Manutenzione preventiva e manutenzione predittiva sono termini nati nell’industria.
La prima indica gli interventi fatti a scadenza fissa, la seconda quelli decisi in base ai dati che arrivano dai macchinari.
In sicurezza informatica, la distinzione esiste ed è utile ma va tradotta con precisione.
C’è quello che si fa a calendario, indipendentemente da quello che succede e c’è quello che si fa su condizione, quando i dati dicono che qualcosa è cambiato.
Le due cose non sono alternative. Sono due colonne dello stesso piano. Chi ne tiene una sola scopre il buco al momento sbagliato.
Che cos’è la manutenzione preventiva in sicurezza
La manutenzione preventiva è tutto ciò che ha una data prima di avere un motivo. Non si aspetta un segnale: si fa perché è il momento.
In un’infrastruttura aziendale ne fanno parte poche attività, tutte note e quasi tutte trascurate.
Gli aggiornamenti di sicurezza applicati nella finestra concordata con la produzione. Il riesame delle utenze e delle autorizzazioni, per togliere quelle di chi ha cambiato ruolo o se n’è andato. La rotazione delle credenziali degli account di servizio, che non scadono mai da sole. Il rinnovo dei certificati prima della scadenza. La verifica periodica di quello che è esposto su internet, in quale versione e con quale configurazione. Il test di ripristino dei backup, perché un backup mai ripristinato è un’ipotesi.
Il vantaggio della manutenzione a calendario è che non dipende da nessuno che si accorga di qualcosa. Una scadenza sul calendario si presenta anche se nessuno la sta aspettando.
Il limite è che fra una scadenza e l’altra il mondo cambia.
Una vulnerabilità pubblicata il giorno dopo la verifica trimestrale resta aperta per tre mesi.
In tre mesi chi cerca sistemi vulnerabili passa più volte.
Che cos’è la manutenzione predittiva in sicurezza
La manutenzione predittiva è quella che non ha una data ma ha un innesco.
Qualcosa cambia e quel cambiamento fa scattare una verifica che il calendario non prevedeva.
Nell’industria l’innesco arriva dai sensori: una vibrazione anomala, una temperatura fuori soglia. In sicurezza arriva da fonti diverse. Conviene sapere quali sono.
Una vulnerabilità pubblicata su un prodotto che avete in esercizio. È il caso più frequente. L’avviso arriva e la domanda “ce l’abbiamo?” deve avere una risposta in ore, non alla prossima verifica.
Un sistema nuovo che entra in produzione. Un servizio esposto il lunedì va verificato prima del lunedì, non al trimestre successivo. È il motivo per cui serve un ambiente di prova che somigli alla produzione.
Un incidente presso un fornitore. Chi vi fornisce servizi ha quasi sempre accessi ai vostri sistemi. Una violazione da loro è una porta aperta da voi finché quegli accessi non vengono riverificati.
Una variazione organizzativa. Un amministratore che lascia, una società acquisita, un reparto esternalizzato: ogni volta cambiano le utenze, i privilegi e gli accessi remoti. Ogni volta qualcosa resta aperto se nessuno lo chiude.
Una segnalazione esterna, di un cliente, di un’autorità, di un ricercatore. Arriva di rado. Quando arriva, di solito ha ragione.
I dati su cui si basa la manutenzione predittiva
Prevedere, in sicurezza, significa decidere cosa correggere per primo sulla base di dati e non dell’ordine in cui le vulnerabilità compaiono nell’elenco. Le fonti sono tre.
La prima è la gravità tecnica, il punteggio CVSS. Dice quanto sarebbe grave uno sfruttamento, non quanto è probabile che avvenga.
La seconda è la probabilità di sfruttamento. Oggi ha un punteggio dedicato, EPSS, più un catalogo pubblico delle vulnerabilità per cui lo sfruttamento è documentato, il KEV. Sono i dati che trasformano un elenco di vulnerabilità in un ordine di intervento. Li abbiamo spiegati nell’articolo su come prioritizzare le vulnerabilità con CVSS, EPSS e KEV.
La terza è vostra e nessuno la pubblica: l’esposizione e la criticità del sistema interessato. Una vulnerabilità con punteggio alto su un sistema isolato vale meno di una media su un servizio raggiungibile da internet che custodisce dati. Senza un inventario degli asset aggiornato questo dato non esiste. Senza questo dato le altre due fonti dicono poco.
Incrociate, le tre dicono cosa fare subito e cosa può aspettare la finestra di manutenzione. È la manutenzione predittiva nel senso proprio.
