La conversazione necessaria tra CISO e dirigenza aziendale sui ransomware

La maggior parte dei dirigenti aziendali conosce bene i ransomware. Ciò che manca sono le informazioni sul sistema che li alimenta. Questa mancanza ha conseguenze concrete. È il momento di cambiare prospettiva.

Leggi il blog Condividi

Illustrazione astratta di forme circolari con una lente di ingrandimento che evidenzia una sezione su sfondo viola

Quello di cui CISO e dirigenza aziendale non parlano e perché sarebbe importante farlo

In qualche parte del mondo, proprio in questo momento, dirigenti aziendali ricevono informazioni sui ransomware. Il CISO spiega cosa è successo, quali sono stati costi e quali misure sono state adottate in risposta. Tutte le informazioni sono corrette. Manca tuttavia una cosa fondamentale. Conversazioni di questo tipo sui ransomware partono da una posizione errata, ovvero dall'incidente invece che dal sistema alle sue spalle.

La conversazione necessaria tra CISO e dirigenza aziendale sui ransomware

La conversazione più importante sui ransomware non avviene nei centri di operazioni per la sicurezza, ma nei consigli di amministrazione.

Troppo spesso, le informazioni sui ransomware vengono raccolte al momento della crittografia, quando l’attacco è già nella fase finale. L’accesso iniziale è stato probabilmente ottenuto settimane prima, mediante furto di credenziali e movimenti laterali invisibili. Un’organizzazione non diventa improvvisamente un bersaglio. Esiste un mercato criminale industrializzato, progettato per individuare e colpire organizzazioni come la tua.

Si tratta di una distinzione importante, perché modifica il modo in cui le aziende investono.

Quando la dirigenza si concentra solo sull’evento finale, finisce comprensibilmente per dare priorità al ripristino dopo l’impatto. Seppur fondamentale, il ripristino da solo non elimina il sistema dietro gli attacchi. Le organizzazioni all'avanguardia nella lotta ai ransomware non si limitano a risolvere le interruzioni, ma investono per interrompere la catena d’attacco prima di eventuali danni.

Un cambio di approccio di questo tipo è fondamentale, perché i ransomware costituiscono oggi una rete criminale molto evoluta.

Attacchi sofisticati non hanno ormai più bisogno di attori sofisticati. L’accesso iniziale si può acquistare con la stessa facilità con cui si compra un caffè da una macchinetta automatica. Le piattaforme di phishing-as-a-service vengono vendute in abbonamento, proprio come i servizi di streaming o di intrattenimento. I servizi di firma del malware consentono ai codice malevoli di sembrare legittimi. L’IA sta accelerando ricognizione, personalizzazione e ingegneria sociale in ogni fase del ciclo di attacco.

I CISO più efficaci nei consigli di amministrazione non offrono informazioni più dettagliate sulle minacce. Considerano piuttosto i ransomware come un problema di rischio economico e operativo.

Ecco come.

Tre cose che ogni CISO dovrebbe spiegare alla dirigenza

1. I rischi non riguardano solo la sicurezza, ma l'intera struttura aziendale.

I ransomware introducono rischi anche a livello operativo, finanziario, di reputazione e di continuità. I dirigenti conoscono bene i rischi legati a mercato e supply chain. I ransomware vanno considerati in modo simile. Vista in questo modo, la questione non è più "come recuperare nel minor tempo possibile", ma "come ridurre l'esposizione prima degli attacchi." Sebbene entrambe le cose siano importanti, solo una è in grado di modificare l'economia di un attacco.

2. L’economia degli attacchi è cambiata. Deve cambiare anche l'economia delle difese.

L’ecosistema dei ransomware opera oggi con l’efficienza di un mercato evoluto: infrastrutture condivise, fornitori di servizi specializzati e tattiche basate sull’IA che riducono i costi di attacco in qualunque fase. L'eliminazione di Fox Tempest da parte di Microsoft lo dimostra in modo lampante. Non si trattava di un attore ransomware, ma di un’infrastruttura condivisa su cui facevano affidamento centinaia di operazioni criminali che spacciavano per legittimi sistemi di pagamento fasulli. La sua eliminazione ha indebolito le capacità dell'intero ecosistema simultaneamente. I difensori devono muoversi allo stesso modo, colpendo a monte l’infrastruttura condivisa degli aggressori invece di limitarsi a reagire nel punto dell’impatto.

Le organizzazioni all'avanguardia danno priorità a protezione delle identità, rilevamento dei broker di accesso, visibilità sui percorsi di attacco e intelligence continua in modo da interrompere gli attacchi prima del rilascio dei ransomware, insieme a investimenti in resilienza che garantiscono il ripristino quando qualcosa va storto.

