Molti programmi di cybersecurity awareness riassumono il punteggio di rischio umano di ogni collaboratore in un unico numero, quante volte \u00e8 caduto in una simulazione di phishing. \u00c8 un dato utile, ma racconta solo una parte della storia. Una persona pu\u00f2 non aver mai fallito una simulazione e allo stesso tempo riutilizzare la stessa password su dieci servizi, ignorare gli avvisi del proprio provider di identit\u00e0 o autorizzare applicazioni che nessuno ha mai controllato. Quel rischio esiste. La simulazione, da sola, non lo vede.<\/p>\n
Come responsabile delle integrazioni della piattaforma, parlo spesso con team di sicurezza che hanno gi\u00e0 la telemetria per vederlo. L\u2019informazione c\u2019\u00e8, distribuita tra il provider di identit\u00e0, l\u2019endpoint e il SIEM. Eppure il punteggio di rischio delle persone viene calcolato con una sola fonte, e il resto dei segnali resta su un\u2019altra dashboard.<\/p>\n
Un punteggio di rischio umano \u00e8 una stima, per singola persona, della probabilit\u00e0 che il suo comportamento porti a un incidente di sicurezza. Serve a stabilire le priorit\u00e0: chi rafforzare per primo, quali aree hanno bisogno di un altro tipo di contenuto, dove conviene rivedere una policy.<\/p>\n
La sua affidabilit\u00e0 dipende da tre elementi. Il primo \u00e8 il numero di fonti che alimentano il calcolo, perch\u00e9 una sola dimensione lascia punti ciechi. Il secondo \u00e8 la frequenza di aggiornamento, dato che il comportamento cambia e un punteggio di sei mesi fa descrive una persona che forse non esiste pi\u00f9. Il terzo \u00e8 la tracciabilit\u00e0. Il team deve poter spiegare perch\u00e9 qualcuno ha il punteggio che ha, senza fermarsi al numero.<\/p>\n
Quando il punteggio si costruisce unicamente con i risultati delle simulazioni, viene meno la prima condizione. Misura bene un comportamento specifico e lascia il resto non osservato.<\/p>\n
Una simulazione di phishing misura una capacit\u00e0 specifica in un momento controllato: riconoscere un\u2019email di phishing e non interagire con essa. \u00c8 un segnale prezioso e concreto, ed \u00e8 la base di qualsiasi programma serio. Dedichiamo buona parte della piattaforma a mantenere pulita quella misurazione, come racconto in come si progetta una campagna che cambia davvero il comportamento<\/a>.<\/p>\n Il limite emerge quando quel segnale viene usato come se descrivesse tutto il rischio di una persona. Gli attacchi reali non si esauriscono nell\u2019email di phishing. Secondo il Data Breach Investigations Report di Verizon<\/a>, le cause pi\u00f9 frequenti delle violazioni continuano a coinvolgere in modo marcato l\u2019elemento umano, tra cui ingegneria sociale, credenziali rubate e phishing. Molto di tutto ci\u00f2 accade fuori dalla portata di una simulazione: un accesso da una posizione impossibile, un secondo fattore rifiutato pi\u00f9 volte, un dispositivo con una configurazione a rischio.<\/p>\n Un collaboratore che supera tutte le simulazioni pu\u00f2 comunque trovarsi dietro a diversi di quei segnali. Se il punteggio non li incorpora, il programma vede una sola faccia del rischio e presume che sia l\u2019unica.<\/p>\n Un SIEM (Security Information and Event Management) centralizza e correla gli eventi di sicurezza di tutta l\u2019organizzazione. Insieme al provider di identit\u00e0, all\u2019endpoint e alle soluzioni XDR, forma quello che di solito chiamiamo security stack: l\u2019insieme dei sistemi che gi\u00e0 osservano ci\u00f2 che accade nell\u2019ambiente reale.<\/p>\n Quello stack produce segnali che si collegano direttamente al comportamento delle persone. Sul fronte dell\u2019identit\u00e0, tentativi di accesso anomali, fattori di autenticazione rifiutati ripetutamente o accessi da posizioni incoerenti. Sul fronte dell\u2019endpoint e dell\u2019XDR, rilevamenti di software dannoso, configurazioni che si discostano dalla policy o connessioni verso destinazioni sospette. Ognuno di questi segnali dice qualcosa sul rischio di una persona che nessuna simulazione riuscir\u00e0 a catturare.<\/p>\n Il segnale della cybersecurity awareness e quello dello stack si sommano. Il risultato \u00e8 un punteggio che riflette sia la risposta a un esercizio sia il comportamento quotidiano verso i sistemi che la persona usa ogni giorno.<\/p>\n Qui c\u2019\u00e8 la parte che conta di pi\u00f9 dal punto di vista della progettazione, ed \u00e8 una decisione di architettura, non un dettaglio tecnico. Arricchire il punteggio con segnali dello stack non significa installare un agente sul dispositivo di ogni persona n\u00e9 osservare cosa fa sullo schermo. Significa integrarsi con i sistemi che l\u2019organizzazione gi\u00e0 gestisce e leggere i segnali che quei sistemi gi\u00e0 generano.<\/p>\n Lo risolviamo tramite API. SMARTFENSE si connette con il provider di identit\u00e0, con le piattaforme XDR e con il SIEM, senza chiedere nulla sull\u2019endpoint del collaboratore. \u00c8 la stessa logica che spiego in perch\u00e9 ci integriamo tramite API e non installando un agente<\/a> e che sostiene anche l\u2019integrazione dell\u2019identit\u00e0 e il provisioning tramite SSO<\/a>. La superficie di integrazione vive sul lato dei sistemi di sicurezza, non sulla postazione di lavoro.