Il futuro della norma ISO 27001 non è la conformità, ma la cyber intelligence operativa.

Per molti anni, la norma ISO 27001 è stata applicata principalmente come quadro di riferimento per la conformità in materia di sicurezza delle informazioni.

Le organizzazioni hanno implementato sistemi di gestione della sicurezza delle informazioni per formalizzare i controlli, strutturare le politiche e dimostrare che i rischi informatici venivano gestiti in modo sistematico. La certificazione ha rassicurato clienti, revisori e autorità di regolamentazione sull’esistenza di una governance della sicurezza delle informazioni e sulla documentazione formale dei controlli operativi.

Tale approccio aveva senso in un contesto aziendale in cui la sicurezza informatica era considerata prevalentemente una responsabilità specifica del settore IT, con una linea di demarcazione relativamente netta tra i sistemi e i dati che era destinata a proteggere e i processi operativi che li circondavano.

Quel confine si è dissolto.

Oggi, l’esposizione ai rischi informatici influenza direttamente la continuità operativa, la resilienza aziendale, la fiducia dei clienti e la sopravvivenza dell’azienda in modi che non possono essere gestiti da un modello di governance che opera separatamente dall’esecuzione operativa. La sicurezza delle informazioni non è più una disciplina tecnica che si limita a proteggere le risorse digitali ai margini dell’azienda. È profondamente interconnessa con le catene di approvvigionamento, la tecnologia operativa, gli ecosistemi cloud, i fornitori terzi e le decisioni operative quotidiane in ogni funzione dell’organizzazione.

Ciò che contraddistingue l’evoluzione della norma ISO 27001 rispetto ad altri standard di governance è la rapidità con cui muta il panorama delle minacce. L’esposizione ambientale si evolve al variare delle operazioni. L’esposizione in termini di qualità si aggrava con la crescita delle organizzazioni. L’esposizione ai rischi informatici si evolve continuamente indipendentemente dall’operato dell’organizzazione stessa, poiché il panorama delle minacce è determinato da attori esterni ai confini operativi dell’organizzazione che cercano attivamente di sfruttare le lacune di governance prima che queste vengano colmate.

Le organizzazioni che oggi traggono il massimo valore strategico dalla norma ISO 27001 non la considerano più principalmente come un quadro di riferimento per la conformità in materia di sicurezza.

La stanno trasformando in una capacità coordinata di intelligence operativa informatica.

La norma ISO 27001 è stata originariamente concepita intorno ai controlli di sicurezza

Quando la norma ISO 27001 ha iniziato a diffondersi su larga scala, le organizzazioni avevano principalmente bisogno di struttura e tracciabilità nella governance della sicurezza delle informazioni in contesti in cui il perimetro di sicurezza era relativamente ben definito e il ritmo di evoluzione delle minacce era più lento rispetto a oggi.

Le politiche dovevano essere documentate formalmente affinché le responsabilità in materia di sicurezza fossero chiare e potessero essere dimostrate ai revisori e ai clienti. La gestione degli accessi richiedeva un controllo tale da proteggere le risorse informative da accessi non autorizzati attraverso procedure definite e controlli tecnici. Gli incidenti di sicurezza necessitavano di procedure di escalation affinché gli eventi generassero una risposta strutturata anziché una gestione locale improvvisata. La verificabilità stessa è diventata un obiettivo centrale della governance, poiché dimostrare la maturità dei controlli alle parti esterne richiedeva prove che la governance della sicurezza fosse sistematica e coerente.

L’ISMS si concentrava quindi in larga misura sui controlli, sulla documentazione, sulle valutazioni periodiche dei rischi e sulle prove di conformità. Ciò rifletteva accuratamente le realtà operative dell’epoca. La sicurezza informatica ruotava principalmente attorno alla protezione di risorse digitali ben definite e alla dimostrazione della maturità dei controlli rispetto a una serie di categorie di minacce note, all’interno di un ambiente di sicurezza relativamente circoscritto.

Le organizzazioni moderne richiedono sempre più spesso un approccio fondamentalmente diverso alla governance della sicurezza delle informazioni.

Richiedono una visibilità informatica operativa continua in un contesto in cui il panorama delle minacce evolve più rapidamente di quanto i cicli di governance riescano ad adattarsi, in cui la superficie di attacco si espande costantemente man mano che l’organizzazione adotta nuove tecnologie e instaura rapporti con terze parti, e in cui le conseguenze di un grave fallo di sicurezza si estendono ben oltre l’ambiente IT, ripercuotendosi contemporaneamente sulla continuità operativa, sull’esposizione normativa e sulla reputazione aziendale.

