Perché le classificazioni di sicurezza sono importanti?

Le valutazioni di sicurezza o di sicurezza informatica forniscono ai team di gestione del rischio e di sicurezza le informazioni necessarie per determinare se la posizione di sicurezza dei loro fornitori e la propria è sufficiente per prevenire gli attacchi informatici e garantire la sicurezza delle informazioni.

Breve storia delle classificazioni di sicurezza

I rating di sicurezza derivano dai rating del credito, tranne per il fatto che sono una valutazione del rischio di sicurezza di un'azienda e non del rischio di credito.

Per comprendere il valore dei rating di sicurezza, è utile avere una comprensione della provenienza dei rating del credito, quindi inizieremo da lì.

I rating del credito forniscono agli investitori informazioni sul fatto che l'emittente di un'obbligazione, di uno strumento di debito o di un titolo a reddito fisso sarà in grado di far fronte ai propri obblighi di debito.

Generalmente assumono la forma di un voto in lettere emesso da un'agenzia di rating del credito che fornisce un'analisi indipendente e obiettiva della capacità di un'azienda o di un paese di rimborsare il debito.

I rating creditizi sono nati sulla scia della crisi finanziaria del 1837 con l'istituzione di agenzie di credito mercantile.

Queste agenzie hanno valutato la capacità dei commercianti di pagare i propri debiti e hanno consolidato queste valutazioni in guide pubblicate. La prima agenzia di questo tipo fu fondata da Lewis Tappan nel 1841 e successivamente acquisita da Robert Dun che pubblicò una guida alle valutazioni nel 1859.

Tuttavia, fu solo nel 1909, e con l'istituzione della guida alle obbligazioni ferroviarie di John Moody's, che i rating del credito divennero ampiamente accessibili.

Nel 1913, Moody si espanse in aziende industriali e servizi pubblici e iniziò a utilizzare il sistema di valutazione delle lettere che conosciamo oggi.

Negli anni successivi, sono stati istituiti gli antecedenti delle "Big Three" agenzie di rating del credito. Vale a dire la Poor's Publishing Company nel 1916, la Standards Statistics Company nel 1922 e la Fitch Publishing Company nel 1924.

Queste agenzie, insieme a John Moody's, sarebbero poi diventate Standards & Poors (S&P), Moody's e Fitch Group.

L'obiettivo di questi fornitori di rating del credito è quello di eliminare la soggettività e la valutazione puntuale del rischio di credito, fornendo una valutazione indipendente, obiettiva e quantitativa del merito di credito che chiunque potrebbe utilizzare.

Secondo la maggior parte dei resoconti, i rating del credito sono stati un successo. I punteggi di credito sono la principale misura dell'affidabilità creditizia in tutto il mondo.

I fornitori di rating di sicurezza hanno lo stesso obiettivo, basta sostituire il rischio di credito con il rischio di sicurezza informatica.

Cosa sono le classificazioni di sicurezza?

Le valutazioni della sicurezza sono una misura basata sui dati, oggettiva e dinamica della posizione di sicurezza di un'organizzazione.

Sono comunemente utilizzati per comprendere il rischio rappresentato da relazioni con terze parti o catena di approvvigionamento, nonché per valutare la propria posizione di sicurezza informatica.

Le valutazioni della sicurezza forniscono un'unica metrica che rappresenta le prestazioni di sicurezza informatica di un'organizzazione, spesso sotto forma di voto in lettere (come le valutazioni del credito) o di punteggio numerico.

Il vantaggio delle valutazioni di sicurezza rispetto alle tradizionali valutazioni del rischio è che vengono generate automaticamente, aggiornate frequentemente e forniscono un linguaggio comune per gli stakeholder tecnici e non tecnici.

Quali sono i casi d'uso comuni per le valutazioni di sicurezza?

