Quattro punti cardinali per la resilienza al ransomware

Il ransomware non è più soltanto un malware che cifra i file. Si è trasformato in una vera e propria industria criminale matura, con catene di fornitura, affiliati, negoziazioni professionalizzate e tattiche di pressione pubblica. Il suo vero obiettivo non è solo il dato: è la continuità operativa del business. Quando un’organizzazione cade nella sua rete, l’impatto si misura in ordini bloccati, ospedali rallentati, pratiche congelate, reputazione compromessa e clienti irritati, pronti a lasciarsi conquistare dalla concorrenza. Il ransomware copre ormai l’intero territorio.

Secondo tutti i principali report, il ransomware continua a figurare stabilmente tra le minacce più rilevanti dell’ecosistema globale, sia per le organizzazioni pubbliche sia per quelle private. E la sua scia disegna una mappa che occorre percorrere in tutta la sua estensione, lungo ogni latitudine e longitudine. Almeno nei quattro punti cardinali che possono aiutarci a orientarci.

Nord: prevenire per non perdere l’orientamento

Forse il primo punto cardinale è il più elementare, anche se scomodo: non si può acquistare una “protezione contro il ransomware” come se si installasse una serratura. Occorre costruire resilienza, che è un’architettura, non semplicemente una batteria di prodotti. Il Nord, in questo caso, è la prevenzione: ciò che consente a un’organizzazione di non perdere l’orientamento prima che arrivi la tempesta.

Si comincia prima dell’attacco, portando fino in fondo l’igiene di base: gestione rigorosa delle vulnerabilità, autenticazione forte, principio del minimo privilegio, zero trust, segmentazione, controllo degli accessi, protezione della posta elettronica, filtraggio della navigazione, formazione realistica e riduzione della superficie esposta. Il ransomware entra spesso da porte già note: credenziali compromesse, applicazioni non aggiornate, accessi remoti non adeguatamente protetti o utenti indotti a fare clic nel momento sbagliato.

D’altra parte, le vulnerabilità esistenti e appena scoperte — oggi in forte aumento anche per il ruolo esplorativo dell’IA e dei suoi modelli più recenti, come Mythos o Fable — possono diventare un vettore di attacco persino più appetibile del furto di credenziali. È possibile che, potenziato dalla scoperta algoritmica, l’anello più debole della catena non sia sempre e soltanto l’utente. Il Nord della resilienza consiste proprio nell’anticipare: chiudere i percorsi prima che l’avversario li trasformi in autostrade.

Est: rilevare là dove la minaccia inizia ad affacciarsi

Il secondo punto cardinale su cui la traccia del ransomware ci impone di concentrarci è la rilevazione. L’Est è il punto da cui compare la prima luce; trasposto nella cybersecurity, rappresenta la capacità di vedere prima, rilevare prima e rispondere prima. Perché non possiamo accontentarci della fantasia del muro perfetto.

L’avversario finirà per provare serrature, scalare privilegi, muoversi lateralmente e cercare le copie di sicurezza prima ancora di cifrare qualcosa. La difesa moderna consiste nel rilevare i comportamenti: processi anomali, accessi impossibili, modifiche massive ai file, connessioni insolite, abuso di strumenti legittimi, movimenti tra segmenti che non dovrebbero comunicare tra loro.

L’intelligenza artificiale, presente da decenni in questo settore, ha accelerato la propria penetrazione negli ultimi anni, imparando pattern e riducendo i tempi di risposta. Combinare analisi statica, analisi dinamica, rilevazione delle anomalie e alert precoci prima che si verifichi la cifratura massiva è fondamentale. Nel ransomware, vedere tardi equivale quasi a non vedere. Come assistere all’alba senza occhiali, fino a restarne accecati. Vedere presto, e in modo protetto, consente invece di trasformare un potenziale incendio in un incidente contenuto.

Sud: resistere a partire dalle fondamenta

Il terzo punto cardinale delinea la traiettoria del ransomware che, nonostante tutto, ha la cattiva abitudine di riuscire a entrare. Per questo è indispensabile essere preparati a resistere, e il Sud rappresenta qui le fondamenta: ciò che sostiene l’organizzazione quando tutto il resto trema. Per farlo, serve aver costruito meccanismi di cyber resilienza che vanno ben oltre il backup.

Molte organizzazioni scoprono troppo tardi che avere copie di backup non equivale a essere in grado di ripristinare l’operatività. Le copie devono essere isolate, immutabili, testate regolarmente e integrate in un piano di recovery collaudato. La domanda davvero rilevante non è “abbiamo un backup?”, ma “quanta parte del business possiamo ripristinare, in quanto tempo e con quale livello di affidabilità?”.

E se pensi che possa essere costoso sostenere l’investimento in un progetto apparentemente secondario per costruire questa cyber resilienza, prova a stimare quanta parte del business saresti disposto a perdere in caso di attacco ransomware senza averla predisposta. Il divario di ingenuità è significativo: alcuni report indicano che il 90% dei leader si dichiara fiducioso nelle proprie capacità di recovery, ma solo il 28% delle vittime di ransomware riesce a recuperare pienamente i dati compromessi. Resistere non significa sopportare eroicamente l’impatto; significa aver preparato il terreno affinché l’organizzazione non sprofondi.

Ovest: rispondere quando cala la notte

La quarta lezione che il ransomware ci lascia è la risposta. L’Ovest, dove il giorno declina, simboleggia quel momento in cui la visibilità si riduce, la pressione aumenta e ogni decisione pesa di più. Un attacco ransomware non può essere improvvisato in una sala di crisi, con persone stanche, pressione mediatica e sistemi fuori uso.

Serve un copione definito in anticipo: chi decide, chi comunica, cosa viene scollegato, quali evidenze vengono preservate, quali servizi vengono prioritizzati, come si coordinano area legale, IT, sicurezza, business e direzione. La resilienza non elimina l’impatto, ma impedisce che l’impatto si trasformi in crollo. E per questo servono formazione, consapevolezza, procedure e servizi esterni predisposti prima che arrivi l’emergenza.

Rispondere bene non significa avere tutte le risposte nel mezzo del caos. Significa aver riflettuto prima sulle domande importanti. Significa aver definito priorità, canali, responsabilità e criteri decisionali. Quando cala la notte, l’organizzazione che si è esercitata non cammina alla cieca.

Il ransomware continuerà a evolvere insieme al lungo processo di digitalizzazione in cui siamo ancora immersi. La cybersecurity dovrà accompagnare questa evoluzione aumentando costantemente il proprio livello di maturità, il che significa accettare questa realtà senza fatalismi e affrontarne i molteplici fronti: prevenire per ridurre la probabilità; rilevare per ridurre il tempo di esposizione; segmentare per limitare il danno; eseguire backup corretti per recuperare l’operatività; esercitarsi per trasformare il caos in procedura.

Questa pluralità di approcci continuerà a fare la differenza tra un’azienda che accumula strumenti e un’organizzazione che, affiancata dal canale e da distributori a valore, mantiene il polso della situazione e sa orientarsi sulla mappa.

- Javier Jurado, Business Development Director, Iberia.