Gestione dei rischi NIS 2: il modello ibrido che collega servizi, informazioni, tecnologie e scenari di rischio

NIS 2, nel modello ibrido le prospettive si completano

Asset o processi? Servizi o scenari? La domanda che ha chiuso il capitolo precedente contiene, a ben vedere, un errore di fondo: presuppone che l’organizzazione debba scegliere una sola prospettiva.

La realtà funziona diversamente. Un servizio esiste perché uno o più processi lo rendono possibile. Un processo utilizza informazioni che dipendono da persone, tecnologie, sedi e fornitori, in sintesi da asset. Questi elementi sono esposti a minacce che, a loro volta, sfruttano vulnerabilità. Le conseguenze, alla fine della corsa, ricadono sul servizio.

Ogni prospettiva descrive un livello di questa catena. Nessuna, da sola, la descrive tutta. Il modello ibrido nasce da questa consapevolezza: non elimina i metodi esistenti, ma li collega.

Il problema della gestione del rischio a una sola dimensione

Ripercorriamo per un istante i limiti già incontrati, perché disposti uno accanto all’altro rivelano uno schema: la gestione dei rischi per asset conosce ogni componente e può non comprendere la funzione.

Quella per processi comprende la funzione e può non individuare il punto tecnico su cui intervenire. Quella per servizi rappresenta bene ciò che viene erogato e può trascurare le infrastrutture condivise.

La gestione per scenari descrive eventi credibili e può non mostrare tutte le dipendenze.

Lo schema è questo: il limite non deriva mai dal metodo, deriva dall’isolamento.
Ogni modello diventa debole quando perde i collegamenti e così:

• un asset privo del servizio che sostiene torna a essere un oggetto tecnico;
• un processo privo degli asset da cui dipende resta una descrizione organizzativa;
• uno scenario privo di perimetro diventa un racconto;
• una misura priva del rischio che affronta si riduce a un controllo applicato per abitudine.

La forza del sistema non abita nei singoli elementi, bensì nelle relazioni.

La catena logica

Il modello ibrido si lascia rappresentare come una sequenza: attività o servizio, processo, informazioni, asset, dipendenze, scenario, minacce, vulnerabilità, impatto, probabilità, misure esistenti, rischio, trattamento, rischio residuo.

Ogni anello risponde a una domanda precisa.

Quale attività deve essere protetta? Come viene svolta? Quali informazioni utilizza? Da quali risorse dipende? Quali soggetti esterni intervengono? Che cosa può accadere? Quali condizioni possono favorire l’evento? Inoltre, quali conseguenze può produrre, e con quale plausibilità? Quali protezioni esistono già? Quale rischio rimane? Che cosa va fatto, e chi ne assume la responsabilità?

La sequenza non deve però irrigidirsi in una liturgia.

Alcune organizzazioni partiranno dal servizio, altre da un processo, altre ancora da uno scenario che le ha spaventate. Il punto di ingresso è libero. Ma ciò che non è negoziabile è la tenuta dei collegamenti. Si può entrare nella catena da qualunque anello, purché la catena esista.

Partire dalle attività e dai servizi

Il primo livello definisce ciò che l’organizzazione deve continuare a svolgere, e qui la categorizzazione NIS – protagonista del primo articolo – torna in scena come base di lavoro: ha già richiesto di individuare attività e servizi, ha associato una categoria di rilevanza, ha imposto di riflettere sull’impatto della compromissione.

La categoria non è ancora il rischio, ma è un’informazione preziosa: indica la gravità potenziale delle conseguenze e può diventare, nel modello ibrido, uno dei riferimenti per la valutazione dell’impatto.

Non vaè da copiare, ma da interpretare. L’organizzazione può usare una scala interna diversa, con più livelli o con dimensioni specifiche; deve però saper spiegare la relazione tra le due rappresentazioni.

E la mappa può nascere da una domanda disarmante nella sua semplicità: quali attività non possono essere compromesse senza produrre conseguenze rilevanti? Da questa domanda nasce il perimetro.

Tutto il resto viene dopo.

Dai servizi ai processi

Un servizio non viene erogato da un’applicazione: viene erogato da un’organizzazione e il sistema tecnologico ne è una componente.

Occorre dunque ricostruire il processo: quali attività vengono svolte, quali unità intervengono, chi decide, quali passaggi sono essenziali, quali possono essere sospesi e quali devono continuare a ogni costo.

Questa mappa distingue la funzione dalla tecnologia e impedisce di considerare il sistema informatico come unico punto di osservazione.

Un servizio può fermarsi anche quando la tecnologia funziona perfettamente: può mancare il personale, può diventare inaccessibile una sede, può interrompersi un fornitore, può mancare un’autorizzazione, può bloccarsi un processo decisionale.