Perché la cyber governance deve affrontare sfide particolari a causa del ritmo con cui si evolvono le minacce

La sfida specifica in materia di governance che rende l’evoluzione della norma ISO 27001 più urgente rispetto ad altre norme è che l’esposizione ai rischi informatici non aumenta semplicemente con l’aumentare della complessità delle organizzazioni. Essa si evolve continuamente man mano che il panorama delle minacce che circonda l’organizzazione cambia, indipendentemente da ciò che l’organizzazione stessa fa.

Un’organizzazione può mantenere le stesse operazioni di mese in mese e ritrovarsi comunque significativamente più esposta a una specifica categoria di rischio informatico a causa dell’emergere di una nuova tecnica di attacco, della scoperta di una vulnerabilità critica in un componente software ampiamente utilizzato o perché gli autori delle minacce hanno spostato la loro attenzione verso il suo settore o le sue relazioni nella catena di approvvigionamento. Nessun’altra categoria di rischio operativo si evolve a questo ritmo o con un tale grado di imprevedibilità determinata da fattori esterni.

Ciò crea un fondamentale squilibrio nella governance. I cicli periodici di governance della sicurezza, che si tratti di aggiornamenti trimestrali del registro dei rischi, test di penetrazione annuali o revisioni programmate da parte del management, sono stati concepiti per un contesto in cui l’esposizione alla sicurezza cambiava al ritmo dell’evoluzione operativa dell’organizzazione stessa. In un contesto in cui il panorama delle minacce può mutare in modo significativo tra un ciclo di governance e l’altro, la governance periodica produce un ritardo sistematico tra l’esposizione attuale e la percezione che ne ha il modello di governance.

L’adozione del cloud è in continua espansione man mano che le organizzazioni adottano nuovi servizi e migrano i carichi di lavoro esistenti, creando nuove superfici di attacco e nuove dipendenze di accesso che il sistema di gestione della sicurezza delle informazioni (ISMS) deve governare in tempo reale anziché in occasione della successiva revisione programmata. Le integrazioni con terze parti moltiplicano le dipendenze operative e introducono un'esposizione informatica nella catena di fornitura che l’organizzazione si assume pur non controllando direttamente il livello di sicurezza della terza parte. La tecnologia operativa collega ambienti precedentemente isolati, creando vie di attacco tra sistemi digitali e fisici che non esistevano al momento della progettazione dell’ISMS. L’intelligenza artificiale introduce una nuova complessità nella governance, poiché le organizzazioni adottano strumenti le cui implicazioni in termini di sicurezza sono ancora in fase di comprensione in tutto il settore.

In questo contesto, la sicurezza informatica non può più funzionare efficacemente come un semplice livello statico di conformità. La governance informatica sta diventando governance operativa.

Perché le strutture tradizionali dei sistemi di gestione della sicurezza delle informazioni (ISMS) stanno raggiungendo i propri limiti

Molte organizzazioni continuano a utilizzare sistemi di gestione della sicurezza delle informazioni basati su cicli di governance che erano adeguati agli ambienti di sicurezza di dieci anni fa e che risultano sempre più disallineati rispetto a quelli odierni.

Gli audit di sicurezza vengono effettuati secondo programmi che presuppongono che lo stato di sicurezza tra un audit e l’altro sia sufficientemente stabile da rendere sufficiente una valutazione periodica. In un contesto in cui ogni giorno vengono scoperte nuove vulnerabilità e gli autori delle minacce cercano continuamente falle sfruttabili, l’ipotesi di stabilità tra un ciclo di audit e l’altro non è più valida. L’audit fornisce un quadro accurato dello stato di sicurezza nel giorno in cui viene condotto. Quando si svolge l’audit successivo, il panorama delle minacce, l’ambiente tecnologico e l’impronta operativa dell’organizzazione stessa sono già cambiati in modi che il modello di governance non ha colto.

Nella maggior parte delle organizzazioni, i registri dei rischi vengono aggiornati trimestralmente o con frequenza inferiore, generando valutazioni dei rischi che riflettono l’esposizione dell’organizzazione in un determinato momento piuttosto che la sua esposizione attuale. Un registro dei rischi che era accurato tre mesi fa potrebbe sottostimare in modo significativo l’esposizione attuale qualora fosse stata individuata una grave vulnerabilità in un’infrastruttura ampiamente utilizzata, qualora un fornitore terzo chiave avesse subito un incidente di sicurezza o qualora l’organizzazione avesse adottato nuovi servizi cloud che introducono una nuova superficie di attacco.

