L’IA sta accelerando la velocità, la portata e la sofisticazione degli attacchi informatici, rendendo più difficile per le organizzazioni affidarsi ai soli processi Human-in-the-Loop (HITL) o ai controlli perimetrali.
Questo cambiamento impone un cambio di mentalità. La cyber resilience non può più essere trattata come il problema di un singolo prodotto o di una singola piattaforma, né come una semplice questione di costruire un muro più solido attorno all’organizzazione. Prevenzione e detection contano ancora, ma da sole non sono più sufficienti. La domanda cruciale è: cosa succede quando queste protezioni vengono aggirate?
Ecco perché la cyber resilienza sta diventando l’approccio strategico più critico. Ad esempio, il NIST Framework, in particolare il Cybersecurity Framework (CSF) 2.0, è un insieme di standard e best practice molto apprezzato, sviluppato dal National Institute of Standards and Technology. Esso promuove un approccio in grado di governare, identificare, proteggere, rilevare, rispondere ed eseguire il recovery all’interno di un unico modello operativo. È molto difficile raggiungere questo obiettivo con un’unica piattaforma onnicomprensiva. Realizzare questa visione dipende da una rete di provider integrati e best-of-breed, ciascuno dei quali apporta capacità specialistiche lungo tutto lo stack e condivide segnali in modi che migliorano il processo decisionale e velocizzano la risposta.
In pratica, ciò significa partire da una base di dati sicura. Se l’ambiente sottostante è debole, ogni altro controllo diventa meno efficace. Una base resiliente comprende solidi controlli di identità, operazioni guidate da policy, controlli di compliance che riducono l’errore umano e recovery point protetti, immutabili e indelebili. Deve essere progettata in modo che le copie protette non possano essere manomesse, anche se un attaccante ottiene accessi con vantaggi elevati.
Da qui, la resilienza dipende da una detection connessa. Gli strumenti di Security Orchestration, Automation and Response (SOAR) restano essenziali perché separano il segnale dal rumore e identificano le attività malevole, consentendo di intervenire rapidamente. Il loro valore aumenta in modo significativo quando sono integrati con l’ambiente dei dati stesso. Quando la telemetria è condivisa nell’intero ecosistema, le organizzazioni possono correlare le minacce più velocemente e attivare automaticamente i recovery point protetti quando compaiono anomalie.
Ciononostante, le aziende dovrebbero partire dal presupposto che alcuni attacchi andranno a segno. Questa è ormai l’assunzione di base. In questo scenario, la misura che definisce la resilienza non è se una violazione possa essere fermata o meno, ma quanto rapidamente i servizi critici possano essere ripristinati in modo sicuro e con fiducia dopo una violazione.
Il ripristino deve quindi essere trattato come una capacità di business fondamentale, non come un processo IT di back-end. Un ambiente di recovery isolato, mantenuto fuori dalla portata degli attaccanti, offre alle organizzazioni un porto sicuro da cui poter ripristinare. È cruciale che le organizzazioni siano preparate. Ciò include i servizi critici che sostengono il business, insieme ai dati e all’infrastruttura che li supportano, ovvero essenzialmente la Minimum Viable Company. Disporre di un piano di ripristino testato è essenziale: questi test dovrebbero essere un’attività regolare, affinché tutti sappiano cosa fare e quale ruolo svolgere quando i livelli di stress sono elevati. Questi passaggi possono ridurre la probabilità di un incidente grave con un impatto prolungato sul business.
È anche per questo che la velocità di ripristino è diventata un benchmark così importante. In un contesto in cui le tempistiche degli attacchi si comprimono, ripristinare le operazioni in ore anziché in giorni o settimane può determinare se la minaccia resti contenibile o diventi esistenziale. Le imprese meglio preparate saranno quelle che avranno progettato un ripristino rapido e verificato prima di averne bisogno.
L’implicazione per i leader è chiara. La cyber resilience non consiste nello scommettere su un’unica piattaforma per fermare ogni minaccia. Consiste nell’orchestrare un ecosistema integrato di capacità di sicurezza, detection, governance e recovery in grado di operare insieme sotto pressione. Perché nell’era dell’IA la domanda non è se le difese verranno messe alla prova, ma se l’organizzazione sarà in grado di ripristinare in modo abbastanza rapido, pulito e sicuro quando ciò accadrà.
A cura di Patrick Smith, CTO EMEA, Everpure
