La recente direttiva “ ” emanata dalla Cybersecurity and Infrastructure Security Agency (CISA), che impone a tutte le agenzie federali di correggere centinaia di vulnerabilità informatiche, non ha sorpreso nessuno. Da anni, gli organismi di controllo nel settore tecnologico e i membri del Congresso hanno criticato aspramente le agenzie per la loro scarsa attenzione alla sicurezza informatica.
Tuttavia, sebbene la Direttiva operativa vincolante n. 22-01 della CISA conceda alle agenzie un periodo compreso tra due settimane e sei mesi per risolvere le vulnerabilità software presenti ormai da anni, il problema di fondo, in molti casi, risale a decenni fa.
Nel mese di agosto, la Commissione per la sicurezza interna e gli affari governativi del Senato ha individuato “carenze sistemiche ”nella sicurezza informatica in sette delle otto agenzie federali, sottolineando il loro ricorso a sistemi obsoleti non più supportati e l’incapacità di monitorare, tracciare e “proteggere le risorse sensibili degli Stati Uniti”. Per quanto riguarda la maturità in materia di sicurezza informatica, la commissione ha assegnato alle agenzie un deludente C–.
Nella sua analisi approfondita delle otto agenzie, l’HSGAC ha rilevato diverse carenze significative:
- Sette agenzie utilizzavano sistemi o applicazioni obsoleti per i quali il fornitore non forniva più aggiornamenti di sicurezza.
- Sei agenzie non sono riuscite a installare tempestivamente le patch di sicurezza di e altre misure correttive relative alle vulnerabilità.
- Sette agenzie non sono riuscite a mantenere inventari accurati ed esaustivi delle risorse informatiche .
La relazione della commissione del Senato si basa su una valutazione dello stato della sicurezza informatica di ciascuna agenzia federale, effettuata dai rispettivi ispettori generali (IG) nel 2020.
Si tratta del seguito di un rapporto analogo redatto da una sottocommissione dello stesso comitato nel 2019, che aveva valutato le relazioni degli ispettori generali delle agenzie relative al decennio precedente. I risultati evidenziati in entrambi i rapporti sono sconcertanti. Molte delle sfide in materia di sicurezza derivano dall’accumulo di reti obsolete, difficili da aggiornare, monitorare e proteggere. Secondo le proprie ispezioni interne (IG), le agenzie stanno investendo una parte eccessiva delle proprie risorse in questi sistemi obsoleti, rendendosi così vulnerabili agli attacchi sferrati dai criminali informatici.
«Gli hacker stanno diventando sempre più sofisticati», afferma Edward Debish, direttore del reparto dedicato alle relazioni con i clienti del settore pubblico presso Tanium ed ex comandante del Gruppo Operazioni nel Cyberspazio del Corpo dei Marines. «Ogni software presenta inevitabilmente una vulnerabilità ad esso associata.» È solo questione di tempo prima che quella vulnerabilità venga individuata e poi sfruttata.”
Applicazione delle patch per le vulnerabilità
La gestione continua delle patch è un processo fondamentale per la sicurezza informatica che le agenzie spesso trascurano. Il rapporto della commissione del Senato evidenzia questa carenza in diverse agenzie, tra cui il Dipartimento per la Sicurezza Interna, l’ente incaricato di vigilare sugli standard di sicurezza informatica in tutto il governo federale. Dal rapporto è emerso che il DHS non ha applicato correttamente le patch di sicurezza per 12 anni. Secondo gli investigatori dell’agenzia, da tale guasto sono scaturite ventisei “vulnerabilità gravi”.
«La vera domanda è se l’amministrazione abbia stabilito come monitorare il rispetto delle norme in modo più efficace rispetto al passato.”Daniel Castro, vicepresidente della Fondazione per la Tecnologia dell’Informazione e l’Innovazione
La sfida maggiore consiste nel fatto che le agenzie federali operano in un ambiente informatico eterogeneo, distribuito tra infrastrutture on-premise e diverse piattaforme basate sul cloud. Non solo, ma la crescita esplosiva degli endpoint non gestiti — e spesso non catalogati e invisibili — utilizzati da decine di migliaia di dipendenti federali che lavorano da remoto ha ulteriormente complicato endpoint la sicurezza dei dati.