Le azioni correttive vengono monitorate indipendentemente dai processi di valutazione dei rischi, che dovrebbero essere costantemente alimentati dai loro risultati; ciò significa che il modello di governance non trae insegnamento in tempo reale dalle proprie attività correttive. La revisione da parte della direzione si limita a consolidare i dati storici, anziché sintetizzare le informazioni aggiornate sulle minacce per tradurle in decisioni strategiche in materia di sicurezza.

Nel frattempo, l’esposizione informatica si evolve continuamente al di sotto di tali livelli di governance. Il divario tra i controlli di sicurezza documentati e l’effettiva visibilità operativa in ambito informatico si allarga ogni giorno che il panorama delle minacce si evolve senza che il modello di governance venga aggiornato per riflettere tale evoluzione.

L'organizzazione gestisce la documentazione relativa alla sicurezza delle informazioni. Sta gradualmente perdendo il controllo delle operazioni informatiche.

Il vero cambiamento strategico alla base della norma ISO 27001

Il valore strategico futuro della norma ISO 27001 non risiede più principalmente nella dimostrazione della conformità in materia di sicurezza delle informazioni. La conformità rimarrà un requisito e, in molti settori, sta diventando uno standard contrattuale e normativo di base piuttosto che un fattore di differenziazione competitiva.

Il vero valore risiede sempre più nella capacità di coordinare in modo continuo e tempestivo l’intelligence operativa informatica a livello dell’intera organizzazione, in modo da individuare le vulnerabilità emergenti prima che queste possano causare incidenti di sicurezza, interruzioni operative o conseguenze normative.

Ciò modifica il ruolo della governance della sicurezza informatica in modo specifico rispetto alla natura del rischio informatico. A differenza dei rischi ambientali o di qualità, che hanno origine principalmente all’interno dei confini operativi dell’organizzazione, l’esposizione informatica è determinata da attori esterni che cercano attivamente di sfruttare le lacune di governance. Per gestire efficacemente tale esposizione è necessaria una capacità di intelligence in grado di rispondere in tempo reale al panorama delle minacce, piuttosto che un programma di conformità che si limiti a documentare l’esistenza dei controlli a intervalli periodici.

Quando i risultati relativi alla sicurezza si trasformano da incidenti isolati in indicatori operativi che ridefiniscono continuamente le priorità di rischio, l’organizzazione acquisisce la capacità di individuare modelli di esposizione emergenti prima che producano conseguenze. Un insieme di anomalie di accesso su più sistemi diventa un segnale rilevabile di compromissione delle credenziali, anziché una serie di eventi scollegati tra loro. Un modello ricorrente di incidenti di sicurezza presso i fornitori si configura come una tendenza di rischio nella catena di fornitura, anziché come un insieme di problemi indipendenti legati a terze parti.

Quando le azioni correttive diventano meccanismi di apprendimento organizzativo anziché semplici flussi di lavoro amministrativi, l’organizzazione rafforza la resilienza della propria governance della sicurezza con ogni problema risolto. Il Sistema di Gestione della Sicurezza delle Informazioni (ISMS) diventa progressivamente più efficace nell’anticipare le categorie di rischio a cui è più probabile che debba far fronte, anziché limitarsi a rispondere alle categorie che ha affrontato più di recente.

Quando la gestione del rischio diventa predittiva anziché descrittiva, l’organizzazione gestisce l’esposizione informatica attuale anziché quella registrata nell’ultimo ciclo di valutazione. Tale distinzione assume un’importanza sempre maggiore man mano che il ritmo di evoluzione delle minacce accelera.

L'intelligence operativa informatica richiede una governance coordinata

Questa trasformazione diventa possibile solo quando i processi di governance della sicurezza delle informazioni sono integrati a livello strutturale anziché coordinati periodicamente.

Quando i risultati degli audit influenzano in modo dinamico i livelli di esposizione all’interno della [Gestione dei rischi], le organizzazioni iniziano a identificare modelli informatici sistemici con molto maggiore anticipo rispetto a quanto consentito dai cicli di audit tradizionali. L’ISMS smette di generare prove periodiche di conformità e inizia a produrre informazioni di sicurezza continue che guidano le decisioni operative in tutta l’azienda, anziché limitarsi a confermare l’attività di governance all’interno della funzione di sicurezza.