I casi d'uso comuni per le classificazioni di sicurezza includono:

Aiutare i team di gestione del rischio di terze parti a eseguire la due diligence sulle pratiche di sicurezza IT di partner commerciali, fornitori di servizi e fornitori di terze parti per comprendere meglio l'esposizione ai rischi di terze parti e ai rischi di quarta parte (noto anche come rischio del fornitore).
Sottoscrizione, determinazione dei prezzi e gestione del rischio delle assicurazioni informatiche, consentendo agli assicuratori di ottenere visibilità sul programma di sicurezza di coloro che assicurano per valutare e valutare meglio il rischio.
Investimento o acquisizione di un'azienda fornendo alle organizzazioni una valutazione indipendente di un investimento o dei controlli
di sicurezza di un obiettivo di M&A
Consentire ai governi di comprendere e gestire meglio le prestazioni di sicurezza informatica proprie e dei loro fornitori, una componente chiave della conformità FISMA.
Valutazione continua della posizione di sicurezza interna, fornendo ai CISO una valutazione semplice e comprensibile che può essere presentata ai principali stakeholder, tra cui i membri della C-Suite e del consiglio di amministrazione.
Benchmarking e confronto con colleghi del settore, concorrenti, settori e fornitori. Questo può aiutare nel processo decisionale e fornire un contesto su quali controlli di sicurezza o mitigazioni la tua organizzazione deve investire.
Fornire garanzie a clienti, assicuratori, autorità di regolamentazione e altre parti interessate che la tua organizzazione si preoccupa di prevenire problemi di sicurezza come violazioni dei dati, malware e ransomware.

Leggi il nostro articolo completo sulle valutazioni di sicurezza.

Come vengono calcolate le valutazioni di sicurezza?

Le valutazioni di sicurezza si basano su informazioni oggettive, osservabili esternamente, continuamente disponibili e verificabili.

I fornitori di valutazioni della sicurezza sono organizzazioni indipendenti, il che significa che ogni fornitore utilizza dati diversi per generare la propria valutazione.

UpGuard è una delle piattaforme di valutazione della sicurezza più popolari. Generiamo le nostre valutazioni attraverso algoritmi proprietari che raccolgono e analizzano feed di minacce commerciali e open source affidabili e metodi di raccolta dati non intrusivi per valutare quantitativamente il rischio informatico.

Con UpGuard, il rating di sicurezza di un'organizzazione può variare da 0 a 950 ed è composto da una media ponderata del rating di rischio di tutti i domini sottostanti oltre ai rating dei loro fornitori.

Più basso è il rating, più gravi sono i rischi a cui è esposta l'organizzazione.

Al contrario, più alto è il punteggio, migliori sono le loro pratiche di sicurezza e minore è la possibilità di esporre informazioni sensibili.

Per mantenere aggiornata la tua valutazione di sicurezza, la ricalcoliamo ogni volta che uno dei tuoi siti web viene scansionato o viene inviato un questionario di sicurezza.

Ciò significa in genere che la valutazione della sicurezza dell'organizzazione verrà aggiornata più volte al giorno, poiché la maggior parte dei siti Web viene analizzata quotidianamente. Ciò presuppone che tu abbia più di un sito web.

Basiamo le nostre valutazioni sull'analisi di 70+ vettori, tra cui:

Suscettibilità agli attacchi man-in-the-middle
Certificati SSL/TLS non sicuri
Impostazioni SPF, DKIM e DMARC
Sicurezza del Trasporto Rigido HTTP (HSTS)
Rischio di spoofing e phishing delle e-mail
Vulnerabilità
Suscettibilità al malware
Porte aperte non necessarie per l'amministrazione, il database, le app, la posta elettronica e la condivisione di file
Esposizione a violazioni e fughe di dati note
Software vulnerabile
Accessibilità HTTP
Configurazione sicura dei cookie
Risultati dei questionari sulla sicurezza intelligente

Se sei curioso di conoscere altri servizi di valutazione della sicurezza, consulta la nostra guida sulle valutazioni di sicurezza di SecurityScorecard rispetto alle valutazioni di sicurezza di BitSight qui.

L'importanza delle classificazioni di sicurezza

Secondo Gartner, i rating della sicurezza informatica diventeranno importanti quanto i rating del credito nella valutazione del rischio delle relazioni commerciali esistenti e nuove... Questi servizi diventeranno un presupposto per le relazioni commerciali e faranno parte dello standard di diligenza per i fornitori e i committenti di servizi. Inoltre, i servizi avranno ampliato il loro campo d'azione per valutare altre aree, come l'assicurazione informatica, la due diligence per le fusioni e acquisizioni e persino come metrica grezza per i programmi di sicurezza interna.