Il modello ibrido dà cittadinanza anche a queste dipendenze, che nessun inventario tecnico registrerà mai.

Le informazioni al centro

Ogni processo vive di informazioni: dati, documenti, configurazioni, conoscenze, credenziali, registrazioni, flussi provenienti da soggetti esterni.

L’analisi deve comprenderne il valore lungo quattro dimensioni – riservatezza, integrità, disponibilità, autenticità – perché una compromissione produce effetti diversi a seconda della dimensione colpita.

La perdita di disponibilità interrompe il servizio; la perdita di integrità lo rende inaffidabile; la perdita di riservatezza rende accessibili a terzi informazioni che non dovrebbero conoscere, la perdita di autenticità impedisce di verificare l’origine di ciò che si sta usando, inoltre la perdita di una o più di queste proprietà possono generare conseguenze giuridiche, economiche e reputazionali.

Qui il modello deve difendersi da una visione limitata e diffusa: quella che fa coincidere la sicurezza con la disponibilità dei sistemi.

Un servizio attivo che lavora su dati alterati può essere più pericoloso di un servizio temporaneamente fermo.

Il fermo si vede, invece il dato corrotto no.

Dagli elementi informativi agli asset

Individuate le informazioni, occorre identificare ciò che le tratta: applicazioni, database, server, reti, endpoint, sistemi cloud, apparati industriali, dispositivi, persone, sedi, fornitori.

L’asset non scompare dal modello ibrido; acquista significato. Non viene valutato perché compare in un inventario, ma perché sostiene una funzione e questo collegamento permette di stabilire priorità tecniche autentiche.

Due server identici possono avere criticità opposte: il primo sostiene un servizio a impatto alto, il secondo ospita un ambiente non essenziale.

La tecnologia è la stessa; la conseguenza no.

Il modello ibrido impedisce di attribuire la criticità in base alle sole caratteristiche tecniche – che è come giudicare l’importanza di una chiave dalla sua forma anziché dalla porta che apre.

Le dipendenze invisibili

Molti rischi non abitano negli asset che tutti guardano ma si nascondono nelle dipendenze che nessuno considera.

Un servizio può poggiare su un sistema principale ben protetto e dipendere dal sistema di identità, dalla risoluzione dei nomi, dalla connettività, dai certificati, dai servizi di sicurezza, dalle piattaforme cloud, dal monitoraggio, da un fornitore.

Una singola dipendenza può sostenere decine di attività e il rischio cresce dove:

• esiste un punto unico di guasto;
• manca un’alternativa;
• l’organizzazione non possiede visibilità.

La mappa delle dipendenze deve perciò rispondere a due domande speculari: da che cosa dipende il servizio e che cosa dipende da questo asset?

La prima segue il servizio verso il basso, la seconda risale dall’asset verso l’alto, e soltanto l’uso congiunto delle due direzioni rende visibili gli effetti sistemici – quelli che, all’indomani di un incidente, tutti giurano di non aver potuto prevedere.

Dagli asset agli scenari

Costruita la mappa, arriva il momento di metterla alla prova con gli scenari: un attacco ransomware, una compromissione delle identità, un errore di configurazione, un guasto, un’interruzione del fornitore, una perdita di connettività, un attacco alla catena di fornitura, un’azione interna.

Uno scenario, per sua natura, attraversa più livelli: colpisce un asset, si propaga, interrompe un processo, compromette un servizio.

Il modello ibrido consente di seguirne il percorso passo per passo.

Un esempio rende l’idea. Un attacco compromette un account amministrativo che apre l’accesso alla piattaforma di virtualizzazione che, a sua volta, ospita più applicazioni; le applicazioni sostengono processi differenti che rendono possibili diversi servizi.

L’evento iniziale riguarda un’identità, ma l’impatto riguarda l’intera organizzazione.

Senza la catena, l’analisi vede il primo anello e sottovaluta tutto il resto.

Minacce e vulnerabilità: oltre gli elenchi generici

Lo scenario descrive l’evento; la minaccia rappresenta ciò che può causarlo; la vulnerabilità è la condizione che può favorirlo.

Su questo terreno il modello deve rifuggire gli elenchi generici: cyber attacco non è una valutazione, ma una parola.

Occorre comprendere chi può agire, con quali capacità, attraverso quale vettore, sfruttando quale debolezza e producendo quale effetto.

E le debolezze non sono soltanto tecniche.

