Agnidipta Sarkar, Chief Evangelist, ColorTokens – Serie di Interviste

Agnidipta Sarkar, Chief Evangelist, ColorTokens è un leader nella cybersecurity e nella resilienza digitale con oltre tre decenni di esperienza che coprono difesa informatica, gestione del rischio, continuità operativa, privacy e Zero Trust. In ColorTokens, collabora con consigli di amministrazione, dirigenti di alto livello e leader della sicurezza per rafforzare la preparazione alle violazioni e collegare i programmi di cybersecurity alle priorità aziendali, contribuendo anche a standard internazionali e iniziative di settore attraverso organizzazioni come ISO, la Cloud Security Alliance, NIST e ISA. Prima di entrare in ColorTokens, Sarkar è stato Group CISO presso Biocon e ha ricoperto ruoli senior nella sicurezza delle informazioni e nella gestione del rischio in organizzazioni tra cui DXC Technology, Hewlett Packard Enterprise e HP.

ColorTokens è un’azienda di cybersecurity focalizzata sulla microsegmentazione, Zero Trust e sull’aiutare le imprese a diventare più resilienti quando gli aggressori superano le difese perimetrali tradizionali. La sua piattaforma di punta, Xshield Enterprise Microsegmentation Platform, è progettata per impedire a aggressori e malware di muoversi lateralmente all’interno di un’organizzazione creando confini di sicurezza granulari attorno a carichi di lavoro e risorse che coprono data center, infrastruttura cloud, endpoint, ambienti Kubernetes, tecnologia operativa (OT) e dispositivi Internet of Things (IoT). La piattaforma incorpora inoltre flussi di lavoro assistiti dall’IA per la scoperta degli ambienti, la creazione di politiche di segmentazione e l’accelerazione del loro dispiegamento, con l’obiettivo più ampio di ridurre la superficie di attacco dell’organizzazione e limitare l’impatto potenziale, o “raggio d’esplosione”, di una violazione riuscita.

Hai trascorso più di tre decenni passando da ruoli pratici di networking e sicurezza presso HCL, Wipro, HP, HPE e DXC a ricoprire la carica di Group Chief Information Security Officer presso Biocon e a contribuire a standard di sicurezza internazionali. In che modo queste esperienze in prima linea hanno plasmato la tua convinzione che le organizzazioni debbano prepararsi a contenere le violazioni anziché presumere di poter prevenire ogni intrusione?

Nei miei primi anni in HCL e Wipro, la cybersecurity sembrava il Far West: eccitante, caotica e ricca di opportunità. Mi sono lanciato, sperimentando, fallendo, imparando e riuscendo in tutto ciò che la tecnologia poteva offrire: firewall, IDS, MFA, crittografia, audit, governance. Ma la vera lezione è arrivata quando ho osservato il mio primo incidente di sicurezza svilupparsi. Improvvisamente, tutte quelle best practice sono crollate sotto pressione. È stata la mia sveglia.

In HP, ho avuto una visuale in prima fila sul caos, prima come osservatore silenzioso, poi come leader operativo, osservando da vicino lo svolgersi del caos. Ogni incidente ha rafforzato la stessa lezione: l’IT non si ferma mai, e nessun investimento può garantire la sicurezza. Quando ho finalmente assunto la guida come Group CISO, sapevo che il mio compito era creare un manuale per gestire le violazioni, non solo per le operazioni di sicurezza, ma per l’intera organizzazione. Un manuale ripetibile, prevedibile, capace di mantenere l’attività operativa quando la tempesta colpisce, migliorando continuamente le operazioni di sicurezza nel tempo.

In teoria, gli strumenti sembravano perfetti. In realtà, l’IT Service Management ha rivelato crepe inaspettate. Gestione degli asset, patching, configurazione, cambiamenti, rischio—tutto intrecciato con errori umani. È lì che si nasconde la debolezza digitale, e quando suonano gli allarmi, è un incubo districare il tutto. Non esiste uno script per la war room quando avviene una violazione. Il caos è la regola, non l’eccezione. Per questo ho dedicato la mia carriera a costruire strutture al centro della tempesta e ad aiutare i leader a filtrare il rumore e gestire il rischio, invece di esserne travolti.

