire conflitti di interesse (reali o apparenti), atti illeciti, frodi e abusi quando si assegnano uno o più ruoli a un dipendente.
• Allineare i compiti ai ruoli configurando permessi e diritti di accesso in modo coerente con la separazione di compiti e ruoli, che dovrebbe basarsi sul POLP (come discusso sopra).
• Analizzare i livelli di accesso per individuare eventuali possibilità di escalation, assicurandosi che nessun singolo individuo possa combinare più accessi per promuoversi a un livello di accesso superiore (e non autorizzato) su un sistema o un dominio.
• Integrare le policy delle risorse umane per supportare un programma completo. Ciò include la formazione di supervisori e manager affinché riconoscano quando a un subordinato (o a qualsiasi altro collega) sia stato assegnato, o abbia assunto, compiti che comportano l’uso di risorse organizzative che dovrebbero essere trasferite a un ruolo diverso e più appropriato.

4. Difesa in profondità

La difesa in profondità utilizza più livelli di protezione per rallentare gli hacker mentre tentano di farsi strada verso il perimetro e, da lì, verso gli asset critici per il business.

Raccomandiamo alle PMI di adottare queste best practice per implementare e applicare la difesa in profondità:

• Progettare i livelli di controllo come se una violazione fosse già avvenuta (ossia, rispondendo alla domanda “e se?”), e implementare difese per prevenire o contenere la prossima mossa dell’hacker.
• Combinare principi e strategie di sicurezza per generare sinergie. Ad esempio, la separazione dei compiti e il POLP contengono le minacce a un sottoinsieme dell’intero ambiente aziendale, il che crea un’opportunità ideale per implementare livelli di controllo tra di essi.
• Implementare il principio dei quattro occhi (discusso di seguito) per l’accesso privilegiato, utilizzando un flusso di approvazione per prevenire/rilevare tentativi di accesso non autorizzati.
• Implementare soluzioni di cybersicurezza che funzionano in modo diverso e rappresentano controlli dissimili. Ad esempio, un filtro di rete anti-malware, un’app di whitelisting e uno scanner per gli allegati e-mail sono tutti strumenti anti-malware, ma svolgono funzioni diverse e, in quanto tali, possono coprire un’area più ampia della superficie di attacco.
• Analizzare i livelli di accesso per individuare eventuali possibilità di escalation, assicurandosi che nessun singolo individuo possa combinare più accessi per promuoversi a un livello di accesso superiore (e non autorizzato) su un sistema o un dominio.

È inoltre estremamente importante che le PMI monitorino l’accesso e l’utilizzo! Rallentare un hacker con più controlli di prevenzione è importante, ma non è sufficiente se gli accessi non autorizzati o i tentativi di escalation non vengono monitorati e rilevati.

5. Principio dei quattro occhi

Il principio dei quattro occhi (a volte chiamato principio/regola delle due persone) richiede che qualsiasi attività svolta da un dipendente che comporti un rischio rilevante venga esaminata e confermata da un secondo dipendente, indipendente e competente.

Raccomandiamo alle PMI di adottare queste best practice per implementare e applicare il principio dei quattro occhi:

• Implementare flussi di lavoro con autorizzazione doppia per accedere a informazioni sensibili o eseguire azioni con privilegi elevati (vedere la separazione dei compiti, sopra).
• Esaminare le tracce di audit delle azioni eseguite su sistemi o dati a rischio.
• Assegnare a più dipendenti i ruoli aziendali che comportano procedure ad alto rischio o l’accesso a risorse sensibili.
• Registrare le azioni eseguite sui sistemi quando utenti esterni accedono alle risorse aziendali. Queste registrazioni dovrebbero essere esaminate per assicurarsi che non siano stati tentati comportamenti sospetti.

Uno sguardo al futuro

Nel prossimo approfondimento sul report Devolutions State of IT Security in SMBs in 2022-23 Survey, metteremo in evidenza gli elementi chiave di una soluzione di gestione degli accessi privilegiati (PAM) per aiutare le PMI a colmare il divario tra autenticazione e autorizzazione.