<\/p>\n Questa distinzione ha conseguenze concrete. Rispetta la privacy della persona, perch\u00e9 si leggono eventi di sicurezza, non la sua attivit\u00e0 personale. Riduce l\u2019attrito del deployment, perch\u00e9 non serve toccare migliaia di dispositivi. E il segnale viaggia nelle due direzioni. Il punteggio si arricchisce con lo stack, e allo stesso tempo il comportamento umano pu\u00f2 alimentare la strategia di rilevamento, un angolo complementare trattato da Pablo Abratte in ci\u00f2 che il tuo SIEM non vede<\/a>.<\/p>\n La prima cosa che cambia \u00e8 la definizione delle priorit\u00e0. Quando il punteggio combina la risposta alle simulazioni con i segnali dello stack, l\u2019elenco delle persone da rafforzare non \u00e8 pi\u00f9 ordinato solo in base a chi ha fallito un\u2019email e inizia a riflettere il rischio reale. In pratica, le organizzazioni che aggiungono i segnali del security stack scoprono rischi che la simulazione da sola non mostrava, e allo stesso tempo ridimensionano casi che sembravano critici e non lo erano.<\/p>\n La seconda \u00e8 la qualit\u00e0 del rafforzamento. Con un punteggio a fonte unica, l\u2019unica risposta possibile sono altre simulazioni. Con un punteggio multi-fonte si pu\u00f2 indirizzare il contenuto al problema concreto di ogni gruppo, che si tratti della gestione delle credenziali, della reazione agli avvisi di identit\u00e0 o della cura del dispositivo.<\/p>\n La terza \u00e8 la conversazione con la direzione. Un punteggio che integra diverse fonti \u00e8 pi\u00f9 difendibile davanti a un comitato, perch\u00e9 non dipende da un unico indicatore che sale e scende a ogni campagna. Su come portare tutto questo a un board ho scritto in reporting per il board in due minuti<\/a>, e su come tradurlo in budget in quantificare il rischio umano per il CFO<\/a>.<\/p>\n Niente di tutto questo richiede di partire da zero. Se la tua organizzazione ha gi\u00e0 un programma di cybersecurity awareness e un security stack in funzione, la maggior parte del lavoro \u00e8 di integrazione<\/a>: connettere ci\u00f2 che misura il comportamento con ci\u00f2 che osserva l\u2019ambiente, e lasciare che il punteggio rifletta entrambe le cose.<\/p>\n Un punteggio di rischio umano sostituisce le simulazioni di phishing?<\/strong> Serve installare un agente sui dispositivi per leggere i segnali del SIEM?<\/strong> Quali segnali del security stack aggiungono al rischio per persona?<\/strong> La privacy del collaboratore \u00e8 rispettata?<\/strong> Con quale frequenza dovrebbe aggiornarsi il punteggio?<\/strong> Vuoi vedere come si collega al tuo ambiente? La sezione integrazioni<\/a> della piattaforma mostra con quali sistemi si connette SMARTFENSE, e quella strumenti di simulazione<\/a> mostra dove inizia la misurazione del comportamento.<\/p>\n","protected":false},"excerpt":{"rendered":" Le simulazioni di phishing misurano solo una parte del rischio umano. Come arricchire il punteggio per persona con segnali reali del SIEM e del security stack.<\/p>\n","protected":false},"author":4,"featured_media":43803,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,339],"tags":[390,2153,1948,2168,1952,2018],"class_list":["post-43787","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-ciso-it","tag-concienciacion","tag-integracion-siem-it","tag-riesgo-humano","tag-siem-it","tag-simulaciones-de-phishing-it"],"acf":[],"yoast_head":" \nQuali segnali aggiungono il SIEM o il security stack al rischio per persona?<\/h2>\n
Come si combinano simulazione e telemetria senza osservare la macchina del collaboratore?<\/h2>\n
Cosa cambia quando il punteggio \u00e8 multi-fonte?<\/h2>\n
Domande frequenti<\/h2>\n
\nNo. Le simulazioni restano una fonte centrale e il modo pi\u00f9 diretto per misurare e allenare la risposta a un\u2019email di phishing. Un punteggio multi-fonte le incorpora e vi aggiunge i segnali dello stack per coprire il rischio che esse non osservano.<\/p>\n
\nNo. L\u2019integrazione avviene tramite API con i sistemi di sicurezza che l\u2019organizzazione gi\u00e0 gestisce, come il provider di identit\u00e0, l\u2019XDR e il SIEM. Non si installa nulla sull\u2019endpoint del collaboratore e non si osserva la sua attivit\u00e0 personale.<\/p>\n
\nAccessi anomali, secondi fattori rifiutati ripetutamente, accessi da posizioni incoerenti, rilevamenti di software dannoso e configurazioni del dispositivo che si discostano dalla policy. Tutti si correlano con il comportamento di una persona.<\/p>\n
\nS\u00ec. Si leggono eventi di sicurezza generati dai sistemi aziendali, non l\u2019attivit\u00e0 privata della persona. La telemetria proviene dal security stack, non dall\u2019osservazione dello schermo di nessuno.<\/p>\n
\nIn modo continuo. Il comportamento cambia, e un punteggio che si aggiorna man mano che arrivano nuovi segnali descrive la persona che \u00e8 oggi, non quella dell\u2019ultima campagna.<\/p>\n