Guardando indietro, sono grato per ogni lezione—osservare da spettatore, sporcarmi le mani nel cuore degli attacchi e infine guidare dal fronte. È per questo che difendo la preparazione alle violazioni come un’arte, non solo una scienza. Si possono mappare i pattern di attacco tutto il giorno, ma ciò che conta è ciò che accade nella war room, quando i leader devono tenere la linea. Tale chiarezza nasce solo dall’esperienza diretta.

Per questo ho creato un framework di preparazione alle violazioni per anticipare, resistere e far evolvere le capacità di affrontare il prossimo attacco informatico. Il framework aiuta le organizzazioni a muoversi con la tempesta, non contro di essa. L’obiettivo finale è realizzare Koun Ryusui, fluttuare come le nuvole, scorrere come l’acqua, così che, quando il prossimo attacco senza precedenti si verifichi, invece del caos, le imprese esercitino una flessibilità strutturata e resilienza, sfruttando gli investimenti tecnologici per emergere più forti e più sicure.

L’IA sta aiutando gli aggressori ad automatizzare ricognizione, sfruttamento delle vulnerabilità e movimento laterale, potenzialmente comprimendo attività che una volta richiedevano settimane in ore o minuti. Quali parti del modello convenzionale di risposta agli incidenti diventano inefficaci quando gli attacchi operano a velocità di macchina?

Quando gli attacchi si muovono a velocità di macchina, i difensori che sopravvivono sono quelli che riescono ad analizzare e agire più rapidamente dell’avversario. Sì, l’IA fornisce nuovi strumenti agli aggressori, ma potenzia anche i difensori. Secondo la mia esperienza, ci sono due modi per gestire questi attacchi senza precedenti, alimentati dall’IA.

Innanzitutto, è necessario riprogettare il proprio paesaggio digitale. Creare zone pronte alle violazioni e microsegmenti che separino i propri gioielli di corona dal resto. Pensatelo come un labirinto: alcuni percorsi sono aperti, altri bloccati, rendendo difficile per identità non autorizzate muoversi liberamente. È così che si tengono a bada gli attacchi potenziati dall’IA rallentandoli, poiché il labirinto si adatta ai cambiamenti nei sistemi digitali.

In secondo luogo, servono modelli, playbook e ruoli chiari pronti prima che l’allarme suoni. Così, quando ciò accade, ogni umano e macchina sa cosa fare e con quale priorità. L’astuzia è guadagnare tempo e rallentare l’IA, costringendola a lavorare di più e negandole movimenti facili. È così che si mantengono le difese attive quando ogni millisecondo conta.

Chiedete a qualsiasi marinaio che abbia sopravvissuto a una perdita in un sottomarino. Quando l’acqua entra di corsa, non avete tempo per indovinare il suo prossimo movimento. È necessario aver rinforzato le porte giuste in anticipo, sapendo cosa mantenere operativo e dove colpirà la pressione. Quando la perdita avviene, tutto ciò che potete fare è mettere in quarantena il compartimento allagato e mantenere il resto della nave in funzione. È così che si protegge il proprio business minimo vitale. Nel mondo digitale, ciò significa la vostra impresa digitale minima vitale.

Questo è ciò che significa la preparazione alle violazioni. Se un attacco dovesse penetrare, si mette in quarantena l’area colpita, si attiva il BCP e si mantiene in funzione il core business non interessato. Nessuna chiusura, nessuna crisi. Solo un’emergenza di incidente.

Difendi la discussione della preparazione alle violazioni in termini di business e finanziari anziché trattarla solo come una questione tecnica. Quali metriche dovrebbero utilizzare i consigli di amministrazione per determinare se l’organizzazione può continuare a operare durante un grave attacco informatico?

Le violazioni non colpiscono solo i vostri sistemi; colpiscono tutto e tutti coloro che dipendono da essi. Chiedete al paziente respinto da un ospedale, al viaggiatore bloccato in aeroporto o al concessionario d’auto lasciato in debito per mesi. Questo è il vero costo di un attacco informatico. Non è una questione di “se”, ma di “quando”. Per questo i consigli devono considerare la preparazione alle violazioni come un imperativo di business e finanziario.

Ci sono due metriche che ogni consiglio dovrebbe monitorare.

