La Cyber Resilience, secondo ReeVo, non è solo una risposta a un attacco, ma un processo che inizia molto prima. La continuità operativa, spiega Luigi D’Amato, Direttore BU Cybersecurity di Security Lab SA, si decide in anticipo, non quando l’attacco arriva. Il modello di Cyber Resilience Lifecycle di ReeVo si basa su cinque fasi: Know, Prevent, Detect, Respond e Assess, attraversate da una costante attenzione alla compliance. Questo approccio mira a garantire che un’azienda non solo si difenda, ma si prepari attivamente al rischio.
Backup non basta: la preparazione è chiave
Un backup non è automaticamente una garanzia di ripristino, precisa D’Amato. Deve essere protetto, isolato, verificato e soprattutto testato. Occorre sapere quale backup si ripristina e se è davvero privo di ransomware. Scoprirlo inutilizzabile nel mezzo di un incidente può avere conseguenze gravi. L’azienda colpita da un ransomware ha potuto contare su un server appena sostituito, con copie datate, scollegato a livello galvanico. Per fortuna, questa misura ha salvato la situazione.
La preparazione non si limita a tecnologie, ma include anche la formazione e la gestione delle procedure. Le esercitazioni non servono solo a verificare la tecnologia, ma a preparare le persone a decidere sotto pressione. In una crisi informatica, sapere chi decide, quali sistemi isolare e quali servizi ripristinare per primi fa la differenza tra un incidente gestibile e un’interruzione prolungata. La responsabilità e le procedure di ripristino devono essere definite e testate prima dell’incidente, non durante l’emergenza.
Il nemico mira ai backup
Il ransomware punta subito alle share di backup, come osserva D’Amato, che ha osservato questo comportamento in diversi casi, incluso LockBit. Con il backup cifrato, il potere degli hacker sull’azienda cresce. Per questo motivo, è necessario segmentare la rete e avere backup immutabili. La cybersecurity è un cerchio continuo, nessuna protezione pone al riparo al cento per cento. Il modello di Cyber Resilience Lifecycle di ReeVo si basa su un ciclo che si ripete nel tempo. La sicurezza di un’azienda non si certifica una volta per tutte, ma si governa nel tempo. La fase Know mappa asset critici, vulnerabilità e superfici d’attacco, per capire dove investire. La fase Prevent riduce la probabilità di compromissione con tecnologie, policy e formazione.
Il tempo decide molto: occorre riconoscere l’attacco con la massima rapidità per opporgli la contromisura corretta. Gli zero day sono rari; la maggior parte delle vulnerabilità sfruttate sono CVE note da tempo. Per questo, la fase Detect si regge su un monitoraggio continuo, con vulnerability assessment che indicano ogni giorno cosa correggere. La fase Respond gestisce l’attacco per contenerne l’impatto e garantire la continuità. Le due fasi sono presidiate dal SOC di ReeVo, attivo 24 ore su 24 e certificato ISO 27001. La fase Assess chiude il cerchio e lo riapre: analizzare l’accaduto rafforza le difese.
