Gli attacchi a SolarWinds hanno attirato l’attenzione praticamente di tutti gli operatori del settore della sicurezza informatica Community. Sono molti i responsabili della sicurezza informatica (CISO) che, senza dubbio, sono estremamente grati che la loro organizzazione non sia stata compromessa. Ma chi può affermare con certezza di non diventare vittima del prossimo grave attacco alla catena di approvvigionamento? Perché ci sarà una prossima volta.
Che si tratti di software di terze parti, hardware o fornitori di servizi, le organizzazioni continuano ad affidarsi eccessivamente alla fiducia e ad approcci manuali basati su fogli di calcolo per garantire la gestione dei rischi informatici. Come settore, dobbiamo sviluppare un modo migliore di operare, che combini dati quantitativi approfonditi con attestazioni e valutazioni di terze parti affidabili.
La sfida si complica, ovviamente, quando si tratta di gestire le catene di approvvigionamento dall’inizio alla fine. Potete garantire per le misure di sicurezza adottate dai fornitori dei vostri fornitori? Le organizzazioni globali si confrontano con questa problematica da anni e non esistono risposte semplici. Ciò che possiamo affermare è che le migliori pratiche in materia di sicurezza della catena di approvvigionamento dovrebbero sempre partire dalla visibilità — sia sulle vostre risorse IT che su quelle dei vostri partner.
Solo con questo tipo di approccio incentrato sui principi fondamentali è possibile iniziare a rispondere a quelle domande fondamentali che consentono di calcolare l’esposizione al rischio: Chi sono i vostri fornitori? Qual è il loro livello di maturità in materia di sicurezza? A quali dati possono accedere? E in che modo lo utilizzano?
Il problema delle catene di approvvigionamento
La complessità delle moderne catene di approvvigionamento può far sfuggire di mano in pochissimo tempo gli sforzi di gestione del rischio. A peggiorare la situazione, per decenni molte organizzazioni hanno utilizzato processi manuali e verifiche basate su domande eccessivamente semplicistiche per calcolare il rischio legato ai fornitori (ad esempio: “Disponete di un programma di gestione delle patch per l’ ?”). Tale approccio potrebbe suscitare risposte binarie o estremamente soggettive, che non possono essere convalidate tramite alcuna forma di attestazione da parte di terzi.
Si considerino le ripercussioni dell’incidente SolarWinds. Alcune organizzazioni hanno chiesto ai propri fornitori: «Avevate le versioni compromesse di SolarWinds Orion nel vostro ambiente?» Tuttavia, la risposta “sì/no” che ciò ha suscitato non è sufficiente per fondarvi importanti calcoli di rischio. Se il fornitore in questione disponesse di processi di gestione delle risorse e delle applicazioni poco efficaci, potrebbe non conoscere nemmeno la risposta con certezza. E a cosa serve una garanzia basata su dati parziali o incompleti?
Come vedremo, le organizzazioni più mature hanno posto domande più aperte (ad esempio: In che modo la vostra azienda affronta la modellizzazione delle minacce? Descriva il Suo approccio alla gestione delle patch.) Rispondendo a queste domande di carattere più generale, potrete ottenere una garanzia molto più ampia in merito alla sicurezza dei fornitori.
Inoltre, alcune organizzazioni hanno cercato di superare l’approccio manuale basato su fogli di calcolo, ricorrendo a soluzioni tecniche volte a calcolare in modo più rigoroso il livello di sicurezza dei fornitori. Tuttavia, molti servizi riusciranno solo a fornire una visione incompleta e “dall’esterno verso l’interno” dei fornitori, basata su una serie limitata di criteri e su una valutazione soggettiva. Non sono abbastanza olistici da essere di grande aiuto.
Questa è solo la punta dell'iceberg. Tra le altre sfide relative alla sicurezza della catena di approvvigionamento figurano:
I team addetti alla sicurezza e alla gestione dei rischi sono stati coinvolti troppo tardi:
La governance della catena di approvvigionamento viene spesso attuata in una fase troppo avanzata del processo di inserimento. A quel punto, potrebbe essere troppo tardi per mitigare o eliminare il rischio. Il team addetto alla sicurezza e alla gestione dei rischi può trovarsi sottoposto a una pressione enorme da parte dell’azienda affinché dia il proprio benestare al nuovo accordo. Desiderosi di non essere considerati il “dipartimento del no”, i CISO potrebbero avere l’impressione di non avere altra scelta se non quella di agire in tal senso.
La ricertificazione non viene effettuata:
Per quanto sia importante una rigorosa due diligence prima dell’inserimento di un nuovo cliente, anche una rivalutazione periodica del rapporto è fondamentale. Potrebbe trattarsi di un fornitore di servizi SaaS il cui servizio è stato inizialmente implementato solo per un numero limitato di sviluppatori, utilizzando esclusivamente dati di prova.
App , infatti, è attualmente utilizzato da centinaia di dipendenti per l’elaborazione di informazioni aziendali di importanza cruciale. La ricertificazione periodica è fondamentale per gestire in modo dinamico il rischio man mano che esso evolve. Purtroppo, per molte organizzazioni la sicurezza della catena di approvvigionamento è un aspetto che, una volta impostato, viene poi trascurato.
