Da venti ore a tre, cosa cambia quando il triage non è più manuale

Il mese di cui parla questa serie ha avuto 183 email segnalate dai dipendenti stessi. Il pezzo precedente ha seguito una di quelle email dal pulsante fino alla decisione del team di sicurezza, e quel percorso ha richiesto quattro minuti. Questo pezzo guarda lo stesso mese dall’altro lato della scrivania, quando il triage delle segnalazioni di phishing era ancora lavoro manuale e quelle 183 email si aprivano una per una. I numeri vengono da un’organizzazione concreta, la stessa dei pezzi precedenti, e non sono medie di settore.

Quanto tempo richiede classificare a mano una email segnalata?

Ogni segnalazione chiedeva esattamente la stessa cosa. Aprire l’email originale. Controllare gli header e l’autenticazione del mittente. Verificare la reputazione del dominio e di ogni link, uno per uno. Analizzare gli allegati. E solo allora classificare.

Ogni segnalazione richiedeva tra i cinque e i quindici minuti, a seconda di quanto fosse ambiguo il caso. Sommavano circa venti ore al mese, mezza settimana lavorativa dedicata in larghissima parte a confermare che 160 email erano innocue.

Il primo passo di quella lista è anche quello che nessuno vuole fare. Aprire l’email originale significa maneggiare a mano il file che qualcuno ha segnalato proprio perché gli sembrava pericoloso, con la cautela che questo richiede e sul computer di chi lo sta esaminando.

C’è qualcosa di peggio del totale delle ore, ed è l’ordine. Una coda che si processa per data di arrivo tratta allo stesso modo l’email del nuovo fornitore e l’attacco mirato, perché finché nessuno le apre non c’è modo di sapere quale sia quale. La priorità non esiste prima della classificazione, quindi la classificazione è la prima cosa da togliere di mezzo.

Quale lavoro resta quando il triage è automatico?

Le segnalazioni entrano in console già risolte. Ognuna arriva con il suo verdetto, con un punteggio di rischio da 0 a 100 che indica anche a quale fascia appartiene, e con il dettaglio di quello che è stato controllato per arrivarci. L’elenco resta ordinato per data, come qualsiasi casella, ma ora si può filtrare per verdetto e leggere la gravità a colpo d’occhio, senza aprire niente.

Il tuo team smette di classificare email e comincia a esaminare decisioni.

Il mese cambia forma. Si esaminano a fondo quelle marcate come phishing, che sono poche e arrivano già con l’evidenza pronta, e si fa un passaggio sui falsi allarmi per controllare che siano classificati bene. Tre ore. Le altre diciassette restano per indagare sulle minacce confermate, che è il lavoro per cui quella persona è stata assunta.

Quel punteggio non va confuso con il punteggio di rischio umano della persona che ha segnalato. Uno misura quanto è pericolosa una email. L’altro misura il comportamento nel tempo, e segnalare pesa a favore.

Chi ha l’ultima parola sul verdetto?

L’analisi propone e il tuo team decide, e questo poggia sulla meccanica e non su una promessa. Qualsiasi segnalazione si conferma o si corregge a mano dal suo dettaglio, con un clic. Se qualcuno corregge il verdetto mentre l’analisi è ancora in corso, vince la correzione della persona.

Nemmeno la console perde di vista chi ha deciso cosa. Ogni segnalazione mostra con un’icona se il verdetto lo ha lasciato l’analisi automatica o una persona, e la stessa distinzione arriva nell’elenco esportato. Il nome, l’ora e la classificazione precedente al cambio restano nella traccia di audit della segnalazione.

È questo che risponde alla domanda che arriva sei mesi dopo, quando qualcuno vuole sapere perché una email è stata classificata in un certo modo. La risposta è registrata, con autore e data, e quando l’autore è stato l’analisi anche questo lo dice il registro.

Cosa succede quando l’analisi sbaglia?

