Il Vecchio Marinaio di Samuel Taylor Coleridge si lamentava: «Acqua, acqua ovunque, e nemmeno una goccia da bere». I CISO di oggi si trovano ad affrontare lo stesso problema con gli strumenti di sicurezza. Più ne hanno, meno sembrano essere utili.
Un numero maggiore di strumenti spesso complica le cose anziché offrire chiarezza, avverte Candy Alexander, membro del consiglio direttivo dell’Information Systems Security Association (ISSA). «Da anni, in qualità di professionisti della sicurezza informatica, sosteniamo che sia necessario disporre di un’unica interfaccia da cui poter osservare ciò che sta accadendo», afferma Alexander. «Ogni volta che viene introdotto un nuovo strumento, ciò significa che dobbiamo guardare attraverso un’altra lastra di vetro.»
Due anni fa, il Ponemon Institute , nell’ambito dell’, ha rilevato che le aziende utilizzavano in media 45 strumenti di sicurezza informatica ciascuna. Coloro che utilizzavano più di 50 strumenti si sono valutati con un punteggio inferiore del 8% in termini di capacità di Detect un attacco.
Considerate le enormi sfide che le aziende occidentali si trovano ad affrontare, tra cui le battaglie economiche segrete con la Cina e la guerra cibernetica senza esclusione di colpi con la Russia, molte aziende ritengono che sia giunto il momento che i fornitori di strumenti collaborino tra loro anziché agire in modo isolato. Secondo gli esperti, la proliferazione di strumenti evidenzia la necessità di una convergenza delle soluzioni. I tempi richiedono un intervento.
L'impulso a fondersi
I professionisti della sicurezza stanno iniziando a stancarsi del dilemma rappresentato dalla proliferazione degli strumenti. Due terzi dei 280 professionisti della sicurezza informatica intervistati nell’ambito delle ricerche “ ” (), “Technology Perspectives from Cybersecurity Professionals” () e “” – un rapporto di ricerca pubblicato quest’anno dall’ISSA e dall’Enterprise Strategy Group (ESG) – hanno ritenuto che i prodotti fossero troppo complessi e difficili da utilizzare per poterne sfruttare appieno il potenziale. Quasi tre quarti degli intervistati ritenevano che i fornitori privilegiasse l’enfasi pubblicitaria a scapito della sostanza, creando confusione e favorendo così gli avversari informatici.
Gli esperti di sicurezza affermano di voler consolidare e integrare gli strumenti avvalendosi di una serie fondamentale di standard aperti globali:
- Il 77% degli intervistati auspica un maggiore sostegno da parte dell’industria e del settore tecnologico a favore degli standard aperti.
- Il 84% degli intervistati ritiene che le capacità di integrazione di un prodotto siano importanti.
- Il 83% degli intervistati ritiene che l’interoperabilità futura dipenda da standard consolidati.
James Lewis, vicepresidente senior e direttore del Programma sulle Tecnologie Strategiche presso il Centro per gli Studi Strategici e Internazionali (CSIS) di , attribuisce la colpa a carenze culturali. L’acquisto di ulteriori strumenti sembra rappresentare un progresso perché dimostra che si sta agendo, afferma, anche se si tratta di un tipo di avanzamento sbagliato.
Se subisce un attacco informatico a seguito di una violazione di Active Directory tramite , spesso si ricorre all’acquisto di uno strumento per colmare la falla.
«Quando subisce nuovamente un attacco hacker, acquista un altro strumento», afferma. «A quel punto potrete rivolgervi al vostro consiglio di amministrazione e affermare di aver adottato misure per risolvere il problema, il che costituisce un incentivo a continuare ad acquistare.»
La situazione non sarebbe poi così grave se le aziende fossero in grado di integrare gli strumenti in modo efficace. Tra gli intervistati dell’ESG/ISSA, l’integrazione del prodotto si è classificata al secondo posto, subito dopo il costo, tra i criteri di approvvigionamento. Ma non tutte le integrazioni sono uguali, afferma Mark Mastrangeli, copresidente dell’Open Cybersecurity Alliance (OCA) dell’ . Fondata nel 2020, l’OCA — un gruppo open source che opera nell’ambito del progetto di governance OASIS Open — si occupa di definire standard comuni per lo scambio di informazioni sulla sicurezza tra strumenti e di semplificarne l’integrazione.
