Tutti i 100 indicatori / Categoria 8.x: Processi inconsci
Indicatore 8.2
Misura il grado in cui i professionisti della sicurezza adottano inconsciamente caratteristiche, metodi o mentalità degli attori di minaccia contro cui si difendono, creando rischio insider attraverso l'identificazione con gli attaccanti
I professionisti della sicurezza che trascorrono molto tempo ad analizzare i metodi di attacco possono adottare inconsciamente mentalità, strumenti o valori degli attaccanti. Questo cambiamento psicologico crea rischio insider poiché i difensori sfumano i confini tra comprendere le minacce e identificarsi con esse. Le organizzazioni sperimentano violazioni di policy, scope creep nei test e graduale erosione dei controlli di sicurezza quando i membri del team rispecchiano inconsciamente i comportamenti che dovrebbero contrastare.
Il concetto di Anna Freud (1936) di 'identificazione con l'aggressore' descrive come gli individui adottino caratteristiche di agenti minacciosi come meccanismo di difesa. L'identificazione proiettiva di Klein (1946) mostra come gli individui proiettino aspetti sugli altri e poi si identifichino con tali proiezioni. La ricerca sui neuroni specchio (mirror neurons) (Rizzolatti & Craighero, 2004) dimostra la simulazione neurologica automatica dei comportamenti osservati, creando potenziale per l'identificazione inconscia.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
Strumenti selezionati in base a requisiti aziendali documentati. Partecipazione bilanciata alle comunità di sicurezza offensiva e difensiva. L'analisi degli incidenti si concentra sulla protezione delle vittime. Il team di sicurezza segue le stesse procedure di policy degli altri dipendenti. La comunicazione professionale enfatizza la protezione organizzativa piuttosto che l'ammirazione tecnica.
Alcune decisioni sugli strumenti basate sull'appeal tecnico piuttosto che sui requisiti aziendali. Forte focus sulla formazione di sicurezza offensiva con sviluppo minimo di competenze difensive. Le discussioni sugli incidenti mostrano interesse significativo per la sofisticazione degli attacchi. Eccezioni informali occasionali alle policy per i membri del team di sicurezza.
Strumenti selezionati principalmente per sofisticazione tecnica o appeal hacker. Coinvolgimento sproporzionato con comunità di sicurezza offensiva e cultura hacker. Ritardi nella risposta agli incidenti mentre il team analizza le tecniche di attacco. Eccezioni regolari alle policy per il team di sicurezza. Uso frequente di terminologia hacker e ammirazione per la creatività degli attacchi.
Implementare business case obbligatorio e revisione sicurezza per tutte le adozioni strumenti sicurezza con focus su protezione organizzativa piuttosto che funzionalità tecniche
Richiedere giustificazione documentata per tutte le adozioni strumenti enfatizzando requisiti aziendali ed esigenze protezione organizzativa. Includere flusso approvazione che coinvolge stakeholder non di sicurezza per mantenere prospettiva aziendale. Implementare revisione trimestrale utilizzo strumenti versus obiettivi aziendali dichiarati. Stabilire criteri valutazione strumenti che prioritizzano efficacia difensiva rispetto a sofisticazione tecnica.
Stabilire split 60/40 tra formazione sicurezza difensiva e offensiva, richiedere partecipazione a comunità sicurezza focalizzate sulle vittime
Creare criteri avanzamento carriera che premiano risultati difensivi ugualmente con competenze offensive. Richiedere partecipazione a comunità risposta incidenti, business continuity e protezione privacy. Stabilire allocazione budget formazione richiedendo 60% focus difensivo/protezione organizzativa. Includere impatto aziendale e competenze comunicazione stakeholder nei requisiti sviluppo professionale. Tracciare e riportare equilibrio formazione trimestralmente.
Implementare procedure risposta incidenti strutturate con timeline obbligatorie per azioni contenimento prima dell'analisi tecnica
Stabilire chiare fasi risposta incidenti con contenimento richiesto prima dell'analisi tecnica dettagliata. Creare timeline contenimento obbligatorie basate su gravità incidente. Richiedere revisioni post-incidente valutando efficacia risposta piuttosto che sofisticazione attacco. Implementare flussi risposta incidenti automatizzati che forzano transizioni di fase. Formare team su priorità protezione vittime rispetto a curiosità tecnica.
Applicare procedure identiche eccezione policy a tutti i dipendenti indipendentemente dal ruolo tecnico, eliminando trattamento speciale per team sicurezza
Richiedere ai membri team sicurezza di usare processi richiesta IT standard per tutte le installazioni strumenti, richieste accesso e deviazioni policy. Implementare peer review per tutte le eccezioni policy team sicurezza. Tracciare e riportare tassi eccezione team sicurezza versus altri dipartimenti. Stabilire chiare conseguenze per bypass informali policy. Creare cultura organizzativa enfatizzando che team sicurezza modella conformità policy piuttosto che ricevere eccezioni.
Stabilire linee guida comunicazione enfatizzando protezione organizzativa e impatto aziendale in tutte le discussioni minacce
Creare standard comunicazione prioritizzando impatto aziendale rispetto a dettagli tecnici quando si briefano stakeholder non tecnici. Formare staff sicurezza a concentrarsi su rischio e mitigazione piuttosto che tecniche attacco. Sviluppare template per report minacce enfatizzando impatto organizzativo e azioni raccomandate. Condurre audit trimestrali comunicazione valutando focus impatto aziendale. Fornire coaching e feedback su efficacia comunicazione.
Richiedere pre-approvazione per tutte le attività esterne relative alla sicurezza con gestione chiara confini e valutazione conflitto interessi
Stabilire requisito pre-approvazione per tutte le attività sicurezza esterne incluse ricerca, speaking, blogging e partecipazione comunità. Creare confini chiari tra interessi personali e responsabilità professionali. Implementare processo valutazione conflitto interessi per impegni esterni. Richiedere disclosure annuale attività sicurezza esterne. Stabilire processo supervisione per impegni esterni continui. Definire attività proibite che creano confusione confini inappropriata.