If you’re looking at compliance as the endgame of your overall security hygiene practices, you’ll be missing out on crucial updates. The looming PCI TLS encryption upgrade offers us a prime case in point.
La conformità e le buone pratiche di sicurezza vanno di pari passo. Secondo l’opinione comune, più si è conformi, migliore sarà il proprio programma di sicurezza informatica. Ciò vale indipendentemente dal fatto che la Sua organizzazione utilizzi PCI-DSS (si apre in una nuova scheda), il NIST Cybersecurity Framework (si apre in una nuova scheda), i CIS Critical Security Controls (si apre in una nuova scheda), oppure qualsiasi normativa specifica del settore in base al tipo di dati sensibili che archivia e condivide.
Sebbene una corretta prassi di sicurezza vi aiuti ad adempiere ai vostri obblighi di conformità, non è detto che valga anche il contrario. I requisiti di conformità rappresentano spesso i livelli minimi di protezione dei Suoi dati. Se considerate la conformità come l’obiettivo finale delle vostre pratiche generali di sicurezza informatica, vi perderete aggiornamenti fondamentali.
Settore delle carte di pagamento
Prendiamo ad esempio il settore delle carte di pagamento (PCI). SSL/TLS è da tempo utilizzato come protocollo di crittografia (si apre in una nuova scheda) all’interno di PCI. Nel documento “ aprile 2015”, l’ PCI Security Standards Council (SSC) ha annunciato che l’ SSL non sarebbe più stato utilizzato come controllo di sicurezza e che le organizzazioni sarebbero state tenute ad aggiornare la propria implementazione dell’ TLS dalla versione 1,0 alla versione 1,1. Questa misura è stata concepita per colmare una lacuna normativa che consentiva l’utilizzo di protocolli di crittografia obsoleti. Alcune di queste versioni di SSL/TLS avevano più di 15 anni e presentavano vulnerabilità note.
In sostanza, si è trattato di un aggiornamento di un singolo protocollo di sicurezza, dalla versione 1,0 alla versione 1,1 dell’ TLS. Il protocollo più recente, TLS v. 1,2 (si apre in una nuova scheda), definito in aprile 2014, è stato raccomandato ma non reso obbligatorio dal Comitato Scientifico (SSC) dell’ PCI .
Inizialmente alle organizzazioni era stata fissata la scadenza del 30 giugno 2016 per conformarsi ai requisiti di aggiornamento. Ma con l'avvicinarsi della scadenza, le organizzazioni cominciavano a rendersi conto di quanto sarebbe stato difficile compiere questo semplice passo nell'ambito delle misure di sicurezza. Qualche tempo dopo, con la pubblicazione del documento DSS v3,2 “ PCI”, il termine per l’attuazione di tali modifiche è stato posticipato al 30 giugno 2018.
In che modo i requisiti di conformità risultano insufficienti
L’esempio dell’ TLS e illustra particolarmente bene come i requisiti di conformità possano rivelarsi insufficienti. Sebbene il requisito di aggiornamento SSC ( PCI ) fosse finalizzato a colmare le lacune di sicurezza, ciò comportava anche che le organizzazioni si trovassero in una situazione di grave obsolescenza anche dopo l’aggiornamento. TLS La versione 1,1 aveva già nove anni nel 20 aprile 2015, quando l’ PCI (SSC) comunicò per la prima volta alle organizzazioni la necessità di effettuare l’aggiornamento a tale versione. Il protocollo avrà quasi raggiunto l’età adolescenziale nel 2018, quando entrerà in vigore la nuova scadenza per l’adeguamento. Sebbene la versione leggermente più recente dell’ TLS, la v.1,2 , sia stata definita all’indirizzo agosto 2008, le organizzazioni saranno considerate conformi ai requisiti di PCI anche senza implementarla.
Si tratta di un periodo di tempo estremamente lungo per la protezione di dati così sensibili come quelli relativi alle carte di credito e ad altre informazioni di identificazione personale (PII), soprattutto se si considera la frequenza con cui aggiorniamo i nostri telefoni cellulari o persino le nostre automobili. L’obiettivo dell’ PCI e e di altri standard di conformità è quello di migliorare il livello di sicurezza delle organizzazioni, valutandolo a intervalli regolari. Tuttavia, come dimostra l’esempio dell’ PCI , se si resta in attesa che un ente di settore imponga l’implementazione di aggiornamenti, ci si ritroverà con un ambiente di sicurezza pericolosamente obsoleto.
Un rigoroso programma di misure di sicurezza avrebbe indotto le organizzazioni ad adottare questi aggiornamenti relativi alla crittografia già nel 2008. In questo modo, le organizzazioni partecipanti al programma “ PCI” avrebbero già ottemperato allo standard aggiornato molto prima che diventasse obbligatorio.
In che modo “ Tanium ” può esservi d’aiuto
Per chiunque utilizzi la piattaforma Tanium , la gestione di questo aggiornamento comporterebbe l’utilizzo di un sensore per il rilevamento delle versioni di TLS in grado di analizzare l’intera infrastruttura in pochi secondi. Dall’elenco dei sistemi rilevati, Tanium può quindi distribuire i contenuti di configurazione a tali endpoint per aggiornarli all’ultima versione, sempre in pochi secondi.
È fondamentale considerare l’igiene della sicurezza come un percorso, non come una meta. Imparerete man mano e adeguerete la rotta di conseguenza. Considerando che gli standard di conformità e le normative cambiano di anno in anno. Tanium rende le organizzazioni molto più capaci di adattarsi ai cambiamenti normativi, in un modo che non era possibile con gli strumenti della versione 2008. Poiché Tanium è una piattaforma aperta ed estensibile, i nuovi contenuti – quali il sensore e le misure correttive PCI TLS citati in precedenza – possono facilitare l’adeguamento del Suo livello di sicurezza in risposta a modifiche legislative o normative.
Informazioni sull’autore: In qualità di direttore della gestione dei prodotti presso Tanium, Alexander Quilter apporta al proprio ruolo un’esperienza nel campo della sicurezza aziendale e dei software per l’automazione dei sistemi e delle reti. Prima di entrare in Tanium, Alexander ha guidato le attività di gestione dei prodotti per le linee di prodotti dedicate alla sicurezza e alla conformità di Cisco, Lancope, Qualys, nCircle e Opsware. Ha conseguito un master in Gestione dell’ingegneria del software presso la Carnegie Mellon University e una laurea in Informatica presso l’Università dello Utah.
