In molte organizzazioni, la cybersecurity continua a seguire uno schema simile: una volta all’anno viene condotto un audit, vengono implementate le raccomandazioni, aggiornata la documentazione e poi il tema passa in secondo piano. Fino alla revisione successiva.
Fino a pochi anni fa, questo approccio poteva essere sufficiente. Oggi, però, nel mondo del cloud, dell’intelligenza artificiale e delle minacce in continua evoluzione, la sicurezza non può essere valutata solo durante audit periodici.
Questa è una delle principali conclusioni dell’ultimo rapporto di Microsoft Secure Future Initiative (SFI). L’azienda dimostra che una cybersecurity efficace richiede il monitoraggio, la misurazione e la verifica continui del livello di protezione, non una valutazione una tantum della conformità.
Perché questo modello sta diventando il nuovo standard? E come possono le aziende sfruttare l’esperienza di Microsoft per aumentare il proprio livello di sicurezza?
La sicurezza non finisce con l’implementazione
Molte aziende investono in soluzioni di sicurezza moderne, come Microsoft Defender, Microsoft Entra o Microsoft Intune. Tuttavia, la sola implementazione della tecnologia non garantisce un livello di protezione adeguato.
Perché?
Perché l’ambiente IT cambia continuamente.
Nuovi account utente, applicazioni aggiuntive, modifiche alle autorizzazioni o integrazioni con altri sistemi fanno sì che una configurazione di alcuni mesi fa possa non essere più aggiornata.
Microsoft dimostra che la verifica regolare delle misure di sicurezza è importante quanto la loro implementazione.
Per questo Secure Future Initiative si basa sulla misurazione continua dei risultati delle attività, non solo sulla realizzazione di nuovi progetti.
Dati anziché supposizioni
Uno degli aspetti più interessanti del rapporto è il modo in cui Microsoft misura i progressi del programma.
Anziché dichiarazioni come:
“abbiamo implementato l’MFA”
l’azienda pubblica indicatori concreti, tra cui:
- 99,97% degli utenti e dei dispositivi utilizza MFA resistente al phishing,
- è stato rimosso l’accesso pubblico a oltre 732 mila risorse,
- sono state ritirate dall’uso oltre 1,4 milioni di applicazioni inattive.
Questo approccio evidenzia un principio molto importante:
Non è possibile proteggere efficacemente ciò che non si misura.
Il monitoraggio regolare degli indicatori di sicurezza consente di rilevare rapidamente le anomalie e intervenire prima che diventino una minaccia reale.
Perché un audit una tantum non è più sufficiente?
Un audit tradizionale risponde alla domanda:
“Qual è lo stato della sicurezza il giorno della verifica?”
Le organizzazioni moderne, invece, hanno bisogno di una risposta a un’altra domanda:
“Qual è lo stato della sicurezza ogni giorno?”
La differenza è enorme.
Immaginiamo un’azienda che supera positivamente un audit di sicurezza a gennaio.
A marzo:
- vengono introdotte nuove applicazioni,
- i dipendenti ricevono autorizzazioni aggiuntive,
- un amministratore attiva un nuovo servizio cloud,
- alcuni account non vengono disabilitati dopo l’uscita dei dipendenti.
Formalmente, l’organizzazione può ancora disporre di un rapporto di audit aggiornato.
Nella pratica, il suo livello di sicurezza è cambiato in modo significativo.
Validazione continua delle misure di sicurezza: cosa significa in pratica?
La validazione continua consiste nel verificare regolarmente se le misure di sicurezza implementate continuano a funzionare come previsto.
Include, tra l’altro:
- il monitoraggio delle configurazioni,
- l’analisi delle modifiche nell’ambiente,
- la valutazione del livello di rischio,
- il rilevamento di impostazioni errate,
- il controllo delle autorizzazioni degli utenti,
- l’analisi delle nuove vulnerabilità.
È un processo che dovrebbe operare ogni giorno, non solo prima di un audit o di una certificazione.
