Proteggere l'ecosistema delle identità in Clarios

Il mio ruolo in Clarios è quello di Chief Information Security Officer. Sono anche responsabile dell’infrastruttura IT. Lavoro in Clarios da circa sei anni. Clarios è la più grande azienda al mondo produttrice di batterie — e quando dico “batterie”, mi riferisco alle batterie a bassa tensione che vengono montate su ogni automobile. Siamo un’azienda globale. Abbiamo oltre 50 stabilimenti in tutto il mondo che producono queste batterie e ne produciamo circa 155 milioni all’anno. Abbiamo quindi questa società principale che si occupa della produzione delle batterie. L’aspetto fondamentale è che dobbiamo proteggere questa attività. Dobbiamo garantire la continuità delle operazioni e della produzione, perché l’intero settore automobilistico dipende dalle batterie che riceviamo. Altrimenti, come sapete, le grandi case automobilistiche non potrebbero far uscire le loro auto dalle linee di assemblaggio. Stiamo entrando nel settore dei sistemi di gestione delle batterie, ovvero un software che può essere integrato in queste batterie per renderle più intelligenti, giusto? Queste richieste provengono proprio dalle stesse case automobilistiche. Quindi, stiamo passando dalla produzione a diventare un’azienda di software, e questo potrebbe portarci a offrire anche servizi. Pensateci in questi termini: gestiamo l’ecosistema di tutte le batterie delle flotte e cose simili, e questo rappresenta un’importante attività di servizi. La mia sfida è quindi trovare un equilibrio tra la tutela del core business dell’azienda – che oggi rappresenta ancora l’80% del nostro fatturato – e la preparazione dell’organizzazione, delle infrastrutture e della sicurezza per questi nuovi settori emergenti. Questa è la sfida che affronto ogni giorno. Qual è l’impatto se Clarios smette di funzionare? Le auto non escono dalle linee di assemblaggio. Perché ogni veicolo che esce dalla linea di assemblaggio – auto, camion, sapete, camion di grandi dimensioni e simili – deve avere la propria batteria a bassa tensione per funzionare. Quindi, se noi smettiamo di funzionare, anche loro smettono di funzionare, e questo non va bene. Perché Semperis? Quando stavamo sviluppando le nostre iniziative per il nostro programma di sicurezza informatica e simili, avevamo questo slogan che diceva: “Vogliamo essere bravi e proteggere”, seguendo il modello NIST. Ma poi abbiamo detto: “Vogliamo essere bravi e proteggere, ma vogliamo essere eccellenti nel rilevare, rispondere e ripristinare”. La logica alla base di questo è che possiamo proteggere solo fino a un certo punto. E penso che le organizzazioni più intelligenti siano quelle che dispongono di buone capacità di risposta e ripristino. Quindi, mentre esaminavamo alcuni di questi aspetti, è diventato subito chiaro che la maggior parte di quello sforzo era concentrata sulle applicazioni, e si discuteva di ridondanza, di altri fornitori SaaS e di come eseguire i backup e cose del genere. Ma poi, quando abbiamo fatto un’esercitazione, mentre seguivamo il processo passo dopo passo durante una prova reale, ci siamo resi conto che stavamo dando per scontate molte cose quando si trattava di Active Directory, giusto? Il mio capo mi ha chiesto: “Cosa fai quando Active Directory è fuori uso?”. La situazione cambia radicalmente quando gli aggressori prendono il controllo di Active Directory e lo rendono inutilizzabile, oppure quando non è più possibile fidarsi di nessuna identità. È da lì che è partita la discussione e abbiamo iniziato a cercare soluzioni. Semperis è emerso dalle nostre ricerche e abbiamo avviato il dialogo. Oggi utilizziamo Semperis per il ripristino della nostra foresta, per il nostro strumento di rilevamento « DSP » e anche per il DRET. Non so se utilizziamo l’intera gamma di prodotti Semperis, ma ne possediamo una parte consistente, ovvero la maggior parte dei loro prodotti. Siamo inoltre interessati al prodotto « Ready1 », soprattutto perché, come ho detto, la resilienza è fondamentale. Stiamo effettuando alcuni investimenti nella gestione delle crisi e nella continuità operativa, quindi non vogliamo ritrovarci a reinventare la ruota durante una crisi. Come possiamo assicurarci di disporre di una serie di procedure che le persone sappiano seguire e di effettuare test su base periodica? Pertanto, siamo molto interessati anche a questa funzionalità. Non potrei mai lodare abbastanza le competenze tecniche che il team di Semperis mette a disposizione. Sapete, riteniamo che l’AD sia solo una piccola parte di una strategia di ripristino più ampia, ma penso che spesso dimentichiamo che si tratta di un elemento davvero, davvero fondamentale, e se riusciamo a renderlo semplice, è proprio questo il punto. Quindi, che si tratti di partecipare ai loro eventi, di invitare qualcuno di Semperis nella nostra organizzazione per una discussione in stile workshop o una demo del prodotto, sono rimasto molto colpito dalle loro capacità. Il mio team è rimasto molto soddisfatto non solo della competenza tecnica, ma anche della visione più ampia che mettono in campo, giusto? Per quanto si parli di Active Directory, è l’ecosistema più ampio dell’identità che deve essere preso in considerazione. Molte organizzazioni non dispongono solo di Active Directory, ma anche di altri strumenti IGA, di gestione degli accessi privilegiati e così via. Pertanto, l’ampiezza di visione che il team di Semperis apporta su un aspetto fondamentale della sicurezza delle identità è molto apprezzata, e abbiamo sempre avuto un’ottima esperienza con loro.