Maturità nella cyber threat intelligence
La vostra capacità di cyber threat intelligence, misurata per ambito e tradotta in roadmap.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità nella cyber threat intelligence
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Quadro di maturità Cyber Threat Intelligence (riferimenti CTI-CMM, MITRE ATT&CK, ciclo dell’intelligence) avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
I bisogni di intelligence prioritari sono formalizzati con gli stakeholder e rivisti regolarmente?
- N1
Nessun bisogno formalizzato. Il monitoraggio segue l’attualità e gli interessi degli analisti.
- N2
Esiste un elenco di argomenti, stabilito dal solo team sicurezza. Non è condiviso con le funzioni di business e non è stato rivisto dalla sua creazione.
- N3
I bisogni sono formalizzati con i principali stakeholder, definite le priorità e rivisti a scadenza fissa. Ogni produzione si ricollega a un bisogno identificato.
- N4
I bisogni coprono i livelli strategico, operativo e tecnico, sono validati dai destinatari e governati tramite indicatori di copertura e tempistica.
- N5
I bisogni evolvono in continuo in base agli incidenti, agli scenari di rischio e ai cambiamenti di attività, con uno storico documentato delle revisioni e dei loro effetti sulle produzioni.
Azione per passare da L2 a L3
Organizzare un workshop con il SOC, la gestione delle vulnerabilità, i rischi e un rappresentante di business per definire le priorità dei bisogni di intelligence, registrarli in un documento unico e inserire la loro revisione all’ordine del giorno del comitato sicurezza trimestrale.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazione
Di cosa parla questo quadro di riferimento
La cyber threat intelligence, o CTI, è una capacità, non un requisito normativo. Si basa su un ciclo noto: espressione dei bisogni da parte degli stakeholder, raccolta, elaborazione, analisi, diffusione, feedback. Si articola su tre orizzonti: strategico per la direzione, operativo per le campagne e gli attori, tecnico per gli indicatori e i modi operativi. I quadri di riferimento del settore, dal ciclo dell’intelligence alla mappatura MITRE ATT&CK, strutturano la pratica senza imporre un livello da raggiungere. Sta all’organizzazione definire il proprio obiettivo.
In pratica, questa libertà rende la capacità difficile da governare. Le domande che si pongono i team sono concrete. Chi ha formulato i bisogni di intelligence prioritari, e quando sono stati rivisti per l’ultima volta? Le produzioni sono lette e utilizzate dal SOC, dalla gestione delle vulnerabilità e dalla direzione, o circolano tra analisti? I flussi di indicatori acquistati o aperti vengono valutati sul loro reale contributo, o accumulati perché disponibili? Senza una risposta misurabile, l’investimento CTI si giustifica male in sede di arbitraggio di budget.
Il contesto europeo ha spostato il tema. NIS 2 e DORA richiedono una conoscenza documentata delle minacce pertinenti e, per il settore finanziario, test basati sulla minaccia di tipo TIBER-EU. L’intelligence diventa un input atteso del dispositivo di gestione dei rischi e di preparazione alle crisi. Rimane una confusione frequente: un abbonamento a un flusso di indicatori non è una capacità di intelligence. Il flusso è una fonte. L’intelligence è il lavoro di analisi contestualizzata che produce una decisione.
La diagnosi di maturità non risponde alla domanda sulla conformità. Non dice se la pratica è conforme o non lo è, poiché nessun organismo certifica una capacità CTI. Situa ogni ambito su una scala progressiva ispirata al metodo CMMI, dalla constatazione di assenza alla pratica ottimizzata, e indica l’azione che consente di passare al livello successivo. Ottenete uno stato dei luoghi, un obiettivo, e lo scostamento quantificato tra i due, utilizzabile sia in comitato sicurezza che in comitato investimenti.
Il quadro di riferimento è pronto all’uso in Datamensio e resta vostro. L’IA adatta gli ambiti, le domande e la formulazione dei livelli alla vostra organizzazione, oppure costruisce una declinazione a partire dai vostri documenti: carta CTI, procedure SOC, resoconti di monitoraggio. I modelli utilizzati possono essere selezionati, anche tra soluzioni europee.