Accanto al software non aggiornato, alle configurazioni errate, all’autenticazione debole e alla segmentazione insufficiente, convivono:

• vulnerabilità organizzative – ruoli non definiti, procedure assenti, formazione insufficiente, mancanza di sostituti;
• vulnerabilità contrattuali – obblighi ambigui, livelli di servizio inadeguati, evidenze inaccessibili;
• e vulnerabilità di governance: rischi mai approvati, responsabilità frammentate, decisioni rinviate.

La sicurezza dipende dall’intero sistema, e l’attaccante, a differenza dell’organigramma, non distingue tra le categorie.

Dal rischio alle misure, dalla misura alla responsabilità

L’analisi produce valore soltanto quando orienta una decisione.

Per ogni rischio occorre stabilire se trattarlo, accettarlo, trasferirlo o evitarlo; e il trattamento deve indicare la misura, il responsabile, le risorse, la scadenza, il risultato atteso e la modalità di verifica.

“Implementare misure adeguate” non è un piano, ma una formula. Un piano dice:

• introdurre l’autenticazione multifattore;
• segmentare la rete;
• proteggere i backup;
• aggiornare il contratto;
• formare il personale;
• eseguire una prova;
• scrivere una procedura quando l’esito della prova è stato soddisfacente.

Ogni misura è collegata a un rischio e ogni rischio significativo è chiuso da una decisione. Questo doppio vincolo evita i due eccessi opposti, l’applicazione indiscriminata dei controlli e la scopertura dei rischi reali.

Dopo il trattamento, un rischio rimane sempre. Infatti la sicurezza assoluta non esiste.

Qualcuno deve decidere se il livello residuo è accettabile, e quella decisione non appartiene alla funzione tecnica, perché il rischio riguarda l’organizzazione e va assunto dal livello dotato dell’autorità necessaria.

Il modello ibrido rende invecequesta decisione finalmente possibile in modo informato. Infatti mostra la catena, indica il servizio, descrive lo scenario, rappresenta le conseguenze, evidenzia le misure ed espone ciò che rimane.

Il vertice non approva una formula, ma comprende una scelta.

La tracciabilità come misura della qualità

La vera forza del modello, alla fine, è una sola: la tracciabilità.

Da un servizio si deve poter raggiungere i processi, le informazioni, gli asset, gli scenari, i rischi, le misure, i responsabili; da una misura si deve poter risalire al rischio, allo scenario, all’asset, al processo, al servizio.

Questa doppia direzione permette di rispondere alle domande che decidono la credibilità di un sistema: perché è stata adottata questa misura? Quale rischio affronta? Quale servizio protegge? Che cosa accade se non funziona? Quali attività dipendono da questo asset? Quale decisione ha accettato il rischio residuo?
Un sistema capace di rispondere possiede una struttura.

Evitare la complessità inutile

Un’ultima avvertenza, prima di chiudere: il modello ibrido non deve degenerare in una macchina burocratica.

Non occorre collegare ogni singolo dispositivo a ogni processo.

Gli asset possono essere raggruppati, le dipendenze rappresentate per categorie, gli scenari riutilizzati, le valutazioni organizzate su più livelli.

L’obiettivo non è descrivere ogni elemento; è rendere visibili le relazioni che influenzano il rischio.

Il criterio di selezione è di una semplicità spietata: un’informazione va raccolta quando aiuta a decidere.

Se non modifica la valutazione, la priorità, la misura o la responsabilità, probabilmente non serve.

La gestione dei rischi NIS 2 premia il modello ibrido

Il modello ibrido scioglie una falsa alternativa: non chiede di scegliere tra business e tecnologia, ma li collega.

Parte dalle attività e dai servizi, ricostruisce i processi, individua le informazioni, mappa gli asset, evidenzia le dipendenze, applica gli scenari, analizza minacce e vulnerabilità, valuta il rischio, seleziona le misure, attribuisce le responsabilità e rende visibile ciò che resta.

La sua forza non deriva dal numero degli elementi, ma dalla continuità del ragionamento.

Dal servizio al rischio, dal rischio alla misura, dalla misura alla responsabilità.
Il modello diventa davvero utile quando consente al vertice di comprendere le conseguenze e alle funzioni tecniche di individuare gli interventi – le due cose insieme, non una delle due.

Resta però una domanda operativa, la più concreta di tutte. Come inserire la categorizzazione già trasmessa ad ACN dentro un sistema che esiste già?
Come procedere quando l’analisi interna è costruita per processi? Che cosa fare quando parte dagli asset? E, infine, come comportarsi quando l’organizzazione una valutazione strutturata non l’ha ancora mai fatta?

Nel quarto e ultimo capitolo della tetralogia affronteremo i tre scenari, uno per uno, costruendo un percorso applicabile a ciascuno.