Per una migliore comprensione degli incidenti di sicurezza
Uno dei problemi più comuni e critici che affliggono chi si occupa di sicurezza informatica è la mancanza di dati relativi agli incidenti. Per favorire una comprensione preventiva dei rischi di sicurezza informatica nel settore, Verizon sta lanciando il VERIS community website, progettato per raccogliere e condividere informazioni sugli incidenti di sicurezza riportati in modo anonimo e su base volontaria dalle organizzazioni di tutto il mondo che aderiscono alla community.
Organizzazioni e singoli utenti possono condividere i loro dati grazie a una nuova applicazione online che permette di raccogliere, classificare, analizzare e confrontare informazioni relative a incidenti di sicurezza. Tutti coloro che inviano dati riceveranno un mini “Data Breach Investigations Report” personalizzato che analizza gli incidenti e li mette a confronto con eventi simili accaduti ad altre organizzazioni che partecipano al progetto.
Il VERIS website consentirà anche un accesso facilitato ad altri strumenti quali VERIS Wiki, dove sono disponibili documenti relativi a esempi di incidenti, white paper, user guide, report e link al “2010 Data Breach Investigations Report.”
“Con il progetto VERIS Verizon condivide pubblicamente i dati che abbiamo raccolto nel corso degli anni con la nostra attività di analisi dei casi di violazioni dei dati” ha commentato Peter Tippett, Vice President of Technology and Innovation di Verizon Business. “Condividiamo i dati complessivi – e incoraggiamo altre aziende a pubblicare in modo anonimo i loro dati relativi alla sicurezza – per favorire un maggior dialogo e capire meglio le dinamiche degli incidenti di sicurezza. La condivisione collettiva di casi che riguardano la sicurezza da parte di chi lavora sul campo ci offre l’opportunità di cambiare il modo in cui tutti noi gestiamo il rischio.”
Il progetto VERIS è stato lanciato in marzo quando Verizon Business ha reso noto pubblicamente il modello di ricerca utilizzato per la realizzazione dei “Data Breach Investigations Report.” Il modello, che da quel momento è passato al vaglio della comunità di chi si occupa di sicurezza, si è rivelato di importanza fondamentale per l’introduzione di un linguaggio comune e di una procedura strutturata e ripetibile che consenta alle organizzazioni di classificare in modo oggettivo gli incidenti di sicurezza.
Avere un linguaggio comune è fondamentale, in quanto al momento non esiste un linguaggio universale che descriva tali incidenti o uno standard di settore accettato per lo sviluppo di un sistema di misura del rischio.
Partecipare a VERIS è semplice e pratico
Le organizzazioni che partecipano possono ottenere grossi vantaggi dall’applicazione online VERIS, grazie alla quale saranno in grado di generare regolarmente rapporti sugli incidenti che possono essere distribuiti e analizzati all’interno dell’organizzazione, pur mantenendo la privacy.
Per esempio le aziende che partecipano potranno sapere se l’incidente capitato è un evento raro o qualcosa di comune anche ad altri e tale informazione può aiutare le aziende a stabilire un metodo di azione per prevenire eventi simili in futuro.
Le organizzazioni che partecipano al progetto devono semplicemente compilare il modulo online, che prevede le seguenti aree:
• Dati demografici – Il partecipante descrive (ma non identifica) l’ente che ha subito l’incidente per consentire un’analisi comparata
• Classificazione dell’incidente – Si descrive il ruolo dell’agente di minaccia, la sua azione e l’impatto sulla struttura informatica.
• Discovery e mitigation: Si descrivono gli eventi immediatamente successivi all’incidente oltre alle lezioni apprese dalla procedura di risposta.
• Classificazione dell’impatto: Si dà una descrizione e si valutano le conseguenze dell’incidente sull’organizzazione colpita.
Questo progetto rappresenta uno sforzo congiunto di Verizon RISK Team e ICSA Labs, un reparto indipendente di Verizon Business che effettua test di sicurezza e certificazioni. Per oltre vent’anni ICSA Labs ha promosso la condivisione dei dati e la collaborazione con il settore della sicurezza. Le strutture e la rete di ICSA Labs saranno le fondamenta del progetto VERIS.
“L’applicazione VERIS è un modo intelligente promosso da Verizon Business per raccogliere i dati relativi alle violazioni, e il feedback che riesce a restituire alla security community lo rende ancora più prezioso”, ha dichiarato Wendy Nather, Senior Security Analyst, The 451 Group.