La crescente importanza delle valutazioni di sicurezza è in gran parte dovuta all'introduzione di leggi generali sulla protezione dei dati come FIPA, CCPA, PIPEDA, lo SHIELD Act, LGPD e GDPR, nonché a programmi di gestione del rischio dei fornitori incentrati sul settore guidati dall'introduzione di CPS 234, 23 NYCRR 500, FISMA e GLBA.

Le valutazioni di sicurezza colmano un'ampia lacuna lasciata dalle tradizionali tecniche di valutazione del rischio, come i test di penetrazione o le visite in loco.

Ecco perché molte organizzazioni si sono rivolte alle valutazioni di sicurezza per valutare se stesse e le loro terze parti.

I metodi tradizionali di valutazione di terze parti richiedono molto tempo. L'invio di questionari a tutte le terze parti per comprendere la loro posizione di sicurezza richiede molto monitoraggio e, francamente, non è sempre accurato.

La verità è che i questionari, proprio come i test di penetrazione, sono valutazioni soggettive e puntuali che diventano imprecise nel tempo man mano che emergono nuovi problemi di sicurezza.

Le valutazioni della sicurezza integrano questi metodi tradizionali di gestione del rischio fornendo una valutazione continua, obiettiva e aggiornata delle posizioni di sicurezza, consentendoti di capire quali minacce informatiche la tua organizzazione deve affrontare e come mitigarle.

Inoltre, molti responsabili della sicurezza ritengono che le valutazioni della sicurezza siano preziose per riportare i risultati della sicurezza informatica al consiglio di amministrazione, alla C-suite e persino agli azionisti. Se a questo si aggiunge il benchmarking del settore e le valutazioni della concorrenza, le organizzazioni hanno ora il contesto necessario per valutare i programmi di sicurezza informatica propri e dei loro fornitori.

È possibile modificare le valutazioni di sicurezza dei fornitori? Uscire >

L'importanza di valutazioni di sicurezza eque e accurate

Man mano che le valutazioni della sicurezza continuano a maturare, sempre più organizzazioni nei settori pubblico e privato si affidano a loro per prendere decisioni aziendali e di rischio.

Per aumentare la fiducia nelle valutazioni di sicurezza, la Camera di Commercio degli Stati Uniti ha delineato un approccio comune a livello di settore per le società di valutazione della sicurezza per:

Promuovere la qualità e l'accuratezza nella produzione di valutazioni di sicurezza
Promuovere l'equità nella rendicontazione
Includere un processo coordinato per giudicare errori o imprecisioni nei contenuti segnalati
Stabilire linee guida per l'uso appropriato e la divulgazione dei punteggi e delle valutazioni

I principi di una valutazione della sicurezza equa e accurata sono:

Trasparenza: UpGuard crede nel fornire una trasparenza completa e tempestiva non solo ai nostri clienti, ma a qualsiasi organizzazione che voglia comprendere la propria posizione di sicurezza, motivo per cui puoi richiedere la tua valutazione di sicurezza gratuita qui e puoi prenotare una prova gratuita della nostra piattaforma qui.
Controversia, correzione e ricorso: UpGuard si impegna a lavorare con clienti, fornitori e qualsiasi organizzazione che ritenga che il proprio punteggio non sia accurato o obsoleto.
Accuratezza e convalida: le valutazioni di sicurezza di UpGuard sono empiriche, basate sui dati e basate su informazioni verificabili e accessibili in modo indipendente.
Governance del modello: sebbene i set di dati e le metodologie utilizzate per calcolare le nostre valutazioni di sicurezza possano cambiare di volta in volta per riflettere meglio la nostra comprensione di come mitigare i rischi di sicurezza informatica, forniamo un preavviso ragionevole e spiegazioni ai nostri clienti su come la loro valutazione di sicurezza potrebbe essere influenzata.
Indipendenza: nessun accordo commerciale o la sua mancanza, dà a un'organizzazione la possibilità di migliorare il proprio rating di sicurezza senza migliorare la propria posizione di sicurezza.
Riservatezza: qualsiasi informazione divulgata a UpGuard nel corso di una valutazione contestata o di una controversia è adeguatamente protetta. Inoltre, non forniamo a terze parti informazioni sensibili o riservate su organizzazioni classificate che potrebbero portare alla compromissione del sistema.

Per saperne di più sui loro principi per valutazioni di sicurezza eque e accurate, clicca qui.