3 novembre l’amministrazione Biden ha emanato una direttiva di ampia portata che impone alle agenzie federali di risolvere quasi 300 vulnerabilità informatiche note che gli hacker potrebbero sfruttare per infiltrarsi nelle reti informatiche governative e causare danni. Nel loro insieme, queste vulnerabilità costituiscono una catena a cascata di disastri informatici.
«Molte di queste vulnerabilità critiche e di questi exploit possono essere collegati tra loro per produrre un effetto di maggiore portata», afferma Edward Debish, ex comandante del Gruppo Operazioni nel Cyberspazio del Corpo dei Marines e attualmente direttore del rapporto con i clienti del settore pubblico presso Tanium. «Ecco perché è opportuno chiuderne il maggior numero possibile.»
Emanata dalla Cybersecurity and Infrastructure Security Agency (CISA), la nuova direttiva mira a colmare circa 200 falle di sicurezza — tutte ben note agli hacker malintenzionati — che gli esperti di sicurezza informatica hanno individuato tra il 2017 e il 2020 , nonché ulteriori 90 vulnerabilità da loro scoperte nel 2021.
La direttiva giunge sei mesi dopo che il presidente Biden ha emanato un decreto esecutivo intitolato “ ” ( ), che impone alle agenzie di condividere le informazioni relative alla sicurezza informatica e di adottare nuovi protocolli in materia. Questo episodio conclude un anno senza precedenti in termini di criminalità informatica, durante il quale organizzazioni di ogni tipo, dalle aziende di servizi pubblici alle società di telecomunicazioni , sono cadute vittime di attacchi alla catena di approvvigionamento, ransomware, ed estorsioni.
«Questo è un altro modo per mantenere il ritmo», afferma Debish. «La sicurezza informatica è fondamentale. Riguarda ogni aspetto della nostra vita. Tutto ciò che facciamo oggi si basa sul mondo digitale. Se dovesse subire interruzioni di qualsiasi tipo, ciò potrebbe causare problemi significativi, difficoltà nella catena di approvvigionamento e quant’altro. “Si tratta del presidente e della sua squadra che stanno cercando di fare tutto il possibile per garantire la sicurezza delle infrastrutture critiche di questa nazione.”
La nuova direttiva istituisce un catalogo, gestito dalla CISA, delle “vulnerabilità note oggetto di sfruttamento” che comportano un “rischio significativo” e stabilisce i requisiti che le agenzie devono rispettare per correggere tali vulnerabilità. Il catalogo comprende software e configurazioni forniti da produttori di software quali SolarWinds, che lo scorso anno è stata oggetto di un attacco di grande risonanza, e da grandi aziende tecnologiche quali Adobe, Apple, Cisco, Google, Microsoft e Oracle. Comprende tutto il software e l’hardware presenti nei sistemi informativi federali, compresi quelli ospitati da soggetti terzi, quali gli appaltatori federali.
Sistemi obsoleti
La nuova direttiva e il decreto presidenziale emanato a maggio dall’amministrazione Biden riflettono la priorità che il governo attribuisce alla sicurezza digitale. Debish afferma che il 95% della nuova direttiva riguarda la correzione delle vulnerabilità del software esistente, ma sostiene che sia “assolutamente fondamentale” che le agenzie siano consapevoli dell’esistenza di altri vettori di attacco, compresi quelli provenienti da terze parti.
«Si presume che i fornitori siano affidabili e che ciò che si ottiene dal sito di un fornitore sia una funzionalità affidabile, che si possa implementare rapidamente», afferma Debish.
Egli afferma inoltre che le agenzie devono gestire in modo sicuro i sistemi obsoleti o legacy. Tali sistemi potrebbero non essere compatibili con le moderne tecniche di “cyber hygiene” ( ) , quali l’individuazione delle risorse () e il monitoraggio continuo ( ), che consentono alle organizzazioni di disporre di una visione completa delle proprie reti. Altrimenti potrebbero diventare un bersaglio facile per gli hacker. Laddove tali sistemi non possano essere rimossi o disattivati facilmente, secondo Debish è necessario monitorare i punti di accesso a queste reti per impedire l’ingresso agli hacker.
“Si tratta del presidente e della sua squadra che stanno cercando di fare tutto il possibile per garantire la sicurezza delle infrastrutture critiche di questa nazione.”Edward Debish, responsabile delle relazioni con i clienti del settore pubblico, Tanium
Inoltre, afferma Debish, le agenzie dovrebbero adottare solide strategie di “igiene informatica”. Ciò significa gestire i privilegi di amministratore, esaminare le configurazioni di rete e utilizzare protocolli zero-trust . Soprattutto, afferma, le agenzie dovrebbero avvalersi di strumenti in grado di monitorare in modo completo le vulnerabilità della rete e di individuare in modo proattivo i potenziali intrusi prima che questi possano agire.
«È necessario disporre di visibilità e controllo in tempo reale sulla propria rete», afferma Debish. «L’avversario è attivamente impegnato a ottenere l’accesso alle reti e alle infrastrutture governative.»
Il Dipartimento per la Sicurezza Interna, l’agenzia da cui dipende la CISA, ha già imposto in passato obblighi in materia di sicurezza informatica alle agenzie governative, spesso sotto forma di requisiti di emergenza volti a risolvere immediatamente un problema critico relativo al software. Tuttavia, questa nuova direttiva si distingue per l’ampiezza delle lacune che intende colmare.
[Leggi anche: Come rafforzare gli endpoint e le reti federali con misure di sicurezza preventive]
Ciò comporterà che i difetti individuati quest’anno vengano corretti entro due settimane. Le agenzie avranno a disposizione fino a sei mesi per risolvere le vulnerabilità individuate negli anni precedenti. La direttiva si applica a tutti i dipartimenti e le agenzie dell’esecutivo, ad eccezione del Dipartimento della Difesa, della Central Intelligence Agency e dell’Ufficio del Direttore dell’Intelligence Nazionale. La sicurezza informatica delle agenzie civili viene solitamente gestita separatamente rispetto a quella degli organismi militari e di sicurezza nazionale.
«Con una direttiva come questa, provenendo dal presidente, potete stare certi che molte persone si impegneranno a fondo per risolvere il problema», afferma Debish.
