Il monumentale attacco hacker ai danni di SolarWinds, denominato “ ” of 2020 – in cui gli hacker hanno inserito codice dannoso in software di uso comune per violare decine di migliaia di reti governative e aziendali – ha insegnato una lezione fondamentale: non è sufficiente proteggere la propria infrastruttura; occorre tenere sotto controllo l’intero ecosistema dei fornitori.
Infatti, il 62% delle intrusioni nella rete ha origine da soggetti terzi, secondo un rapporto di Verizon 2022 , e il 73% delle organizzazioni coinvolte in uno studio di KPMG ha dichiarato di aver subito almeno un’interruzione significativa causata da un evento informatico legato a soggetti terzi negli ultimi tre anni.
In qualità di Chief Information Officer (CIO) responsabile della sicurezza informatica presso Leo A Daly, uno studio globale di architettura e ingegneria con 800 dipendenti e 32 sedi, per lo più negli Stati Uniti, Stephen Held (a destra) si tiene aggiornato su tali statistiche. È inoltre consapevole di quella che è probabilmente la domanda meno frequente in materia di rischio di terze parti.
Cosa accade quando si è la terza parte?
L’ e dei rischi legati a terze parti viene quasi sempre affrontata da una prospettiva interna. Chi sono i fornitori del software “ ” ( ) e le altre terze parti presenti nel Suo ecosistema informatico che potrebbero causarLe accidentalmente un danno? È una domanda fondamentale da porsi, ma che dire del rovescio della medaglia: la vostra società di consulenza rappresenta forse un rischio per i vostri clienti?
Un cliente di grandi dimensioni e influente, oppure che detiene una quantità significativa di dati relativi ai consumatori , costituirà un obiettivo allettante per i criminali informatici. E questo fa sì che anche Lei diventi un bersaglio.
È proprio questo genere di cose che tiene sveglio Held la notte, afferma, ed è determinato a fare in modo che il suo studio non sia la causa per cui un socio venga aggredito.
, di Focal Point, ha avuto l’opportunità di incontrare Held per approfondire le modalità con cui la sua organizzazione sta affrontando l’attuale panorama delle minacce.
[La presente intervista è stata modificata per motivi di chiarezza e di lunghezza.]
Non verrebbe in mente di pensare che uno studio di ingegneria architettonica possa essere esposto a attacchi informatici, ma è evidente che Lei sia preoccupato per questa eventualità. Perché mai?
Ho pensato la stessa cosa dopo diversi anni di carriera come CIO presso l’azienda.
Ma la situazione è cambiata man mano che abbiamo assistito a un’evoluzione sempre più marcata dei vettori di attacco. È possibile che gli hacker non abbiano realmente intenzione di prendersela con Lei, ma potrebbero averla presa di mira per arrivare a qualcuno con cui Lei è in contatto. A seconda della natura dei Suoi clienti o qualora Lei collabori con enti governativi , potrebbe risultare più esposto al rischio di attacchi.
“A seconda della tipologia dei vostri clienti o qualora collaboriate con enti governativi, potreste essere maggiormente esposti al rischio di attacchi.”
Oggi, indipendentemente dal settore in cui operate, i vostri partner del settore pubblico e privato richiedono tutti standard più elevati in materia di sicurezza informatica, protezione dei dati e ripristino. Per questi motivi, abbiamo dovuto assicurarci di non essere il bersaglio più facile.
Come riesce a farlo?
Analizziamo il panorama degli attacchi da diverse prospettive. Ad esempio, nel nostro ambiente disponiamo di circa 1.200 computer. È del tutto possibile che qualcuno possa tentare di utilizzarli per sferrare un attacco di tipo “ ” (DDoS) . Non avrebbe necessariamente nulla a che fare con la nostra attività. Probabilmente non vorrebbero rubare i progetti architettonici; vogliono semplicemente ottenere il controllo di quei dispositivi per prendersela con qualcun altro. Dobbiamo quindi fare tutto il possibile per tutelare i clienti da tutte queste eventualità.
Cos’altro state facendo per evitare di essere la causa per cui un cliente subisce un attacco informatico?
Ebbene, oltre agli attacchi DDoS, dobbiamo considerare tutti i diversi tipi di vettori di attacco esistenti e implementare le tecnologie e le procedure adeguate per proteggerci da essi.
Gran parte di ciò è strettamente legato alla sicurezza della catena di fornitura del software e ai titoli software che utilizziamo. Se ve ne è uno che compare nei titoli dei giornali come vulnerabile, come SolarWinds o MOVEit, devo sapere se lo utilizziamo e, in tal caso, se lo stiamo gestendo correttamente e se è stato aggiornato. Questo vale per tutti i nostri software, poiché sappiamo che ogni software presenta delle vulnerabilità.
In qualità di professionista della sicurezza, cosa La tiene sveglio la notte?
Cosa non mi tiene sveglio? Ci penso soprattutto a due cose: la prima è ciò che dico al mondo esterno.
«: l’intelligenza artificiale viene utilizzata per generare attacchi di phishing “grammaticalmente perfetti”». Ciò significa che gli indicatori su cui ci siamo basati e con cui ci siamo addestrati per individuare una frode non sono più validi.”