3. Resilienza e ripristino sono più semplici investimenti di sicurezza, ma aspetti strategici.

Tutte le organizzazione rappresentano un bersaglio. L'elemento distintivo non è la possibilità di un attacco, ma la capacità da parte dell’organizzazione di contenerlo, mantenendo l'operatività e riprendendosi senza catastrofiche conseguenze commerciali. Per riuscirci servono investimenti in ambito di continuità aziendale e ripristino di emergenza, backup immutabili e segmentati, strategie di contenimento delle identità e test di ripristino operativo. È inoltre necessario analizzare i parametri corretti: non solo i tempi di ripristino, ma anche gli intervalli tra la compromissione iniziale e il contenimento. Quest'ultimo è un fattore decisivo per determinare se un attacco può mettere in crisi l'intera struttura aziendale.

I dirigenti conoscono bene i rischi legati a mercato e supply chain. I ransomware vanno considerati in modo simile. Vista in questo modo, la questione non è più "come recuperare nel minor tempo possibile", ma "come ridurre l'esposizione prima degli attacchi."

Terrell Cox, Deputy CISO, Customer Security Management Office

Cosa cambia quando i dirigenti comprendono l'economia delle minacce

Le priorità di investimento si spostano a monte. Le organizzazioni con una dirigenza consapevole del livello delle minacce tendono a destinare maggiori risorse alla protezione delle identità, al rilevamento dei broker di accesso e a una comprensione più profonda dell’intelligence sulle minacce che vada oltre la semplice l'individuazione delle origini.
Da semplice esercizio di conformità, la resilienza si trasforma in una capacità strategica. La pianificazione di continuità aziendale e ripristino di emergenza, i backup immutabili e i test di ripristino operativo non sono più solo caselle da spuntare negli audit ma diventano reali indicatori di differenziazione competitiva. Le organizzazioni in grado di riprendersi rapidamente sono quelle meglio preparate.
La funzione del CISO cambia. I responsabili della sicurezza passano dalla gestione degli incidenti alla consulenza strategica dei rischi, e offrono le informazioni e il linguaggio necessari per aiutare l'azienda ad anticipare e a gestire i rischi di attori malevoli prima che si trasformino in interruzioni operative.

La situazione attuale

Dal 2020, Microsoft monitora e pubblica informazioni sull’ecosistema ransomware-as-a-service.

La strategia di risposta utilizzata nel 2020 oggi non basta più. E non basta nemmeno una conversazione con i dirigenti basata sul panorama delle minacce di quell'anno.

Ogni settimana, fino a settembre, Microsoft mappa in tempo reale il panorama della criminalità informatica e pubblica i risultati dell'osservazione dei suoi analisti di oltre 65 attori motivati economicamente che operano in un ecosistema criminale coordinato. Hot Cybercrime Summer è pensato per mettere in luce proprio questo tipo di intelligence, che usa il linguaggio necessario ai responsabili della sicurezza per agire e mantenere informati i dirigenti che finanziano la difesa.

Segui la serie. E porta questo tipo di intelligence nella prossima conversazione con la dirigenza. La mappa c’è già. La domanda è se la tua organizzazione è in grado di usarla. Microsoft Security Blog | Ransomware Threat Intelligence

I CISO vengono ritenuti personalmente responsabili di rischi che i dirigenti non sono ancora in grado di valutare. L'eliminazione di questo divario è un aspetto cruciale per i responsabili della sicurezza."

Terrell Cox, Deputy CISO, Customer Security Management Office

Leggi il blog

Spazio ufficio con pareti in vetro su cui si vedono icone di sicurezza esagonali collegate in una sovrapposizione a reticolo.

L'individuazione di Fox Tempest: un’operazione di firma malware su commissione

Prima dell'individuazione e dell'eliminazione dello schema da parte di Microsoft, Fox Tempest firmava segretamente malware su commissione.

Illustrazione delle pagine di un report impilate classificate "intelligence delle minacce, podcast e articoli" su sfondo blu scuro.

Scopri le ultime informazioni

Le storie di Microsoft Threat Intelligence rivelano APT, criminalità informatica, malware e ricerche dietro le quinte che contribuiscono a definire il panorama delle minacce in continua evoluzione.

Ottieni CISO Digest

Rimani al corrente con informazioni dettagliate di esperti, tendenze del settore e ricerche sulla sicurezza in questa serie di e-mail bimestrale.

La conversazione necessaria tra CISO e dirigenza aziendale sui ransomware

Quello di cui CISO e dirigenza aziendale non parlano e perché sarebbe importante farlo

La conversazione necessaria tra CISO e dirigenza aziendale sui ransomware

Tre cose che ogni CISO dovrebbe spiegare alla dirigenza

Cosa cambia quando i dirigenti comprendono l'economia delle minacce

La situazione attuale

Contenuti correlati

L'individuazione di Fox Tempest: un’operazione di firma malware su commissione

Scopri le ultime informazioni

Ottieni CISO Digest

Segui Microsoft Security