Innanzitutto, stabilire la quantità di impatto materiale che il consiglio è disposto ad accettare nella ricerca di ambizioni digitali e AI. Questo fissa il limite di quanto della vostra impresa digitale deve rimanere operativa durante una violazione. Io le chiamo Maximum Acceptable Material Impact (MAMI) e Minimum Viable Digital Enterprise (MVDE).

Molti confondono MVDE con la continuità operativa, ma non sono la stessa cosa. Se si dichiara accettabile un impatto inferiore al 10%, allora il 90% del vostro business deve continuare a funzionare anche durante una violazione. La maggior parte dei piani di continuità operativa vi riporta al massimo al 30%, lasciando il 60% del vostro business digitale esposto. Questo paradosso tiene svegli i leader di notte.

Se impostate il vostro MVDE al 70%, potete rassicurare gli stakeholder che state investendo in difese che mantengono il business operativo, anche quando accade il peggio, costruendo un labirinto difficile da violare per aggressori umani o IA, e la capacità di mettere in quarantena gli attacchi a velocità di macchina. È qui che la microsegmentazione funge da mattoncino fondamentale. Ora potete collegare la maggior parte dei vostri investimenti in cybersecurity, come EDR, firewall, SASE, identità (umane e non umane), accesso, autorizzazione e sicurezza OT, in un unico piano di segnale connesso senza soluzione di continuità, su cui il vostro SOC può operare durante violazioni attive per contenere gli attacchi informatici e isolare il MVDE.

Monitorate MAMI e MVDE ogni trimestre, per ogni nuova iniziativa digitale e AI, e i vostri investitori e stakeholder cercheranno solo prove di quanto bene la resilienza sia gestita.

Il “raggio d’esplosione” è sempre più usato come misura della resilienza cyber. Come può un’organizzazione calcolare il proprio potenziale raggio d’esplosione prima che avvenga un attacco, e quale livello di esposizione sarebbe accettabile?

Il raggio d’esplosione è importante. Molto.

Ma non è l’unica metrica che conta. Sostengo sempre di valutare il proprio raggio d’esplosione attuale come primo passo per costruire un’impresa zero-trust e pronta alle violazioni. Tutto ciò che serve è una Breach Readiness Impact Assessment (BRIA), un’analisi non invasiva, guidata da API, che sfrutta il vostro EDR esistente. Per OT e mainframe, potrebbero essere necessari agenti o appliance.

Non tutto il raggio d’esplosione è negativo. Talvolta è fondamentale per le prestazioni dell’applicazione. Il diavolo sta nei dettagli. Prendete un servizio di cache che velocizza le ricerche di informazioni sui prodotti e le sessioni utente. Necessita di connettività sistema‑a‑sistema per far funzionare una piattaforma e‑commerce con più microservizi. Ma lo stesso raggio d’esplosione diventa un exploit se utenti o sistemi non autorizzati vi accedono.

Non si può valutare il raggio d’esplosione isolatamente. Combinatelo con altri pattern di sicurezza come anomalie comportamentali, uso improprio degli accessi, escalation di privilegi, superamenti di autorizzazioni e fallimenti di autenticazione per comprendere davvero l’esposizione alle violazioni. E ricordate, ciò che è accettabile in un settore può essere un punto di rottura in un altro.

In che modo la preparazione alle violazioni differisce dalla tradizionale risposta agli incidenti, dal disaster recovery, dalla continuità operativa e dai programmi zero-trust, e dove dovrebbe risiedere la responsabilità di coordinare queste discipline?

Questi non sono argomenti separati; sono discipline intrecciate che devono essere coordinate attorno a un unico risultato di business.

Definisco la preparazione alle violazioni come una disciplina di resilienza aziendale: preparare, architettare, esercitare e governare continuamente l’organizzazione per anticipare gli attacchi, limitare il raggio d’esplosione, mantenere il Minimum Viable Digital Enterprise entro il Maximum Acceptable Material Impact predefinito dall’organizzazione e ripristinare le capacità mentre l’attacco è contenuto. La preparazione alle violazioni è la weaponization dell’architettura zero trust e delinea ciò che deve accadere prima, durante e dopo un attacco informatico. Sposta la domanda da “Come teniamo fuori gli aggressori?” a “Come garantiamo che un incidente non possa causare più danni di quanto siamo pronti a tollerare, e quanto del business può continuare a funzionare mentre rispondiamo?”. La preparazione alle violazioni riguarda la sopravvivenza mentre l’incidente è ancora in corso.