[Legga anche: Che cos’è l’ Converged Endpoint Management?]
Le integrazioni dirette tra gli strumenti creano una complessa rete di connessioni di difficile gestione. Inoltre, avverte, scoraggiano la sostituzione dei software più integrati. «Lo strumento fondamentale, al quale ora sono collegati altri cinque elementi, diventa davvero imprescindibile e difficile da sostituire», afferma. «Diventa come una palla di neve che rotola giù per la collina e che è difficile fermare.»
Standardizzazione degli strumenti
Un’alternativa è rappresentata dalla standardizzazione architettonica, in cui un’applicazione funge da intermediario tra tutti gli strumenti e agisce da canale di comunicazione. L’iniziativa “ : Posture Attribute Collection and Evaluation” (PACE) si concentra su modalità standardizzate di scambio di informazioni relative alla sicurezza informatica, che spaziano dalle vulnerabilità del software ai livelli di patch e ai dati relativi alla distinta dei materiali software (SBOM) (SBOM).
“Quando subisce nuovamente un attacco hacker, acquista un altro strumento. A quel punto potrete rivolgervi al vostro consiglio di amministrazione e affermare di aver adottato misure per risolvere il problema, in modo da incentivare il proseguimento degli acquisti.”James Lewis, vicepresidente senior e direttore del Programma sulle tecnologie strategiche del CSIS
I gruppi di lavoro dell’OCA comprendono una serie di librerie di codifica che consentono ai sistemi di connettersi ai data warehouse dedicati alla sicurezza informatica e di recuperare informazioni nel formato STIX (STI), uno standard per lo scambio di dati di intelligence sulle minacce informatiche. Esiste inoltre un gruppo di lavoro dell’OCA dedicato all’analisi dei comportamenti degli autori di attacchi informatici, con l’obiettivo di aiutare le aziende a individuare gli schemi di attacco.
All’inizio di agosto, un gruppo di 18 aziende ha lanciato l’Open Cybersecurity Schema Framework (OCSF) dell’ , disponibile all’indirizzo . Il progetto, sostenuto da realtà quali IBM, Amazon, Cloudflare e Tanium, è un sistema open source progettato per lo scambio di informazioni sulla sicurezza informatica tra diversi strumenti. Ci sono anche altri attori. Il framework ATT@CK di Mitre descrive le minacce alla sicurezza informatica. OpenC2, un altro progetto OASIS, mira a creare un linguaggio standard per il comando e il controllo delle tecnologie di difesa informatica.
Cosa possono fare ora i CISO
La prima cosa da fare è esaminare il portafoglio della vostra azienda. Le aziende devono individuare le sovrapposizioni esistenti tra i propri strumenti attuali e procedere al loro consolidamento, riducendo il proprio portafoglio e semplificando al contempo i costi di gestione e i canoni di licenza.
«Possono optare per un unico prodotto standardizzato per ciascuna categoria», afferma Jon Oltsik, analista senior di ESG e autore del rapporto ESG/ISSA. “Quindi, un tipo di firewall, un tipo di , una suite di sicurezza endpoint, e così via. Rimarrebbe sorpreso nel sapere quante grandi aziende ne possiedono tre o quattro di ciascuna.”
Un'alternativa consiste nell'adottare un'unica piattaforma integrata. Alcuni fornitori offrono soluzioni di rilevamento e risposta estesi (XDR) che si integrano con vari strumenti, assumendo il ruolo di hub centrale nel portafoglio di strumenti di sicurezza informatica. Alcuni fornitori supportano integrazioni con i propri partner, mentre altri si posizionano come veri e propri middleware tra strumenti di sicurezza informatica di terze parti.
Sebbene gli approcci dei fornitori varino, l’interesse dei clienti è notevole. Il rapporto ESG/ISSA ha evidenziato che il 46% dei professionisti della sicurezza aveva già implementato o stava pianificando di implementare una piattaforma XDR.
Qualunque sia l’approccio adottato, la volontà dei professionisti della sicurezza è chiara: è giunto il momento di alleggerire il carico. Nel mondo affollato degli strumenti di sicurezza informatica, ci si sta rendendo conto che “meno è meglio”.
