Tutti i 100 indicatori / Categoria 8.x: Processi inconsci
Indicatore 8.1
Misura il grado in cui le organizzazioni proiettano inconsciamente i propri aspetti aggressivi, distruttivi o minacciosi non riconosciuti su minacce di sicurezza informatica esterne, idealizzando nel contempo dipendenti interni e partner fidati
La proiezione dell'ombra (shadow projection) si verifica quando le organizzazioni concentrano inconsciamente tutte le preoccupazioni di sicurezza su 'attori malintenzionati' esterni, idealizzando dipendenti interni e partner fidati come intrinsecamente sicuri. Questo punto cieco psicologico porta a un sistematico sottoinvestimento nel rilevamento delle minacce interne e crea vulnerabilità che gli attaccanti sofisticati sfruttano regolarmente.
Jung (1969) ha identificato l'ombra come contenente contenuti inconsci sia personali che collettivi che l'ego rifiuta di riconoscere. Il lavoro di Klein (1946) sulla scissione (splitting) dimostra come gli oggetti che generano ansia vengono divisi in categorie 'tutto buono' e 'tutto cattivo'. La ricerca di Bion (1961) mostra come i gruppi proiettano le ansie interne su minacce esterne (assunto di attacco-fuga), portando a posture difensive aggressive che trascurano le vulnerabilità interne.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
L'organizzazione mantiene un investimento equilibrato sia nel rilevamento delle minacce interne che esterne, con il 30%+ del budget di sicurezza allocato a programmi per le minacce interne. Uguale priorità data all'indagine di minacce interne ed esterne. Revisioni di accesso regolari con risultati documentati. Valutazione formale della sicurezza dei fornitori con monitoraggio continuo.
L'organizzazione mostra una moderata focalizzazione esterna con il 15-30% del budget di sicurezza per le minacce interne. Alcuni ritardi nell'indagine degli avvisi interni rispetto a quelli esterni. Revisioni di accesso semestrali con follow-up limitato. Requisiti di sicurezza di base per i fornitori senza monitoraggio continuo.
L'organizzazione presenta una forte proiezione dell'ombra con meno del 15% del budget di sicurezza allocato al rilevamento delle minacce interne. Ritardi significativi o minore priorità per l'indagine delle minacce interne. Revisioni di accesso annuali o ad hoc. Supervisione minima della sicurezza dei fornitori. L'analisi post-incidente si concentra principalmente sulla sofisticazione dell'attaccante esterno.
Implementare strumenti di user behavior analytics (UBA - analisi del comportamento utente) che monitorano i pattern di accesso dei dipendenti, il movimento dei dati e l'utilizzo dei sistemi per anomalie
Implementare avvisi automatici per orari di accesso inusuali, grandi download di dati, accesso a sistemi sensibili da parte di utenti senza necessità aziendale e tentativi di accedere a sistemi al di fuori delle normali funzioni lavorative. Stabilire il comportamento normale in 30-60 giorni, quindi abilitare l'allerta con flussi di lavoro di risposta a livelli.
Implementare soluzioni PAM complete che richiedono flussi di approvazione per accesso elevato con registrazione sessione per attività amministrative
Implementare piattaforma PAM con provisioning accesso just-in-time per minimizzare i privilegi permanenti. Implementare registrazione sessione per tutti gli accessi privilegiati. Stabilire flussi di approvazione con requisiti di giustificazione aziendale. Effettuare automaticamente il de-provisioning dell'accesso in base ai cambiamenti di ruolo. Mantenere log di audit dettagliati con cicli di revisione regolari.
Stabilire processi formali di valutazione della sicurezza dei fornitori con monitoraggio continuo dell'accesso dei fornitori ai sistemi organizzativi
Implementare questionari di sicurezza e requisiti di penetration testing per fornitori critici. Implementare monitoraggio di sicurezza continuo dell'accesso dei fornitori. Condurre revisioni di sicurezza regolari (trimestrali per fornitori critici). Stabilire requisiti di notifica incidenti. Implementare segmentazione di rete per connessioni fornitori con micro-segmentazione per accessi ad alto rischio.
Sviluppare formazione sulla sicurezza che affronta minacce interne, responsabilità interne e ingegneria sociale che prende di mira i dipendenti con uguale enfasi alle minacce esterne
Ristrutturare il curriculum formativo per allocare il 40%+ dei contenuti a scenari di rischio insider. Implementare simulazioni di phishing mirate inclusi scenari di impersonificazione insider (email executive false, supporto IT falso, richieste fornitori false). Fornire formazione personalizzata basata sui risultati delle simulazioni. Includere consapevolezza a livello executive di CEO fraud e business email compromise. Tracciare metriche di miglioramento e adattare la formazione in base ai risultati.
Implementare programmi di threat intelligence che includono indicatori di minacce interne, campagne di ingegneria sociale e intelligence sui rischi della supply chain insieme ai feed di minacce esterne
Sottoscrivere feed di threat intelligence per minacce interne (indicatori di rischio dipendenti specifici del settore, tracciamento campagne ingegneria sociale). Integrare indicatori di compromissione supply chain rilevanti per i fornitori organizzativi. Sottoscrivere indicatori comportamentali di potenziali minacce interne (pattern di uso improprio credenziali, tecniche esfiltrazione dati). Integrare tutte le fonti di intelligence nelle procedure di monitoraggio sicurezza e risposta incidenti con allerta contestualizzata.
Implementare principi zero trust che verificano ogni utente e dispositivo indipendentemente dalla posizione, eliminando la fiducia implicita per gli insider
Implementare verifica continua per tutti gli utenti e dispositivi indipendentemente dalla posizione di rete. Implementare micro-segmentazione per limitare il movimento laterale. Richiedere autenticazione multi-fattore per tutti gli accessi (non solo esterni). Monitorare continuamente tutto il traffico di rete e il comportamento utente con baseline comportamentali. Adattare automaticamente i permessi di accesso in base alla valutazione del rischio in tempo reale. Eliminare assunzioni VPN di 'rete fidata'.