Il salto concettuale è notevole. Pratiche aziendali disparate di backup e recovery, risposta agli incidenti, disaster recovery e continuità operativa svolgono tutti ruoli importanti per essere pronti alle violazioni, poiché gestiscono la disruption. Iniziano quando i sistemi vengono attaccati. I tre programmi di risposta agli incidenti, disaster recovery e continuità operativa si concentrano su “Quanto velocemente possiamo ripristinare ciò che è stato interrotto?”. La preparazione alle violazioni si concentra su “Quanto di esso può rimanere disponibile fin dall’inizio?”.

La preparazione alle violazioni rompe i silos per garantire che le conseguenze aziendali di una compromissione siano gestite e gli stakeholder siano rassicurati concentrandosi su come mantenere la maggior parte dell’impresa “non interessata” e attivare un BC/DR per la parte colpita. La responsabilità e la proprietà della preparazione alle violazioni spettano alla leadership esecutiva. Il CEO/Consiglio detiene l’appetito di rischio e il risultato aziendale accettabile. Il COO o un equivalente dirigente di resilienza aziendale dovrebbe coordinare la preparazione alle violazioni in tutta l’organizzazione, con il CISO responsabile della dimensione cybersecurity.

Per le imprese che intendono raggiungere uno stato di Kuon Ryushi, è fondamentale la partecipazione completa dell’organizzazione, utilizzando tecnologia e IA per gestire gli effetti di un attacco informatico.

ColorTokens sta usando l’IA per aiutare i team di sicurezza ad analizzare gli ambienti e generare politiche di microsegmentazione più rapidamente. Dove dovrebbero le organizzazioni fidarsi dell’IA per automatizzare le decisioni difensive, e quali azioni di contenimento dovrebbero continuare a richiedere l’approvazione umana?

Assolutamente. Stiamo facendo proprio questo.

Ma chiarifichiamo: “usare l’IA per aiutare i team di sicurezza” è solo la punta dell’iceberg. In ColorTokens, crediamo nell’uso responsabile dell’IA per rendere le imprese davvero pronte alle violazioni. C’è una storia molto più ampia rispetto al semplice “l’IA rende la microsegmentazione più semplice.”

Recenti incidenti con Anthropic, OpenAI, AISI e persino il caso di prenotazione di una palestra in Australia sono fallimenti di architettura, non di governance. Quando l’IA autonoma esce dal suo sandbox, non è sempre malevola o inaffidabile. Si tratta di come è stata costruita l’architettura. Gli esseri umani devono definire chiaramente l’ambito operativo, e l’IA deve rimanervi all’interno. È qui che entra in gioco la governance.

Ad esempio, si potrebbe consentire all’IA di isolare qualsiasi endpoint segnalato come compromesso con una confidenza superiore a una certa soglia, a meno che non si tratti di un sistema di sicurezza OT, di un controller di dominio, di un sistema di pagamento o di un asset di controllo della produzione. Questa è un’autonomia limitata. Ma è più facile a dirsi che a farsi, poiché è necessaria un’architettura specifica per il contesto e chiaramente definita con l’ausilio di esperti.

Secondo la mia opinione e esperienza, le aziende devono usare l’IA per eseguire scoperta, correlazione, mappatura delle dipendenze, analisi dei percorsi di attacco, analisi del raggio d’esplosione, raccomandazioni di policy, sintesi di policy, simulazione di policy, ottimizzazione di policy a basso rischio, contenimento pre‑autorizzato e verifica continua, lasciando la determinazione della criticità di business, della interruzione accettabile, dei confini di sicurezza, delle definizioni dei gioielli di corona, dei vincoli di sicurezza (in OT), dell’impatto massimo accettabile, delle soglie di autonomia, delle approvazioni di eccezione, dell’isolamento di produzione maggiore e delle azioni irreversibili agli esseri umani.