Visibilità e garanzia end-to-end:
La gestione dei rischi legati alle parti terze è una cosa, ma più ci si sposta a monte o a valle nella catena di approvvigionamento, più la situazione si complica. E i fornitori dei Suoi fornitori? E i loro fornitori? La sfida in questo caso consiste nel fatto che non esiste una best practice coerente e diffusa a livello di settore per la gestione del rischio dei fornitori dall’inizio alla fine del processo.
Chiedo ai miei fornitori di fornire dati dettagliati basati su modelli di minaccia e analisi dei rischi, ma le loro procedure di verifica dei propri partner potrebbero limitarsi a controlli superficiali e sommari. Quando ogni componente della catena di approvvigionamento è diverso, diventa estremamente difficile valutare il rischio complessivo dall’inizio alla fine.
Cosa succederà ora?
Tutte le organizzazioni devono affrontare queste sfide in una certa misura — anche quelle dotate di programmi di sicurezza informatica relativamente consolidati. Ecco perché è utile tornare alle basi e cercare, in primo luogo, di rispondere a quelle domande fondamentali: chi sono i vostri fornitori, qual è il loro livello di maturità in materia di sicurezza e in che modo utilizzano i vostri dati, ammesso che lo facciano.
In sostanza, si tratta di una questione di visibilità: comprendere quali risorse IT possedete, quali applicazioni vi girano sopra e quali dipendenze da terze parti esistono. È facile a dirsi, ma non sempre a farsi.
Questa stessa visibilità deve essere estesa ai vostri fornitori. Devono essere in grado di fornire un inventario completo e accurato delle proprie risorse IT per comprendere lo stato degli endpoint e quali versioni dei software siano installate. E devono essere in grado di applicare tempestivamente le patch per mitigare il rischio in modo dinamico.
Ciò dovrebbe rientrare in uno sforzo olistico volto a valutare il livello complessivo di maturità del quadro di sicurezza dei vostri fornitori, tenendo conto non solo dei dati telemetrici relativi alle patch e alle vulnerabilità — spesso incompleti e relativi a un determinato momento — ma anche dell’approccio del fornitore alla modellizzazione delle minacce, allo sviluppo sicuro del software, all’architettura di sicurezza e a molti altri aspetti.
Concentrandosi su domande di natura prescrittiva quali: “Stava eseguendo l’aggiornamento dannoso di SolarWinds Orion?” fornisce una garanzia apparente in un determinato momento, ma non sarà di alcun aiuto quando si verificherà il prossimo attacco informatico su scala globale. Per garantire un'efficace sicurezza della catena di approvvigionamento è necessario un approccio ben più ampio.
Una volta che disporrete di questi dati quantitativi, integrateli con le attestazioni e le valutazioni di soggetti terzi per ottenere una visione a 360 gradi del rischio associato a ciascun fornitore. A tal fine, potrebbe essere utile fare riferimento a standard internazionali, quali , ISO 27001 e.
Si definisca una serie minima di requisiti e li si inserisca nei contratti. Ciò contribuirà a creare un’alternativa più coerente e basata sui dati a quell’approccio arbitrario alla verifica, basato sui fogli di calcolo, a cui troppi di noi continuano ancora ad attenersi.
Ecco alcune altre considerazioni:
- Coinvolga i team addetti alla sicurezza e alla gestione dei rischi il prima possibile nel processo di due diligence relativo ai nuovi fornitori. I requisiti dovrebbero basarsi sulla sensibilità del servizio fornito.
- La ricertificazione della sicurezza dovrebbe essere effettuata periodicamente e in base al livello di criticità del servizio fornito.
- Effettuate una modellizzazione completa delle minacce e un’analisi dei rischi per comprendere meglio i vostri principali avversari, dove potrebbero colpire e in che modo. Ciò contribuirà a definire la Sua strategia di sicurezza della catena di approvvigionamento.
- Si assicuri che i Suoi fornitori dispongano di una procedura chiara per la notifica delle violazioni nel caso in cui si verifichi lo scenario peggiore.
- Comprendere l’approccio dei fornitori al ciclo di vita dello sviluppo del software di sicurezza (SDLC): in che modo i loro sviluppatori vengono formati e certificati in materia di sicurezza delle applicazioni? Quali sono le loro procedure per l’analisi statica e dinamica?
- Definite le procedure operative standard per la risposta agli incidenti, in modo da sapere come comportarvi nel caso in cui si verifichi il peggio.
Questo elenco non è esaustivo e, come potrete notare, non affronta la sfida della garanzia della catena di approvvigionamento end-to-end. Si tratta di un argomento su cui noi, come settore, dobbiamo riflettere con maggiore attenzione.
Desidera ottenere una visione chiara dello stato di salute del Suo ambiente IT? Richieda una valutazione gratuita “ Risk ” all’indirizzo per comprendere lo stato dei Suoi endpoint, individuare le lacune critiche, ottenere il Suo punteggio di rischio informatico e scoprire come migliorare la Sua igiene informatica.