Infatti, il rapporto del Senato intitolato “ agosto 2021 ” ha rilevato una preoccupante mancanza di visibilità sulle reti delle agenzie, il che significava che queste ultime non erano in grado di monitorare appieno le proprie piattaforme alla ricerca di minacce informatiche.
[Leggi anche: L’ex capo della difesa sulla sicurezza informatica: «Siamo i nostri peggiori nemici»]
Ad esempio, il Dipartimento di Stato non è stato in grado di fornire la documentazione relativa al 60% dei dipendenti che avevano accesso alla propria rete riservata. Inoltre, i test effettuati sui suoi sistemi hanno individuato 450 vulnerabilità a rischio critico e 736 a rischio elevato. Gli ispettori del Dipartimento dei Trasporti, responsabile della sicurezza informatica delle infrastrutture di trasporto terrestre del Paese, hanno individuato quasi 15.000 risorse informatiche — tra cui dispositivi mobili e server — di cui l’agenzia non disponeva di alcuna documentazione. E presso il Dipartimento per l’edilizia abitativa e lo sviluppo urbano, gli ispettori hanno individuato una rete informatica “ombra”, una situazione che mette a rischio le informazioni personali e finanziarie di milioni di americani.
Patch priorità gestionali
La soluzione a tutti questi problemi, secondo la CISA, consiste nel fatto che ogni agenzia metta a punto una soluzione solida e, preferibilmente, automatizzata per la gestione delle patch. L’agenzia aveva precedentemente pubblicato una “Guida al potenziamento delle capacità di gestione delle patch ()” per aiutare i dipartimenti federali ad attuare strategie di gestione delle patch.
Il successo dell’approccio della CISA dipende da due fattori. Il primo aspetto è la conformità, ovvero la misura in cui le agenzie prenderanno sul serio e si adegueranno tempestivamente all’ordine della CISA. Daniel Castro, vicepresidente del think tank Information Technology and Innovation Foundation, non è convinto che ciò accadrà. «Le agenzie sono già tenute ad applicare le patch ai sistemi ai sensi del FISMA [Federal Information Security Management Act]», afferma Castro. «La vera domanda è se l’amministrazione abbia stabilito come monitorare il rispetto delle norme in modo più efficace rispetto al passato.»
Il secondo fattore è l’attenzione esclusiva della CISA all’applicazione delle patch. La direttiva si distingue per l’assenza di altre strategie di sicurezza informatica standard del settore, quali l’individuazione e l’inventario delle risorse e il monitoraggio continuo in tempo reale di tutti gli endpoint collegati alla rete di un’agenzia.
L’applicazione delle patch è un buon inizio, ma non è sufficiente, afferma Malcolm Harkins, ricercatore presso l’Institute for Critical Infrastructure Technology (ICIT), un think tank specializzato in sicurezza. Egli afferma che tale misura debba essere integrata con altre strategie fondamentali, quali il rilevamento delle minacce e il monitoraggio della rete.
Infatti, le agenzie devono innanzitutto identificare tutti i propri endpoint di rete (server, postazioni di lavoro, apparecchiature e dispositivi di rete), per poi redigere un inventario completo dei dati relativi all’ endpoint . Solo in tal modo potranno installare, aggiornare, applicare patch o rimuovere il software tramite , sia su un gruppo di computer che su una singola macchina.
«L’applicazione di patch da sola non è una panacea», afferma Harkins. «Conoscere le opzioni a propria disposizione, quali sistemi aggiornare per primi, quali dispositivi siano i più importanti»: questa è la chiave per una sicurezza informatica efficace, afferma.