In sintesi, l’IA dovrebbe avere sufficiente libertà per completare il proprio compito, ma sotto condizioni esplicite imposte dall’infrastruttura al di fuori della sua sfera di controllo. L’IA dovrebbe proporre azioni, attendere l’approvazione umana e poi applicare le modifiche a velocità di macchina. L’obiettivo non è rendere l’IA autonoma, ma rendere l’autonomia difensiva limitata.

In ColorTokens, utilizziamo l’IA per rendere il ciclo di controllo del difensore sufficientemente veloce da tenere il passo con gli aggressori. Decisione centralizzata delle policy, molteplici meccanismi di enforcement, telemetria ricca, protezione senza agenti per i sistemi che non possono eseguire agenti, supporto cloud e container, e scoperta assistita dall’IA e sintesi di policy—tutto ciò fa parte della preparazione alle violazioni assistita dall’IA.

La microsegmentazione esiste come concetto da anni, ma le organizzazioni la associano spesso a implementazioni complesse e politiche rigide. Cosa è cambiato tecnologicamente per renderla più pratica su infrastrutture cloud, ambienti Kubernetes, endpoint, sistemi legacy e tecnologia operativa?

Molte cose.

Ciò che è iniziato come un modo sofisticato per connettere e controllare le reti, garantendo connettività dedicata e larghezza di banda, si è evoluto in una capacità fondamentale di cybersecurity. Oggi, la microsegmentazione può trasformare grandi imprese in organizzazioni pronte alle violazioni, rapidamente e con fiducia. I cambiamenti tecnologici ci hanno permesso di superare i vecchi problemi: mappatura delle dipendenze, riprogettazione dei confini di rete, configurazione di VLAN e firewall, scrittura manuale delle regole e preoccupazione di interrompere il traffico aziendale. La segmentazione era lenta, costosa e limitata al data center. Non più.

Innanzitutto, l’identità è ora il principale veicolo per gli attacchi informatici. Per questo la governance avanzata dell’identità è il primo principio del zero trust. Nei moderni ambienti cloud, gli indirizzi IP sono privi di significato per la sicurezza. La microsegmentazione moderna utilizza identità, accesso, carico di lavoro, applicazione, servizio e contesto, non solo la posizione di rete. Il confine di sicurezza segue identità, accesso e l’applicazione, non solo l’infrastruttura sottostante.

In secondo luogo, la microsegmentazione senza agenti ora supera gli appliance. Estende la protezione a sistemi legacy, dispositivi IoT e OT che non possono eseguire agenti. La microsegmentazione moderna si integra con EDR, ampliando la copertura e riducendo il tempo di implementazione da mesi a ore, poiché EDR possiede già la telemetria di cui la microsegmentazione ha bisogno.

Infine, l’IA sta eliminando l’ultimo grande collo di bottiglia: l’ingegneria di policy pronte alle violazioni specifiche per contesto. L’IA può analizzare molteplici dati per il contesto, mappare dipendenze e percorsi di attacco, raccomandare zone e politiche di microsegmentazione e simulare il loro impatto prima dell’applicazione. La microsegmentazione moderna applica le policy direttamente su endpoint e workload usando i controlli nativi del sistema operativo. Non è più necessario riprogettare la rete; la microsegmentazione è ora fluida, e la policy segue il workload ovunque vada.

L’obiettivo non è solo bloccare ogni tentativo di movimento laterale, ma analizzare sufficienti segnali a velocità di macchina per garantire che, quando un aggressore entra, il workload compromesso non diventi un’autostrada verso tutto il resto. La microsegmentazione moderna non riguarda più solo la divisione delle reti, ma il controllo e il monitoraggio del raggio d’esplosione.

Quali prove dovrebbero richiedere gli esecutivi quando valutano il caso finanziario per la microsegmentazione, in particolare riguardo al downtime da ransomware, ai premi delle assicurazioni cyber, all’esposizione normativa e al costo di mantenere i servizi critici operativi durante un attacco?

La determinazione finanziaria dell’impatto di una violazione e la correlazione di un investimento in microsegmentazione che possa garantire operazioni non interessate durante una violazione richiedono agli esecutivi di comprendere prima che gli attacchi informatici avranno successo, indipendentemente dall’investimento in cybersecurity. Nel 2025 e 2026, le organizzazioni che hanno subito attacchi informatici e hanno affrontato downtime imprevisto includono molte realtà finanziariamente solide come JLR, Nike e Stryker. Pertanto, non è una questione di “se” saranno violate, ma di “quando”.

