Come vendere la sicurezza ai C-Level Un ebook per preparare la tua tattica e ottenere il budget per vincere nel Campionato della Sicurezza.

Transcript

1 Come vendere la sicurezza ai C-Level Un ebook per preparare la tua tattica e ottenere il budget per vincere nel Campionato della Sicurezza Infosec

2 Serve che tutta la squadra ti segua se vuoi farla funzionare al meglio. Ma qualche volta gli IT Manager possono sentirsi soli in difesa. Pensiamo alla sicurezza di rete. Hai messo in piedi la migliore difesa possibile, ma ora hai bisogno di più soldi, strumenti e supporto. Ecco che entra in gioco questo ebook. Ti accompagneremo attraverso i passi che devi compiere per analizzare la tua situazione, mettere insieme una tattica, e presentarla con successo ai C-level. E poiché non sempre si vince alla prima gara, ti forniremo anche un piano B. Partiamo! My BIG Security Plan 2

3 Step 1. Analisi della situazione Prima che tu esca dagli spogliatoi, devi conoscere chi è il tuo avversario. Un analisi dell impatto sul business ti aiuta a comprendere cosa è importante per il buon funzionamento della tua azienda, e quindi cosa potrebbe essere a rischio. Ebook Checklist 4 Parla con i responsabili di reparto. Di quali risorse di rete hanno bisogno per assolvere ai loro obiettivi? 4 Qual è l impatto se una Divisione perde risorse di rete? 4 Quali sono i costi fissi (costi attuali o perdite di fatturato) se i sistemi critici vengono hackerati? 4 Stima anche i costi variabili (ripercussioni sulla reputazione, brand e soddisfazione del cliente). 4 Cogli questa opportunità per spiegare i tuoi piani di sicurezza e ottenere consenso. 3

4 Step 2. Training Day Hai stabilito qual è il rischio se la tua azienda perde l accesso a sistemi critici a causa di un indicente di sicurezza. Ora è tempo per un audit della sicurezza per cercare le vulnerabilità. Puoi farlo da solo o affidarti ad esperti che ti possano aiutare. Playbook Checklist 4 Cerca società esterne e strumenti online per effettuare un security audit. 4 Crea una policy per la sicurezza informatica: deve regolare ogni aspetto, da quanto spesso le password dovrebbero essere cambiate a come i dipendenti posso accedereremotamente alle risorse aziendali. 4 Ottieni l approvazione di questa policy da altri Dipartimenti così che possano proattivamente aiutare a proteggere gli asset aziendali. 4 Rivedi e aggiorna le policy annualmente, includendo la sicurezza informatica, gli NDA, le AUP, ecc. 4 Mantieni in funzione l azienda. Ottieni l approvazione prima di fare qualsiasi intervento su una problematica. 4 Pianifica come intendi convertire i risultati del tuo audit in informazioni comprensibili e utili per agire. 4

5 Mantenersi aggiornati Resta aggiornato sui rischi e le possibili soluzioni. Segui forum e report sulla sicurezza, e consultali regolarmente. Come trovare risorse di audit: 4 Parla con il tuo auditor esterno su come rivedere la tua sicurezza informatica. 4 Ottieni qualche nome dalle community di sicurezza e dagli attuali partner tecnologici. 4 Chiedi a persone tecniche e sui siti di social networking come LinkedIn. 4 Ricerca online servizi di valutazione della vulnerabilità, servizi di test di penetrazione, rilevamento degli incidenti e servizi di risposta, o gestione dell esposizione alle minacce. InformationWeek s DarkReading Internet Storm Center KrebsonSecurity krebsonsecurity.com Naked Security Reading Room Schneier on Security WatchGuard Security Center 5

6 Step 3. Continua la tua partita Sottoponi il tuo programma di sicurezza a scansioni. Anche i migliori programmi di sicurezza presentano problemi, quindi se non trovate nulla, c è una buona probabilità che qualcosa sia sbagliato. Ebook Checklist 4 Fai una ricerca. Leggi e parla con gli esperti così da sapere quale genere di strumenti di scansione hai bisogno. 4 Prima di eseguire qualsiasi scansione, ottieni prima l approvazione. 4 Assicurati di conoscere gli strumenti e quali effetti potrebbero avere sul business. 4 Analizza le dimensioni della rete e stima il tempo richiesto per la sua scansione. 4 Esegui le scansioni, schedulando il tempo di manutenzione della rete se necessario. 6

7 Esercizi per l allenamento Strumenti di scansione della sicurezza open source e di alta qualità sono ampiamente disponibili online gratuitamente. Inizia con uno strumento di uso generale e passa a scansioni specialistiche in base alle necessità. Strumenti generalisti NMAP è un mappatore di rete e un software per il fingerprinting OpenVAS è uno scanner delle vulnerabilità Strumenti specialistici Zed Attack Proxy (ZAP) è uno strumento per trovare vulnerabilità nelle applicazioni web Sqlmap è uno strumento di test di penetrazione che automatizza il processo di rilevamento degli attacchi SQL injection 7

