Conosci la città

Non puoi proteggere ciò che non sai di avere. Il primo compito di chi difende è fare un inventario: un elenco degli asset, cioè delle cose di valore da proteggere.

Immagina una piccola città inventata, Acmeton, con una scuola, una clinica, un negozio e un ufficio comunale. I suoi asset rientrano in alcuni gruppi:

• Persone e account: studenti, personale, caselle di posta condivise, l'account dell'amministratore.
• Dispositivi: laptop, tablet, telefoni, la stampante, una telecamera per la porta, un termostato smart.
• Servizi e software: il negozio online, l'e-mail, il sistema di prenotazione.
• Dati: elenchi dei clienti, note mediche, voti degli esami, dati dei pagamenti.
• Connessioni: il router, il Wi-Fi, il collegamento a internet.

Quali asset sono critici? Fatti due domande per ciascuno:

• Se venisse esposto, modificato o non fosse disponibile, quanto sarebbe grave? (la triade CIA della lezione 1)
• Da quanti altri elementi dipende?

I registri delle presenze della scuola sono più critici della macchina del caffè della sala insegnanti, anche se entrambi hanno una connessione di rete. Un asset critico richiede livelli di protezione più forti, aggiornamenti più attenti e backup migliori. Distribuire lo stesso impegno su ogni elemento di solito significa proteggere troppo poco proprio le poche cose più importanti.

Un inventario utile registra, per ogni asset: che cos'è, chi ne è il proprietario, dove si trova (in sede, nel cloud, a casa di qualcuno), quali dati contiene e quanto è critico. Un semplice foglio di calcolo è un ottimo inizio. Gli elementi nascosti o dimenticati, come un vecchio server di test o una telecamera di cui nessuno ricorda l'installazione, sono una fonte classica di problemi. Un asset di cui nessuno sa nulla è un asset che nessuno aggiorna.

Pensare come un difensore. Per capire i rischi, è utile chiedersi "se qualcuno volesse causare un danno qui, che cosa prenderebbe di mira e qual è il modo più facile per entrare?" Gli esperti di sicurezza chiamano questo esaminare la superficie d'attacco: tutti i punti da cui potrebbe entrare un problema. Ci poniamo questa domanda solo per decidere che cosa rafforzare, mai per pianificare un danno. A volte viene descritto come "il punto di vista dell'attaccante", ma lo scopo è esclusivamente protettivo.

Nei termini del NIST, questa lezione riguarda la funzione Identify: conoscere i propri beni, conoscere i rischi e stabilire le priorità. Tutto ciò che segue nel corso si basa su questo.

Un'altra regola per il tuo inventario: riguarda solo i sistemi che possiedi o di cui sei responsabile. Esaminare, elencare o analizzare le apparecchiature di qualcun altro senza autorizzazione può essere illegale, anche se non intendi fare del male. La lezione 24 spiega perché.