Una volta accettata questa realtà, investire nella preparazione di base alle violazioni diventa urgente e una questione di sopravvivenza aziendale. Per investire saggiamente, approfondiamo i due indicatori a livello di consiglio.

Il primo è una misura di sopravvivenza. Il Maximum Acceptable Material Impact (MAMI) che la direzione e il consiglio di amministrazione sono disposti ad accettare per le ambizioni di trasformazione digitale o adozione dell’IA. Potrebbe iniziare come un valore di fatturato, ma deve espandersi a viabilità finanziaria, fiducia dei clienti, reputazione o brand nel tempo.

Il secondo è un indicatore di vantaggio competitivo. Il Minimum Viable Digital Enterprise (MVDE) che deve rimanere operativo anche quando si verificano gli attacchi informatici più senza precedenti. Tutti i casi di business per nuove iniziative devono considerare entrambi i fattori. Il MVDE può partire dal 70% e aumentare in base al successo del programma di identità e microsegmentazione sottostante.

Ecco cosa dovrebbero cercare gli esecutivi quando valutano la microsegmentazione: prove che possa affrontare il downtime da ransomware, ridurre i premi delle assicurazioni cyber, diminuire l’esposizione normativa e mantenere i servizi critici operativi durante un attacco.

1. La piattaforma di microsegmentazione consente una singola piattaforma su data center, utenti, sistemi OT e cloud?
2. Qual è la percentuale della nostra impresa strutturata in zone e microsegmenti basati sull’impatto materiale sul business rispetto alla revisione precedente?
3. Quanto rapidamente la soluzione di microsegmentazione può diventare operativa con zone, microsegmenti e condotti controllati, progettati per mantenere operativo il MVDE?
4. La soluzione di microsegmentazione può integrarsi con EDR e usarlo come agente per ridurre l’impronta degli agenti?
5. La piattaforma di microsegmentazione utilizza intelligenza artificiale conversazionale per determinare regole e policy specifiche per contesto?
6. Abbiamo la capacità di monitorare i cambiamenti nel comportamento degli utenti validi nelle applicazioni e limitare gli utenti erranti per identità?
7. Il tempo medio di rilevamento e risposta mediante quarantena di comportamenti malevoli può scalare con l’adozione di nuove tecnologie digitali e AI nel business?
8. La piattaforma di microsegmentazione può simulare e modellare scenari di difesa cyber per ridurre progressivamente l’esposizione alle violazioni operative?

Sebbene questi coprano la maggior parte dei casi d’uso, la conformità richiederà dichiarazioni individuali di applicabilità per ogni normativa, le quali potranno spiegare quale parte della normativa può essere soddisfatta direttamente dalla piattaforma ColorTokens, quale richiede processi che avvolgono la tecnologia e quale necessita di tecnologie e processi aggiuntivi.

Molte organizzazioni eseguono test di penetrazione ed esercitazioni di risposta agli incidenti, ma questi potrebbero non rivelare fino a che punto un aggressore può muoversi dopo aver ottenuto l’accesso. Come dovrebbero le aziende testare il contenimento e la sopravvivenza in condizioni di attacco realistiche accelerate dall’IA?

Se le organizzazioni devono abbracciare l’essenza di Koun Ryusui nella costruzione della preparazione alle violazioni, devono integrare la microsegmentazione nelle operazioni di cybersecurity esistenti e farla evolvere nel tempo. Per farlo, la microsegmentazione necessita di integrazione dei segnali con altri strumenti nel Security Operations Center, come SIEM, EDR, firewall di nuova generazione, ecc. Ciò garantirebbe che la microsegmentazione potenziata dall’IA possa orchestrare il contenimento quando necessario, basandosi su indicatori di attacco e anomalie comportamentali.

Ciò di cui avete bisogno, quindi, non sono test individuali, ma esercitazioni che aiutino a far evolvere la vostra preparazione alle violazioni.

Ci sono tre aspetti da esercitare se la vostra microsegmentazione e sop