Ogni organizzazione ama acquistare nuovi strumenti. XDR. EDR. SIEM. UEBA. ASM. SASE. Lancia abbastanza acronimi su un problema, e forse sparisce.
Ma non è così che funziona la sicurezza.
Si possono impilare dieci strumenti uno sull'altro; ma se nessuno monitora gli alert, affina le detection o risponde ai segnali, si è acquistato soltanto costoso shelfware con dashboard lampeggianti.
La domanda più difficile che un CISO possa porre, al proprio team e a qualsiasi vendor, è questa:“How do you know you haven’t already been breached?”
Se non si riesce a rispondere, il numero di strumenti posseduti è irrilevante.
Gli attaccanti non si preoccupano del logo sul vostro security stack. Si preoccupano di:
- i vostri punti ciechi,
- le vostre configurazioni errate,
- la vostra rilevazione lenta,
- la vostra mancanza di visibilità,
- il vostro SOC sotto organico,
- i vostri analisti non formati.
Un programma di sicurezza costruito su strumenti senza persone e processi è un programma di sicurezza costruito sull'illusione.
Vediamo cosa conta davvero.
1. Uno Strumento che Non Si Monitora è uno Strumento che Non Si Possiede
Durante le valutazioni di terze parti, i vendor amano vantarsi: “We have firewalls.” “We have antivirus.” “We have EDR.”
Ottimo; ma chi li monitora? Chi fa il triage degli alert? Chi investiga le anomalie? Chi valida le detection? Chi cerca gli intrusi già presenti nella rete?
Uno strumento non è un controllo. Strumento + processo + persona formata = un controllo.
Se non si utilizzano bene gli strumenti esistenti, aggiungerne altri non risolverà il problema. Darà solo agli attaccanti altre superfici non monitorate in cui nascondersi.
2. L'Unica Risposta Valida: Detection a Strati + Risposta Rapida
Quando i vendor mi dicono, “We have firewalls and AV ; we’re good,” the assessment stops right there.
Se la vostra strategia di sicurezza sembra risalire al 2008, non c'è altro da discutere.
La risposta corretta suona così:
- Abbiamo controlli Layer 3 e Layer 7.
- Abbiamo analytics basate sul comportamento.
- Utilizziamo anomaly detection basata su ML.
- Eseguiamo monitoraggio continuo e affinamento degli alert.
- Verifichiamo le detection attraverso processi del blue team.
- Disponiamo di containment automatizzato e manuale.
- Testiamo regolarmente i piani di risposta agli incidenti.
- Partiamo dal presupposto di una violazione, non di una condizione di sicurezza.
Questa è una postura matura. Non perfetta; ma realistica.
Non si bloccherà mai ogni attacco. Ma se si rileva rapidamente e si risponde con decisione, è possibile sopravvivere a qualsiasi cosa, tranne che a un'offensiva statale su larga scala.
3. Il Vero Fattore Differenziante Non è la Tecnologia; è il Team
Ecco la verità che i CISO imparano presto:Formare un analista è più economico e più efficace che acquistare un altro strumento.
Un professionista ben formato è in grado di:
- correlare segnali tra sistemi diversi,
- riconoscere anomalie sottili,
- mettere in discussione le assunzioni,
- seguire tracce che l'automazione non coglie,
- interpretare i comportamenti,
- escalare basandosi sull'intuizione e sul riconoscimento di schemi.
L'AI e il ML sono potenti. Ma le persone conservano la capacità di rilevazione più importante di tutte: l'istinto.
Uno strumento può generare un alert. Solo un analista può capire.
4. Non Si Possono Fronteggiare Minacce Avanzate con Competenze Junior
Se si vuole sopravvivere ad avversari sofisticati, servono:
- difensori esperti,
- competenze tecniche approfondite,
- capacità di threat hunting,
- competenze forensi,
- talento nella detection engineering,
- analisti che conoscono il proprio ambiente a fondo.
I gruppi APT non portano stagisti. Perché dovrebbe farlo la vostra organizzazione?
Se gli attaccanti vi prendono di mira, volete un team così capace che l'avversario debba portarsi il pranzo al sacco e restare tutto il giorno solo per fare progressi.
Gli strumenti non intimidiscono gli attaccanti. I difensori d'élite sì.
5. Persone + Processo + Strumenti = Sicurezza
Non gli strumenti da soli. Non le persone da sole. Non il processo da solo.
La sicurezza funziona quando si combinano:
- strumenti configurati e affinati,
- playbook di risposta documentati,
- detection engineering continua,
- un team formato per reagire in modo immediato e intelligente.
È così che si risponde alla domanda:“How do we know we haven’t already been compromised?”
Perché state guardando. Attivamente. Senza sosta. Professionalmente.
Considerazione Finale
Acquistare un nuovo strumento è facile. Formare un analista di livello mondiale è difficile.
Il primo produce dashboard. Il secondo produce sicurezza.
Se si vuole resilienza, non teatro, investite prima nelle persone. I migliori difensori rendono potenti anche gli strumenti mediocri. Ma i migliori strumenti del mondo non valgono nulla senza professionisti qualificati che li utilizzino.
Gli strumenti supportano la strategia.Le persone la eseguono.E gli attaccanti temono le seconde molto più dei primi.
Se volete costruire un team di sicurezza capace di rilevare, interpretare e bloccare attaccanti reali, è esattamente quello che insegniamo nei Cyber Academy Lead Implementer Programs Partecipate alla prossima sessione e trasformate i vostri strumenti in una capacità reale.