Quando i flussi di lavoro correttivi gestiti tramite CAPA Management ne verificano continuamente l’efficacia anziché limitarsi a confermarne la chiusura amministrativa, l’apprendimento in materia di sicurezza informatica si rafforza in tutta l’azienda con effetti che si amplificano nel tempo. L’organizzazione sviluppa la propria capacità di governance della sicurezza con ogni problema risolto, anziché limitarsi a passare da una categoria all’altra di vulnerabilità ricorrenti sotto diverse etichette tecniche.

Quando le procedure disciplinate dal controllo dei documenti si evolvono continuamente di pari passo con l’evoluzione dell’esposizione operativa, anziché essere aggiornate attraverso cicli programmati di controllo dei documenti, le organizzazioni mantengono l’allineamento tra la documentazione relativa alla governance della sicurezza e la realtà operativa che essa è destinata a disciplinare. L’ISMS descrive i requisiti di sicurezza attuali anziché quelli storici.

A quel punto, l’ISMS smette di funzionare come un quadro documentale statico che attesta le attività di conformità svolte in passato. Diventa invece un sistema di gestione operativa coordinato che gestisce in modo continuo l’esecuzione, la supervisione e la resilienza informatica in tutta l’azienda, in risposta a un contesto di minacce che evolve più rapidamente di quanto qualsiasi ciclo periodico di governance possa tenere il passo.

La prossima evoluzione della governance informatica è di tipo predittivo

Storicamente, la maggior parte dei sistemi di gestione della sicurezza informatica funzionava in modo reattivo per impostazione predefinita, poiché il panorama delle minacce cambiava con una lentezza tale che individuare e reagire agli incidenti di sicurezza dopo che si erano verificati era sufficiente a garantire un livello di sicurezza adeguato.

La prossima versione della norma ISO 27001 presenta una struttura diversa, poiché affronta una realtà delle minacce sostanzialmente diversa.

Le organizzazioni che manterranno un’autentica maturità nella governance della sicurezza saranno quelle che svilupperanno la capacità di identificare segnali operativi deboli prima che si trasformino in vulnerabilità sfruttabili o in incidenti di sicurezza effettivi. Un cambiamento impercettibile nei modelli di accesso che suggerisca un uso improprio delle credenziali. Un deterioramento dello stato di sicurezza di un fornitore che crei un’esposizione della catena di approvvigionamento prima che si verifichi un incidente. L’adozione di un nuovo servizio cloud che introduce una superficie di attacco prima che l’ISMS sia stato aggiornato per gestirlo. Questi sono i segnali che la governance informatica predittiva è progettata per rilevare, e che risultano invisibili ai modelli di governance che operano su cicli di revisione periodici.

La governance integrata, l’analisi operativa e i flussi di lavoro coordinati consentono alle organizzazioni di individuare le vulnerabilità informatiche strutturali con molto maggiore anticipo rispetto ai cicli di audit tradizionali, collegando i segnali che attualmente giungono in processi di governance separati in un unico quadro continuo di intelligence sulla sicurezza. Il modello di governance diventa così in grado di rilevare i primi indicatori di un deterioramento dello stato di sicurezza, anziché essere strutturato per rispondere a incidenti confermati solo dopo che questi hanno già prodotto conseguenze operative.

È qui che l’intelligence operativa informatica acquista valore strategico. Non perché migliori la qualità dei rapporti sulla sicurezza, ma perché migliora la capacità dell’organizzazione di gestire l’esposizione a rischi che non ha ancora subito, piuttosto che gestire le conseguenze che ha già subito. In un contesto di minacce in cui il costo di una grave falla nella sicurezza può comportare contemporaneamente l’interruzione delle operazioni, sanzioni normative, perdita di clienti e danni alla reputazione, tale lungimiranza non è un’aspirazione di governance. È una necessità strategica.

Perché i team dirigenziali stanno rivalutando la governance della sicurezza delle informazioni

I vertici aziendali riconoscono sempre più spesso che le gravi interruzioni causate da attacchi informatici raramente derivano da una singola violazione isolata, che un Sistema di Gestione della Sicurezza delle Informazioni (ISMS) ben gestito avrebbe dovuto individuare e prevenire.