La verifica a calendario, con una data sopra
Un vulnerability assessment periodico sui sistemi esposti produce un report con data, perimetro, esiti e priorità. Il confronto con il report precedente è quello che dice se la manutenzione ha prodotto qualcosa fra una verifica e l’altra.
Le differenze che contano
Le due strategie si distinguono su quattro piani. Su ciascuno hanno un punto di forza e uno di debolezza.
| Preventiva | Predittiva | |
|---|---|---|
| Che cosa la fa scattare | Una data | Un dato: una vulnerabilità nuova, un sistema nuovo, un cambiamento |
| Che cosa serve per farla | Un calendario e qualcuno che lo rispetti | Un inventario aggiornato, fonti monitorate e qualcuno incaricato di reagire |
| Dove sbaglia | Nell’intervallo fra due scadenze | Su quello che nessun dato segnala: il sistema che non è in inventario |
| Che cosa produce | Una serie di evidenze datate, confrontabili nel tempo | Interventi mirati, più rapidi e meno numerosi |
L’errore più comune è pensare che la predittiva sostituisca la preventiva perché è più intelligente. Non la sostituisce: la presuppone. Chi non ha un inventario e non fa verifiche periodiche non ha i dati da cui la predittiva parte. E chi fa solo manutenzione su condizione reagisce a quello che vede, mentre quello che non vede resta lì.
Un calendario tipo
Per un’infrastruttura di media dimensione, questo è un punto di partenza. Le cadenze vanno adattate a quanto cambia la vostra rete: tre mesi o sei mesi dipendono da quanti sistemi entrano ed escono, non da una regola.
| Attività | A calendario | Su condizione |
|---|---|---|
| Aggiornamenti di sicurezza | Finestra mensile concordata con la produzione | Vulnerabilità nel KEV o con EPSS alto: fuori finestra |
| Verifica dei servizi esposti | Trimestrale o semestrale | Nuovo sistema in produzione, segnalazione esterna |
| Riesame utenze e privilegi | Trimestrale | Cessazione, cambio ruolo, cambio fornitore |
| Accessi remoti attivi | Trimestrale | Fine di un contratto di assistenza |
| Credenziali degli account di servizio | Annuale | Sospetta esposizione, cambio dell’amministratore che le conosceva |
| Certificati e cifratura in transito | Prima della scadenza, con preavviso | Deprecazione di un protocollo o di un cifrario |
| Test di ripristino dei backup | Semestrale | Cambio del sistema di backup |
| Penetration test | Annuale sui sistemi critici | Nuova applicazione esposta, modifica dell’architettura |
Che cosa manca quasi sempre
Nelle infrastrutture che passano da una verifica esterna, la manutenzione a calendario esiste per gli aggiornamenti e quasi mai per il resto. Le utenze non vengono riviste finché qualcuno non se ne va. Gli accessi remoti dei fornitori restano aperti a contratto finito. I certificati scadono e si scopre dal browser degli utenti.
La manutenzione su condizione manca per una ragione diversa: non c’è nessuno incaricato di ricevere il dato. L’avviso di sicurezza arriva a una casella che nessuno legge, la segnalazione del cliente finisce al commerciale, il fornitore violato non lo comunica. Il dato esiste ma non trova nessuno.
Il problema del patch management che passa in secondo piano è lo stesso visto da un’altra angolazione: le finestre di manutenzione esistono sulla carta. Le ragioni per cui non si rispettano sono organizzative prima che tecniche.
Quello che una verifica esterna aggiunge a entrambe le colonne è una cosa sola: la data. Un report con una data dice cosa c’era quel giorno. Il confronto con il precedente dice se la manutenzione, a calendario o su condizione, ha prodotto qualcosa nel frattempo.
Prima della messa in produzione
Un penetration test su un’applicazione o un sistema che sta per andare in produzione verifica il percorso da un accesso realistico ai dati che custodisce, con perimetro e regole d’ingaggio concordati per iscritto. È la verifica su condizione che costa meno fare prima che dopo.
- Autore articolo
- Gli ultimi articoli
Nata a Taranto nel 1996 e diplomata in “Amministrazione finanza e marketing articolazione relazioni internazionali”. Ho seguito svariati corsi di formazione e ho avuto diverse esperienze lavorative nel mondo del marketing online e della comunicazione. Ad oggi sono scrittrice e mi occupo, oltre che dei social media, anche di seo, web/graphic design e fotografia.