Norma di riferimento: Quadro di maturità Cyber Threat Intelligence (riferimenti CTI-CMM, MITRE ATT&CK, ciclo dell’intelligence)
Gli ambiti valutati
Governance della capacità
Mandato e collocazione del team, ruoli e responsabilità, budget dedicato, articolazione con il SOC, i rischi e la direzione, politica di condivisione.
Bisogni di intelligence prioritari
Identificazione degli stakeholder, formulazione dei bisogni, definizione delle priorità, frequenza di revisione, tracciabilità tra bisogno espresso e produzione consegnata.
Fonti e raccolta
Mappatura delle fonti aperte, commerciali, comunitarie e interne, copertura del perimetro, valutazione dell’affidabilità, gestione degli accessi e della legalità della raccolta.
Elaborazione e gestione dei dati
Piattaforma di gestione dell’intelligence, normalizzazione dei formati, deduplicazione, ciclo di vita e scadenza degli indicatori, enrichment automatizzato.
Analisi e mappatura dei modi operativi
Metodi di analisi, attribuzione ragionata, uso di MITRE ATT&CK, monitoraggio degli attori e delle campagne pertinenti, distinzione tra ipotesi e fatto accertato, valutazione della fiducia.
Diffusione e produzioni
Formati strategico, operativo e tecnico, cadenza di pubblicazione, adattamento al destinatario, allerte a caldo, misura della lettura e dell’utilizzo.
Integrazione operativa
Alimentazione delle regole di rilevamento, dello smistamento degli alert e delle investigazioni, contributo alla gestione delle vulnerabilità e al threat hunting, utilizzo durante le esercitazioni e le crisi.
Monitoraggio della superficie esterna e del brand
Esposizione internet, fughe di dati e di credenziali, usurpazione di domini e di marchio, monitoraggio della catena di subfornitura.
Condivisione e cooperazione
Partecipazione alle community settoriali e ai CERT, scambi con le autorità, regole di classificazione e diffusione, reciprocità dei contributi.
Misurazione e miglioramento continuo
Indicatori di pertinenza e di tempistica, feedback dei destinatari, revisioni post-incidente, aggiornamento dei metodi, confronto nel tempo e tra entità.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
La cyber threat intelligence è certificabile?
No. Si tratta di una capacità, senza un organismo di certificazione dedicato. La diagnosi misura il livello di maturità delle vostre pratiche e produce la traiettoria di progressione. Può tuttavia alimentare la preparazione di un audit ISO 27001 o la dimostrazione dei requisiti NIS 2 e DORA.
Quale differenza tra questa diagnosi e un audit?
Un audit verifica la presenza di requisiti e conclude con uno scostamento o una conformità. La diagnosi situa ogni ambito su una scala progressiva e indica l’azione che consente di passare al livello successivo. Il risultato è una roadmap, non un parere.
Quanto tempo richiede la valutazione?
La versione breve si compila in 20 a 30 minuti da parte di un responsabile che conosce il dispositivo. La versione completa, in modalità collaborativa, si estende generalmente su una a due settimane, con la maggior parte del tempo dedicata a raccogliere gli elementi da SOC, CTI e funzioni di business.
È possibile adattare il quadro di riferimento alla nostra organizzazione?
Sì. Ambiti, domande e formulazione dei livelli sono modificabili, e l’IA può costruire una declinazione a partire dalle vostre procedure e dalle vostre produzioni esistenti. Un’entità senza team dedicato e un gruppo dotato di una cellula CTI non valutano gli stessi oggetti.
È necessario un team CTI dedicato per rispondere?
No. La diagnosi funziona anche quando il monitoraggio è assicurato a tempo parziale o delegato a un fornitore. Le domande riguardano allora il modo in cui esprimete i vostri bisogni, utilizzate i deliverable e misurate il loro contributo.
Come confrontare più entità del gruppo?
Lo stesso quadro di riferimento viene diffuso a ogni business unit, poi i risultati si confrontano per ambito, tra entità e con le valutazioni precedenti. L’IA raggruppa gli scostamenti in una roadmap trasversale che evita di duplicare le stesse azioni in più piani.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.