8 Step 4. Cartellino Giallo Ora che hai scoperto dove risiedono i problemi, è tempo di risolverli. Le decisioni su cosa fare (o non fare) dovrebbero basarsi sulla gravità della vulnerabilità, la possibilità che questa venga sfruttata, e l esposizione che potrebbe causare. Ebook Checklist 4 Rivedi i report del tuo audit e quelli di scansione. Prioritarizza i problemi basandoti sull importanza dell asset e la probabilità che il vettore dell attacco venga sfruttato. 4 Usa la tua analisi dell impatto sul business per prioritarizzare i rischi in modo appropriato. Una vulnerabilità elevata in un sito di prova potrebbe essere meno importante che un rischio moderato in un sistema critico. 4 Identifica quali elementi richiedono meno sforzi o risorse per mitigarli. 4 Sviluppa un piano per rimediare insieme alle persone interessate partendo dall analisi di impatto sul business. 8

9 Step 5. Concentrati e tira fuori la grinta E tempo di mettere in pratica ciò su cui ti sei allenato. Fare una presentazione ai C-Level può sembrare come disputare la Champions League, ma questo è il tuo terreno di gioco. Se il Management non comprende i rischi, il tuo compito è quello di educarli. Ebook Checklist 4 Riconosci le problematiche di sicurezza che stai riportando. 4 Presenta i rischi in termini che il Management possa comprendere e che sono specifici del business. 4 Non usare statistiche fuorvianti come tattica per incutere paura. 4 Sii trasparente su ciò che hai già fatto. 4 Spiega come hai esaurito le attuali risorse e cosa ti serve ora. 4 Identifica chi ti può supportare dai meeting con i manager delle varie business unit. 4 Sii ripetitivo finché non ottieni il supporto di cui hai bisogno. Quel che abbiamo non funziona. Dobbiamo risolvere il problema ora. Ho un piano! 9

10 Report e Statistiche Aggiorna e distribuisci regolarmente report che includano un breve sommario focalizzato sulle esigenze dell azienda. Consigli per avere successo 4 Non produrre report grezzi. Contestualizza per aiutare i manager a comprendere le tue decisioni 4 Fai presente i requisiti di sicurezza a cui occorre attenersi sulla base delle leggi e regolamentazioni vigenti. 4 Crea report specifici per ciascuna business unit Documenta il processo Spiega ogni rischio Realizza audit Se il rischio è accettabile Quando sono stati effettuati Come mitigarlo Partecipazione di stakeholder Cosa accadrà se non lo fai Passi per rimediare Costi e sforzi stimati 10

11 Step 6. Il campionato non è finito finchè non è concluso Ebook Checklist 4 Mantieni aggiornati i tuoi report così sarai preparato quando vieni chiamato in causa. 4 Usa strumenti gratuiti e rimedia ad ogni problematica che puoi. 4 Aggiungi azioni di rimedio ai tuoi report distribuiti regolarmente. 4 Si pronto a mostrare i progressi dalla tua ultima presentazione. 4 Se non puoi risolvere un problema, elenca le opzioni: accettare il rischio, assegnare risorse, o mettere gli asset a rischio offline. La sicurezza è importante, ma il tuo C-Level deve bilanciare iniziative di business per competere, sfide e costi. Non puoi ottenere tutto ciò che chiedi subito. Sii preparato. 11

12 Step 7. Dai il massimo e gioca le tue carte migliori Una volta che sei pronto per implementare nuovi servizi di sicurezza, assicurati che il tuo team sia ben equipaggiato per la sfida. WatchGuard può aiutarti con una suite completa di prodotti con prestazioni al massimo per rispondere alle esigenze di aziende di ogni dimensione. XTM 2520 Grandi enterprise e data center XTM 800 & 1500 Series Grandi enterprise distribuite Firebox M400 & M500 Medie aziende ed enterprise distribuite Firebox M440 Opzione multi porte XTM 5 Series Medie aziende ed enterprise distribuite XTM 2 & 3 Series Small office, filiali e hotspot wireless Firebox T10 Small office/home office e negozi *XTM 2520: World s fastest, greenest 1 rack unit UTM Firewall 12

13 WatchGuard Italia Viale Cesare Giulio Viola, Roma Tel: About Watchguard WatchGuard Technologies, Inc. è leader globale di soluzioni di sicurezza integrate e multifunzione che combinano in modo intelligente hardware, funzionalità di sicurezza Best-of-Breed e strumenti di gestione basati su policy. WatchGuard fornisce una protezione facile da usare ma potente a centinaia di migliaia di aziende in tutto il mondo. I prodotti WatchGuard sono supportati dal LiveSecurity Service, un programma innovativo di supporto. La sede centrale di WatchGuard si trova a Seattle, Washington, mentre uffici sono presenti in America del Nord, America Latina, Europa e Asia. Per maggiori informazioni visitare il sito Nessuna garanzia espressa o implicita è fornita dal presente documento. Tutte le specifiche sono soggette a cambiamenti e qualsiasi funzionalità, feature o prodotto futuro sarà fornito se e quando disponibile watchguard Technologies, Inc. Tutti i diritti riservati. WatchGuard, il logo WatchGuard, Fireware, e LiveSecurity sono marchi registrati di WatchGuard Technologies, Inc. Tutti gli altri marchi sono di proprietà dei loro rispettivi proprietari. 13