Come scegliere il vostro
consulente di sicurezza su IBM i?

Nonostante tutti i vantaggi in termini di sicurezza che un AS/400 può offrire, gli attacchi in corso stanno costringendo i proprietari a mettere in atto le migliori pratiche per la loro organizzazione: è in gioco la capacità di garantire una produzione continua, così come i vari rischi legali associati alla possibile perdita di dati.

Bob Losey spiega il punto di vista di Bruce Bading, esperto di sicurezza IBM i.

Traduzione dell’articolo di Bob Losay per gentile concessione. Gennaio. 2023

La sicurezza informatica di IBM i è una delle principali priorità degli utenti IBM con cui parlo. Ho avuto la fortuna di lavorare con Bruce Bading, un vero esperto di sicurezza di IBM i. Con il suo permesso, questa è una ristampa modificata di un’altra pubblicazione che desidero condividere.

Esistono molte opzioni quando si tratta di consulenti di cybersecurity o di fornitori di servizi di sicurezza gestiti. Un modo per valutare le vostre scelte è quello di chiedere quali sono le best practice di sicurezza consigliate dal consulente (o dalla sua azienda) per impostare le difese informatiche. Alcune best practice sono motivate da team organizzativi di grandi dimensioni o dai risultati dell’azienda. Tuttavia, esiste un altro modo per sviluppare linee guida sulla sicurezza, sfruttando i controlli e i benchmark del CIS attraverso l’adesione a CIS SecureSuite.

I CIS Controls e i CIS Benchmarks sono best practice di sicurezza che aprono la strada al miglioramento delle difese attraverso un esclusivo processo di consenso della comunità. Lavorando con molti professionisti della sicurezza in tutto il mondo, il CIS sviluppa consigli di sicurezza globali (controlli CIS) e configurazioni di rafforzamento specifiche per le tecnologie (benchmark CIS).

Vediamo come Bruce Bading, presidente di BFB Consulting, utilizza la sua iscrizione a CIS SecureSuite per rafforzare la sicurezza informatica dei suoi clienti. BFB Consulting fornisce servizi di difesa informatica per aiutare le organizzazioni a migliorare le loro politiche, i requisiti di conformità e le procedure informatiche.

Implementare la sicurezza fondamentale

Con oltre 40 anni di esperienza nel campo della cybersecurity e della conformità normativa, Bading ha assistito alla crescita e allo sviluppo di diverse best practice. Dalla sua esperienza come CFO di una grande azienda industriale agli anni di esperienza in IBM come consulente senior di cybersecurity, ha imparato a sfruttare le risorse di CIS SecureSuite. Si basa su CIS Controls, CIS RAM (metodo di valutazione dei rischi) e CIS Benchmarks per aiutare i clienti a rendere operativa la sicurezza fondamentale. Bading utilizza CIS-CAT Pro, uno strumento di valutazione della configurazione, per mostrare ai suoi clienti le lacune di sicurezza nelle loro configurazioni: “CIS-CAT Pro è una base davvero solida su cui è possibile rivolgersi a qualsiasi cliente e mostrarglielo. Ecco cosa ci dice il Center for Internet Security per bloccare i vostri sistemi. Potete leggere ciò che dice Tony Sager: smettete di inseguire le cose luccicanti e tornate alle basi.“.

Bading ha potuto constatare in prima persona come alcuni clienti cadano nella ‘sindrome del luccichio’ e inseguano pretese di grandezza tecnica ignorando le migliori pratiche di base. “
Dobbiamo tornare alla sicurezza fondamentale
“, insiste. Parte di questa sicurezza fondamentale comprende l’implementazione di best practice come i benchmark CIS e la valutazione della conformità e dell’aderenza alle regole. I clienti dovrebbero chiedere se i consulenti sono membri di CIS SecureSuite. In questo caso, possono chiedere di vedere i risultati del proprio CIS-CAT Pro per identificare eventuali lacune di sicurezza nella configurazione. L’esperienza del consulente può quindi aiutare a colmare queste lacune e a risolvere eventuali problemi di sicurezza informatica.

Sicurezza in un ambiente ibrido

I clienti di Bading operano in ambienti ibridi, ossia su infrastrutture on-premise e cloud. L’importante, dice Bading, è identificare la criticità e la riservatezza di ogni dato. Il documento raccomanda che le informazioni private, come le informazioni di identificazione personale (PII) o altri dati riservati, siano archiviate in un cloud privato. Per i dati pubblici è sufficiente un cloud pubblico. In secondo luogo, è essenziale che le organizzazioni rafforzino gli ambienti cloud, ovunque siano ospitati. Il CIS fornisce le migliori pratiche di sicurezza per configurare in modo sicuro gli account e i servizi cloud su tre dei principali provider:

• CIS AWS Foundations Benchmark
• CIS Azure Foundations Benchmark
• Benchmark CIS Google Cloud Platform Foundations

Qualunque sia l’ambiente in cui si opera – on premise o cloud, pubblico o privato – le configurazioni sicure sono essenziali. “
Ed è questo che dobbiamo comunicare alle persone
“, spiega Bading. “
Dobbiamo rendere più dure le immagini
“.

Collaborare e connettersi con la comunità

Bading ha partecipato al processo di consenso della comunità CIS per contribuire allo sviluppo del primo IBM i Benchmark CIS. Gli piace essere collegato a una più ampia comunità di sicurezza informatica e ha dichiarato: “Il mio prossimo obiettivo è entrare in alcune delle altre comunità.“Le comunità CIS sono un modo per fare rete con altri esperti tecnici, risolvere i problemi di sicurezza e raggiungere un consenso sulle migliori pratiche in materia di criminalità informatica”. “I professionisti hanno partecipato al dibattito“spiega Bading”.attraverso una comunità, hanno chiuso il cerchio. Ed ecco cosa hanno detto collettivamente. Non si tratta di una sola persona o di una sola azienda, ma di un grande gruppo di individui che trasmettono lo stesso messaggio..”

Sicurezza seria per minacce serie

“
I criminali informatici fanno sul serio
“, avverte il signor Bading, “
e non hanno paura di rompere le cose
“. La determinazione dei criminali informatici dimostra che i clienti devono essere altrettanto seri nell’implementare le migliori pratiche e la conformità. La sicurezza informatica è un problema di business, non solo di IT. Per BFB Consulting e i suoi clienti, CIS SecureSuite Membership fornisce le risorse necessarie per implementare le best practice di sicurezza. “
Firewall e antivirus non sono più sufficienti nell’era dell’IA malevola, del malware fileless e metamorfico
“, afferma Bading. “
Dobbiamo costantemente alzare il tiro quando si tratta di sicurezza e controlli interni”.
.” Combinando i potenti CIS Benchmarks e CIS Controls, CIS SecureSuite Membership aiuta le organizzazioni a mantenere sicuri i sistemi configurati. È una risorsa essenziale per sviluppare una vera sicurezza di base in tutta l’azienda.

Per saperne di più, visitate il sito
www.Source-Data.com
.

Articolo originale in inglese: https: //www.linkedin.com/pulse/how-choose-ibm-i-iseriesas400-cybersecurity-consultant-bob-losey/