Forensic Readiness: cos’è, perché adottarla e i vantaggi
Il recente regolamento europeo in materia di trattamento dati (GDPR) ha introdotto maggiori responsabilità nella gestione dei data breach. Implementare efficacemente il concetto di Forensic Readiness in azienda significa essere pronti a fronteggiare un incidente informatico, sia a causa di un attacco hacker, sia in caso di white collar crime grazie ad una attività preventiva di individuazione e raccolta di informazioni utili.
DEFENSIS fornisce consulenza nell’implementazione di misure Forensic Readiness grazie all’esperienza nel gestire investigazioni interne che coinvolgono dispositivi digitali, CTP e perizie informatiche. Per le aziende inoltre ha sviluppato www.wozon.it, un tool 100% italiano che permette di ottenere in modo rapido ed economico una tutela del patrimonio aziendale grazie all’implementazione di un sistema forense di raccolta delle informazioni.
Le aziende sono pronte ad affrontare un incidente informatico? Secondo quanto emerge dal Security Report 2018, condotto su scala mondiale e pubblicato da Check Point, solo il 3% delle organizzazioni si è dotata di un piano di forensic readiness, cioè di procedure organizzative idonee a massimizzare la capacità di raccogliere e usare digital evidence utili all’indagine forense, sia in caso di contenzioso promosso dall’azienda, come ad esempio il furto di dati, sia in caso di risposta all’autorità giudiziaria in caso di data breach.
Lo stesso studio mette in evidenza la preoccupazione di oltre il 77% dei Chief Information Security Officer, secondo cui le proprie organizzazioni aziendali sono dotate di infrastrutture di sicurezza ormai superate e incapaci di gestire data breach e incidenti informatici. Il dato è confermato anche dal rapporto commissionato da Kaspersky Lab “State of Industrial Cybercecurity Report 2018” e sottolinea che alla maggiore consapevolezza da parte delle aziende non corrisponde l’adozione di best practice tese a migliore la sicurezza.
Cosa prevede la Forensic Readiness
Possiamo procedere per step, secondo tre linee di azione.
La prima, Forensic Readiness Policy, secondo cui è necessario delineare obiettivi, ruoli e responsabilità, procedure di implementazione in azienda, gli ambiti di applicazione, i log necessari da rccogliere, la normativa di riferimento e la formazione del personale.
La seconda, Forensic Readiness Plan, per l’assegnazione di ruoli e responsabilità; l’individuazione del team di specialisti (interni ed esterni) e le risorse finanziarie necessarie, ma anche gli apparati, i software e lo storage; la definizione del task flow, il test dei sistemi e la formazione avanzata per alcuni gruppi dell’organizzazione aziendale maggiormente coinvolti.
La terza, Forensic Readiness Procedure, che illustra le modalità di raccolta delle evidenze (Live, Post mortem, Network, etc…), le procedure di analisi, reporting e recovering.
Perché adottare un piano Forensic Readiness?
La Forensic Readiness non è solo la risposta agli incidenti informatici ma è la prevenzione degli stessi. Oggi più che mai, nell’era degli attacchi informatici di diventati una commodity, le aziende devono prevedere, seppur con minime probabilità, la possibilità che questi avvengano.
Con la Forensic Readiness l’intera organizzazione avvia una fase di apprendimento e di raccolta di informazioni nel tempo grazie alle quali è in grado di rilevare le minacce, interne ed esterne, che tentano di cancellare prove delle proprie attività, rimanere celate per lungo tempo per sfruttare o in attesa di abbattere i sistemi dell’azienda vittima.
Quali sono i rischi per la mancata adozione un piano di Forensic Readiness?
A seguito di un incidente informatico, o data breach, le aziende possono riscontrare un danno economico per il blocco della produzione, un danno reputazionale, azioni legali per incapacità di soddisfare il livello di servizio contrattualizzato (SLA) e per le azioni inappropriate adottate nella conduzione dei servizi erogati, difficoltà nella comunicazione con i clienti.
La mancata predisposizione di azioni di corporate security necessari a gestire gli attacchi informatici e gli incidenti può comportare l’impossibilità di reagire al furto, modifica o distruzione dei dati; il blocco dei sistemi di erogazione dei propri servizi o l’impossibilità di avere accesso al controllo amministrativo dei sistemi informatici e l’incapacità di ripristinarne l’accesso.
Quali, invece, i vantaggi determinati dall’adozione di un piano di Forensic Readiness?
Aver delineato le tre linee d’azione precedentemente esposte consente alla unità di crisi di:
determinare rapidamente il vettore di attacco;
comprendere e isolare le relative informazioni e ridurre al minimo le risorse da impiegare nell’indagine e nella risoluzione della criticità;
contenere i danni e ripristinare i sistemi rapidamente, riducendo al minimo il tempo di inattività;