Tutti i 100 indicatori / Categoria 7.x: Risposta allo stress
Indicatore 7.7
Misura la vulnerabilità al restringimento attentivo sotto stress che causa ai team di sicurezza di perdere indicatori di sicurezza periferici critici mentre si concentrano esclusivamente su minacce immediate evidenti
La visione a tunnel indotta da stress rappresenta una risposta neurobiologica fondamentale in cui lo stress acuto o cronico restringe l'elaborazione cognitiva per concentrarsi esclusivamente su minacce percepite immediate mentre filtra informazioni periferiche cruciali per una valutazione della sicurezza completa. Questo fenomeno si verifica attraverso l'attivazione del sistema nervoso simpatico e dell'asse HPA, che inonda il sistema di ormoni dello stress creando un 'riflettore' cognitivo che illumina solo una frazione dell'ambiente informativo totale. Il meccanismo opera attraverso il restringimento attentivo, il degrado della memoria di lavoro e una maggiore dipendenza da scorciatoie euristiche che possono essere inappropriate per minacce di sicurezza nuove o complesse.
La Legge di Yerkes-Dodson dimostra che le prestazioni seguono una curva a U invertita rispetto ai livelli di attivazione - oltre l'attivazione ottimale, l'aumento dello stress porta al degrado delle prestazioni, con compiti cognitivi complessi che mostrano un degrado più precoce rispetto ai compiti semplici. La teoria dell'utilizzo dei segnali di Easterbrook spiega come lo stress restringe esponenzialmente l'ampiezza dell'attenzione.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
Procedure documentate garantiscono valutazione completa delle minacce durante lo stress. Team di indagine paralleli mantengono il monitoraggio di routine durante gli incidenti. Protocolli di valutazione dello scopo obbligatori con controlli multi-vettore. La validazione delle decisioni richiede prospettiva esterna per incidenti prolungati. La consultazione interfunzionale si verifica nell'80%+ degli eventi complessi.
Le procedure esistono ma sono applicate in modo incoerente durante periodi ad alto stress. Il monitoraggio di routine ridotto ma non eliminato durante gli incidenti. Valutazione dello scopo informale con controlli documentati occasionali. La consultazione interfunzionale si verifica nel 50-80% degli eventi complessi.
Nessuna procedura documentata o procedure costantemente abbandonate sotto pressione. Il monitoraggio di routine si interrompe completamente durante la risposta attiva agli incidenti. Nessuna valutazione formale dello scopo o assunzione standard di minaccia singola. La consultazione inter-team si verifica in meno del 50% degli eventi di sicurezza complessi.
Implement mandatory decision trees for all security incidents that force consideration of multiple attack vectors before proceeding
Create detailed decision trees with specific checkpoints: 'Have you checked for lateral movement?', 'Have you verified this isn't a distraction attack?', 'What systems weren't affected?', 'Have you consulted with network/app/compliance teams?'. Require documented completion of all checkpoints before incident closure. Integrate into incident management system with automatic reminders.
Establish minimum staffing requirements ensuring routine security monitoring continues during incident response
Create formal 'business as usual' teams that cannot be reassigned to incident response without executive approval. Implement rotating incident response assignments to prevent team exhaustion. Define clear boundaries: IR team handles active incident, BAU team maintains routine monitoring and investigates new alerts. Minimum 30% of security staff must remain on BAU during any incident.
Implement mandatory pause protocols when incident response exceeds defined stress thresholds
Define stress triggers: multiple critical alerts, response time >4 hours, executive escalation, team fatigue indicators. Automatic activation of circuit breakers requiring 15-minute team huddles every 2 hours during extended incidents to reassess scope and approach. External perspective requirement for incidents lasting >8 hours (consultant, different team, or senior revisione). Documented pause and reassessment in incident timeline.
Establish mandatory consultation requirements with network, application, and compliance teams for all critical/high severity incidents
Create standardized consultation templates with specific questions each team must answer: Network team verifies lateral movement checks, App team confirms application-layer attack vectors assessed, Compliance validates regulatory implications considered. Implement escalation triggers when consultation reveals conflicting information or missed vectors. Include cross-functional revisione in incident closure criteria.
Deploy security orchestration tools that automatically correlate incidents across time windows, attack vectors, and affected systems
Configure SOAR platform to automatically analyze: (1) temporal correlation - similar incidents in past 72 hours, (2) systemic correlation - same attack patterns across different systems, (3) user correlation - targeting patterns, (4) TTP correlation - matching tactics/techniques/procedures. Generate automated scope assessment reports requiring analyst revisione before declaring incidents 'contained'. Alert for potential multi-vector attacks based on statistical patterns.
Conduct structured red team revisiones within 48 hours of incident resolution specifically looking for missed indicators and alternative attack vectors
Establish dedicated red team (internal or external) that revisiones all critical incidents within 48 hours of resolution. Review focuses on: indicators present but not detected, attack vectors not investigated, scope limitations that may have missed activity. Include external security consultants in revisiones for critical incidents. Maintain database of 'missed indicators' to identify tunnel vision patterns and training needs. Feed findings back into detection rules and training programs.