Meno eccezioni, più standard
Uno dei pilastri di Secure Future Initiative è la riduzione delle eccezioni alle policy di sicurezza.
Ogni eccezione aggiuntiva comporta una maggiore complessità dell’ambiente e un rischio più elevato di errori.
Per questo Microsoft sviluppa con coerenza il concetto di Secure by Default, ovvero impostazioni predefinite sicure.
Le nuove soluzioni sono progettate per fornire, già dopo l’implementazione, il massimo livello di protezione possibile, senza dover configurare manualmente tutte le misure di sicurezza.
Ciò semplifica notevolmente anche la successiva validazione dell’ambiente.
L’AI aiuta a monitorare la sicurezza in tempo reale
Con il numero crescente di utenti, dispositivi e applicazioni, il controllo manuale della sicurezza diventa praticamente impossibile.
Per questo Microsoft utilizza sempre più diffusamente l’intelligenza artificiale.
L’AI supporta, tra l’altro:
- l’analisi di milioni di eventi al giorno,
- il rilevamento di comportamenti insoliti,
- l’identificazione di configurazioni errate,
- l’individuazione delle vulnerabilità più importanti,
- la definizione delle priorità per le attività dei team SOC.
In questo modo, le organizzazioni possono reagire alle minacce molto più rapidamente rispetto alle tradizionali revisioni periodiche.
Come passare da un modello “in funzione dell’audit” a un modello di sicurezza continua?
La trasformazione non deve necessariamente essere una rivoluzione.
Vale la pena iniziare con alcuni passaggi:
-
Definire gli indicatori di sicurezza
Non misurare soltanto il numero di incidenti.
Monitorare anche:
- il numero di dispositivi senza aggiornamenti,
- il livello di utilizzo dell’MFA,
- il numero di account senza proprietario,
- il numero di applicazioni non utilizzate,
- il numero di eccezioni alle policy di sicurezza.
-
Automatizzare il monitoraggio
Gli ambienti moderni sono troppo complessi per essere controllati manualmente.
Utilizzare soluzioni che rilevano automaticamente:
- configurazioni errate,
- nuove vulnerabilità,
- modifiche alle autorizzazioni,
- accessi rischiosi.
-
Ridurre regolarmente la superficie di attacco
Ogni applicazione, account o risorsa pubblica non utilizzata aumenta il rischio.
La pulizia regolare dell’ambiente IT dovrebbe diventare un elemento costante della strategia di sicurezza.
-
Verificare l’efficacia delle misure di sicurezza implementate
Non presumere che una policy implementata una sola volta continuerà a funzionare efficacemente negli anni successivi.
Verificare regolarmente:
- se l’MFA copre tutti gli utenti,
- se le policy di Conditional Access sono aggiornate,
- se i dispositivi soddisfano i requisiti di sicurezza.
Riepilogo
Secure Future Initiative dimostra che il futuro della cybersecurity appartiene alle organizzazioni capaci di misurare, analizzare e migliorare costantemente il livello di protezione dei propri ambienti IT.
Gli audit una tantum restano un elemento importante della strategia di sicurezza, ma non dovrebbero essere l’unico metodo di valutazione del rischio. Gli ambienti moderni cambiano troppo rapidamente per basare le decisioni su dati di alcuni mesi fa.
Per questo, un numero crescente di organizzazioni sta adottando un modello di convalida continua della sicurezza, sfruttando automazione, intelligenza artificiale e architettura Zero Trust per monitorare costantemente lo stato della sicurezza.
Questo approccio non solo consente di proteggere in modo più efficace dati e utenti, ma anche di reagire più rapidamente alle nuove minacce e di costruire una resilienza a lungo termine dell’organizzazione agli attacchi informatici.
Vuoi saperne di più sull’offerta di Microsoft per la cybersecurity? Il nostro team di esperti sarà lieto di rispondere alle tue domande e di aiutarti a scegliere la soluzione più adatta: Ti invitiamo inoltre a visitare il nostro sito web, dove troverai maggiori informazioni sui prodotti. Scopri di più: MICROSOFT