Intentiamo conversazioni come questa per condividere le migliori pratiche in materia di sicurezza informatica e promuovere la consapevolezza, nella speranza di aiutarci a vicenda, pur sapendo che siamo ancora in fase di sviluppo. La sicurezza è un obiettivo in continua evoluzione. Man mano che le difese migliorano, gli attacchi diventano sempre più sofisticati. Recentemente ho appreso che l’intelligenza artificiale (IA) viene utilizzata per generare attacchi di phishing “grammaticalmente perfetti”. Ciò significa che gli indicatori su cui ci siamo basati e con cui ci siamo addestrati per individuare una frode non sono più validi.
L’altra cosa – e per me è forse ancora più preoccupante – è che altre aziende, molto più grandi della nostra e dotate di maggiori risorse, continuano a subire violazioni . Osservo l’ , il tempo e l’impegno che dedicano quando subiscono un attacco, ed è davvero impressionante. Nessuno vorrebbe trovarsi nella situazione di dover inviare comunicazioni ai clienti per avvisarli di una violazione. Cerco sempre di anticipare questa situazione.
Quali tecnologie state utilizzando per proteggere la vostra rete?
Adottiamo una combinazione di tecnologie di sicurezza, tra cui la gestione degli incidenti di sicurezza (SIEM), il rilevamento delle intrusioni, la mitigazione delle intrusioni e le soluzioni di protezione delle applicazioni web ( ) endpoint. Stiamo utilizzando l'autenticazione a più fattori (MFA) di piuttosto che le password di . Separiamo i diritti di amministratore. Inoltre, utilizziamo una piattaforma di consolidamento dei file server e dei dispositivi di archiviazione collegati in rete (NAS) che consente di gestire un ambiente geograficamente disperso e di sincronizzare i file avvalendosi di alcune funzionalità di sicurezza integrate.
Inoltre, tutti i nostri dipendenti seguono un corso annuale di formazione sulla sicurezza informatica , e parte di tale programma comprende una sezione dedicata alle minacce interne .
Ha mai avuto casi in cui i Suoi dipendenti hanno rischiato di cadere vittima di una truffa?
Sì, ultimamente abbiamo notato che alcuni dipendenti ricevono messaggi di testo o e-mail che sembrano provenire da amministratori delegati o direttori finanziari, in cui si legge qualcosa del tipo: «Ehi, sto cercando di distribuire alcuni regali». «Andi a comprare un bel po’ di buoni regalo da 100 dollari su Amazon e me li mandi.»
In effetti c’era un dipendente che aveva effettivamente acquistato quelle carte regalo, ma per fortuna siamo riusciti a scoprirlo perché il dipendente si è rivolto al direttore finanziario chiedendogli: «Cosa vuole che ne faccia adesso?»
Disponiamo di un reparto contabile piuttosto ben strutturato che ci aiuta a tenere sotto stretto controllo situazioni di questo tipo, ma formiamo anche i nostri dipendenti affinché prestino attenzione a questo genere di truffe. E i nostri dipendenti si sono dimostrati piuttosto diligenti nel segnalarci i casi di ingegneria sociale di cui vengono a conoscenza.
Il modello "zero trust" fa parte della vostra strategia di sicurezza informatica?
Abbiamo parlato dell’adozione di una mentalità “ ” (zero fiducia) . Ma si tratta di un impegno piuttosto gravoso ed è in netto contrasto con il lavoro in un ambiente altamente collaborativo. Vogliamo farlo. Desideriamo adottare l'approccio "zero trust". Ma non ci siamo ancora arrivati. Ciò richiederebbe un cambiamento radicale nella gestione della rete, e ciò richiederà tempo.
PER SAPERNE DI PIÙ
Scopri altre interviste esclusive con i responsabili della sicurezza nella nostra serie "Storie di successo".
- Joseph Karpenko di Stratascale su…
: DA INFRINGIMENTI DI SICUREZZA A STRATEGIA AZIENDALE - Ken Fishkin, il “paladino della privacy” dello studio Lowenstein Sandler, su…
UN CORSO DI FORMAZIONE SULLA SICUREZZA INFORMATICA NOIOSO - Mike Wilkes, il “supereroe” della Marvel, parla di…
L’UTILIZZO DELL’INTELLIGENZA ARTIFICIALE PER COMBATTERE IL CRIMINE INFORMATICO - "Ash Hunt" di Apex Group su…
PREVEDERE (CON PRECISIONE) IL RISCHIO INFORMATICO CON QUESTA FORMULA - Jeff Aguilar della Contea di LA su…
COME FORMA (E RIFORMA) I LAVORATORI PER COMBATTERE IL PHISHING - Dennis Leber di Honest Medical Group su…
PERCHÉ NON PARLA (MOLTO) DI SICUREZZA INFORMATICA CON IL CONSIGLIO - Michael Adams di Zoom su…
RAGGIUNGERE LA SICUREZZA INFORMATICA 2,0 CON IL PUNTEGGIO DI RISCHIO INFORMATICO