Sbaglia, come sbaglia l’email security e come sbaglia una persona alle sei di sera di un venerdì. Quello che decide se sia un problema è quanto costa poco correggere quell’errore e quanto resta visibile il cambio.

Il passaggio di controllo sui falsi allarmi è quel presidio, e rende di più con un criterio esplicito. Una email pericolosa archiviata come falso allarme costa molto più di un falso allarme trattato come phishing, quindi la revisione si concentra su un solo lato e non sul discutere le decisioni corrette.

Quando qualcuno corregge un verdetto, quella segnalazione smette di contare come risolta dall’analisi e comincia a contare come risolta da una persona. È la lettura che corrisponde ed è quella che tiene pulito il conteggio del mese, perché quello che la dashboard presenta come classificazione automatica è esattamente ciò che nessuno ha dovuto toccare.

Come si evita che gli alert saturino il team?

Gli alert si governano con tre avvisi indipendenti, ognuno con il proprio interruttore.

• Avviso di nuova segnalazione. Suona ogni volta che qualcuno usa il pulsante, senza attendere nessuna analisi.
• Alert di phishing confermato da IA. Parte quando l’analisi chiude il caso come attacco reale.
• Avviso di falso allarme rilevato da IA. Parte quando l’analisi scarta l’email.

Gli ultimi due hanno anche la propria lista di destinatari, così l’alert di un attacco reale e il registro di un falso allarme non devono arrivare alle stesse persone.

La responsabile della sicurezza di questa storia ne ha accesso uno solo, quello di phishing confermato, indirizzato al suo team. L’avviso di nuova segnalazione è rimasto spento, perché sapere 183 volte al mese che qualcuno ha segnalato qualcosa non le cambia nessuna decisione. Anche quello di falso allarme, perché sono 160 email che non hanno bisogno di interrompere nessuno per chiudersi.

Un SOC grande può volerli tutti e tre accesi, ognuno con i propri destinatari. Un team di due persone può non accenderne nessuno e guardare la dashboard una volta al giorno. La differenza tra uno strumento che aiuta e uno che sfianca si decide quasi sempre in chi controlla quando suona il telefono.

Cosa si guarda nella dashboard quando il triage non occupa più il mese?

La dashboard delle segnalazioni mostra cosa ha risolto la classificazione automatica nel mese in corso, quante segnalazioni restano senza decisione, le analisi più recenti e l’attività mese per mese degli ultimi sei mesi.

Dei quattro, quello che dice di più sullo stato del programma è quello delle segnalazioni senza decisione. Sono un totale accumulato e non un flusso del mese, quindi una rimasta aperta tre mesi fa conta ancora oggi. Quel numero è il debito reale del triage, e con l’analisi automatica in funzione dovrebbe tendere a zero senza che nessuno lavori più ore.

Cosa cambia oltre alle ore che si liberano?

È facile leggere tutto questo come un conto di produttività, e lo è. Diciassette ore al mese valgono quello che valgono e chiunque può moltiplicarle per quanto costa un’ora del proprio team.

Ma il cambio che conta è un altro. Quando il triage è manuale, il tempo che la tua organizzazione impiega a scoprire un attacco dipende da quanta coda ha una persona quella settimana, dal fatto che sia in ferie e dal fatto che la segnalazione sia arrivata un lunedì o un venerdì. Con la classificazione risolta prima che qualcuno guardi, la velocità di contenimento smette di essere una variabile di agenda.

Così lavora Smart Triage dentro la console delle segnalazioni di SMARTFENSE, sulle email che le tue persone segnalano con il pulsante. Gli avvisi, i destinatari e il livello di dettaglio li configura ogni organizzazione secondo il proprio protocollo.

Nell’ultimo pezzo della serie la segnalazione smette di essere una questione del team di sicurezza e torna al programma di cybersecurity awareness, dove cambia quello che ogni persona riceve dopo. E arriva la domanda del comitato.