Gli incidenti informatici più gravi si sviluppano gradualmente attraverso segnali frammentati che rimangono scollegati tra loro per un periodo sufficientemente lungo da impedire che il loro significato complessivo venga riconosciuto fino a quando la violazione non si è già verificata. Un fornitore introduce un’esposizione informatica nascosta nella catena di approvvigionamento attraverso un componente software compromesso o un’integrazione configurata in modo errato, che crea una via d’accesso all’ambiente dell’organizzazione stessa. I cambiamenti operativi generano nuove vulnerabilità di accesso man mano che vengono implementati nuovi sistemi, viene assunto nuovo personale e vengono create nuove integrazioni senza che l’ISMS venga aggiornato per gestire la nuova superficie di attacco. Le azioni correttive falliscono ripetutamente nel ridurre l’esposizione strutturale, non perché le singole azioni siano inadeguate, ma perché il modello di governance non ricollega i risultati delle azioni correttive alla valutazione del rischio, che dovrebbe essere costantemente aggiornata sulla base di tali risultati. I sistemi distribuiti si evolvono più rapidamente di quanto le strutture di governance riescano ad adattarsi, poiché le organizzazioni adottano servizi cloud, piattaforme SaaS e integrazioni di terze parti a un ritmo che i processi di controllo dei documenti e di gestione delle modifiche che regolano tali cambiamenti non riescono a tenere.

Allo stesso tempo, la pressione esterna in materia di responsabilità sulla governance informatica a livello dirigenziale sta aumentando a un ritmo che non ha eguali in altre discipline di governance. I quadri normativi in diverse giurisdizioni, tra cui la direttiva NIS2 in Europa e i requisiti di informativa informatica della SEC, in continua espansione, negli Stati Uniti, stanno estendendo la responsabilità personale dei dirigenti in relazione alle carenze nella governance della sicurezza delle informazioni. Gli investitori istituzionali stanno integrando la posizione di rischio informatico nelle valutazioni del rischio aziendale. I clienti nei settori regolamentati richiedono una comprovata capacità di governance della sicurezza, piuttosto che il semplice possesso di una certificazione, come condizione per l’instaurazione di rapporti commerciali.

Ecco perché le organizzazioni mature considerano sempre più spesso la norma ISO 27001 non come un obbligo in materia di sicurezza, ma come una capacità strategica di governance operativa a sostegno della resilienza aziendale stessa, ed ecco perché tale riposizionamento sta avvenendo più rapidamente nel campo della sicurezza delle informazioni che in qualsiasi altra disciplina di governance.

Dalla conformità in materia di sicurezza delle informazioni alla cyber intelligence operativa

La norma ISO 27001 non sta perdendo di rilevanza, dato che il panorama delle minacce diventa sempre più sofisticato e gli ambienti operativi sempre più complessi.

Sta assumendo un’importanza strategica sempre maggiore proprio perché gli ambienti che deve governare sono più complessi, più interconnessi e più esposti a cambiamenti dinamici rispetto a quanto il modello di conformità originario dello standard fosse stato progettato per gestire.

Le organizzazioni che continuano a considerare la norma ISO 27001 principalmente come un quadro di conformità in materia di sicurezza si troveranno sempre più spesso a gestire un livello di sicurezza adeguato a un contesto di minacce ormai superato, mentre la loro effettiva esposizione alle minacce informatiche evolve in modi che il modello di governance non è in grado di rilevare con sufficiente rapidità per prevenire gravi fallimenti. Con l’accelerazione dell’adozione del cloud, con l’introduzione di nuove complessità di sicurezza da parte dell’intelligenza artificiale e con il continuo ampliamento delle aspettative normative, il divario tra un ISMS orientato alla conformità e la realtà operativa che dovrebbe governare continuerà ad allargarsi.

Le organizzazioni che trasformeranno la norma ISO 27001 in un sistema coordinato di intelligence operativa informatica otterranno qualcosa di ben più prezioso della semplice certificazione. Otterranno una visibilità continua e in tempo reale sull’evoluzione dell’esposizione informatica nel proprio ambiente operativo e di minaccia, la capacità di intervenire sui rischi di sicurezza emergenti prima che questi generino incidenti o conseguenze normative, nonché un’architettura di governance che si rafforza anziché vacillare man mano che la complessità operativa e la sofisticazione delle minacce aumentano contemporaneamente.

In contesti aziendali sempre più interconnessi, tale intelligence operativa informatica continua sta rapidamente diventando uno dei vantaggi più importanti in termini di governance che un’organizzazione possa sviluppare. Non perché migliori la preparazione alle verifiche di audit, ma perché potenzia la capacità dell’organizzazione di gestire l’esposizione alla sicurezza, che evolve più rapidamente di qualsiasi altra categoria di rischio operativo a cui è soggetta.