Quest’anno ricorre il quarto di secolo di Black Hat, la conferenza sulla sicurezza informatica che riunisce un variegato gruppo di hacker, CISO, esponenti delle istituzioni e guru della tecnologia.
Black Hat runs August 6-11 in Las Vegas. Fondato dal consulente di sicurezza Jeff Moss nell’ambito di “ 1997—before iPhones”, “ Twitter” o dell’originale “ Matrix” — l’evento è cresciuto in dimensioni e reputazione, trasformandosi da un semplice incontro occasionale a un simposio di grande impatto della durata di più giorni che si tiene in tre continenti.
A differenza del vecchio adagio “Quello che succede a Las Vegas resta a Las Vegas”, potete stare certi che ciò che accade al Black Hat farà parlare di sé. Come quella volta nel 2010 , quando il defunto hacker e ricercatore nel campo della sicurezza neozelandese Barnaby Jack dimostrò quanto fosse facile indurre un bancomat a erogare contanti.
Or in 2012, when Moldovan computer scientist and professor of cybersecurity Andrei Costin demonstrated security flaws in the FAA’s air traffic control system that allowed him to reveal the location of Air Force One. Or in 2016, when security researchers hacked an internet-connected Jeep Cherokee with Wired reporter Andy Greenberg at the wheel.
Tutto in diretta, al Black Hat.
Cosa ci riserverà quest’anno? Endpoint ha passato al vaglio il calendario del Black Hat individuando cinque eventi da non perdere. Si tratta di contenuti imperdibili per i responsabili della sicurezza informatica (CISO), i loro team di sicurezza e qualsiasi dirigente aziendale che prenda sul serio la sicurezza informatica.
1. Primi piani e scatti spontanei
Cosa: Black Hat CISO Summit
Quando: martedì, 9 agosto, 08 a 18
Chi: , Kirsten Bay, CEO di Cysurance; Joanna Burkey, CISO presso HP; e un comitato consultivo composto dai principali CISO di Cisco e Salesforce, tra gli altri.
Questo evento, della durata di un’intera giornata e accessibile solo previa autorizzazione, prevede discussioni riservate e opportunità di networking con alcuni dei massimi responsabili della sicurezza aziendale e governativa a livello nazionale. Tra gli interventi sinceri e approfonditi figurano “Perché la sicurezza informatica è un pilastro fondamentale dell’ESG: cosa significa questo per voi in qualità di CISO”, tenuto da Burkey, un esperto di sicurezza informatica che ha maturato esperienza sia dal punto di vista dello sviluppo dei prodotti che da quello degli operatori sul campo.
[Leggi anche: Il ransomware sta mettendo a dura prova il settore delle assicurazioni informatiche]
Nel suo articolo “Cyber Insurance: The Current State and Ways to Influence the Future” (Assicurazione informatica: lo stato attuale e le modalità per influenzarne il futuro), Bay mette a disposizione oltre 25 anni di esperienza nei settori dell’analisi dei rischi, della gestione delle informazioni e delle polizze assicurative informatiche. L’autrice analizza la situazione attuale del settore delle assicurazioni contro i rischi informatici — un ambito che conosce bene, avendo contribuito a promuovere lo sviluppo di coperture assicurative complete e accessibili per le piccole e medie imprese.
«Le difficoltà che imponiamo alle persone per l’acquisto di prodotti assicurativi contro i rischi informatici sono ridicole», ha affermato in occasione di una recente puntata del podcast “Spot On Insurance” di .
2. Al passo con il cambiamento
Quando: Mercoledì, 10 agosto, 13:30 a 14:10
Chi: Robert Silvers, sottosegretario per la strategia, le politiche e la pianificazione del Dipartimento per la Sicurezza Interna (DHS); Heather Adkins, vicepresidente per l’ingegneria della sicurezza presso l’ Google; Jeff Moss, fondatore di Black Hat e DEF CON ed ex responsabile della sicurezza e vicepresidente dell’ICANN.
Il tanto atteso Cyber Safety Review Board (CSRB), che formula raccomandazioni sulle migliori pratiche in materia di sicurezza informatica alle agenzie statunitensi e alle imprese private, ha recentemente concluso le sue prime deliberazioni relative alla vulnerabilità Log4j . Il fondatore di Black Hat, Moss, guiderà Silvers e Adkins — rispettivamente presidente e vicepresidente del CSRB — in una discussione sui principali risultati del loro rapporto inaugurale e sui modi in cui, a loro avviso, il CSRB cambierà il panorama.
Silvers è stato nominato sottosegretario un anno fa e ha il compito tutt’altro che invidiabile di cercare di coordinare la vasta struttura del DHS, gestendo al contempo il nuovo consiglio di amministrazione. Egli sostiene una legge controversa che impone alle organizzazioni di segnalare gli incidenti informatici. «Non possiamo affrontare un problema in modo adeguato», ha dichiarato davanti al Congresso, «se non ne comprendiamo la portata e l’ampiezza».
3. La ricerca delle minacce resa più semplice
Quando: Mercoledì, 10 agosto, 14:30 a 15
Chi: John Dwyer, responsabile della ricerca; Neil Wyler, responsabile globale delle valutazioni delle minacce attive; Sameer Koranne, responsabile globale OT: tutti membri dell’ IBM Security X-Force
Gli attacchi ransomware sono destinati ad aumentare in termini di rapidità ed efficacia: è quanto emerge da un rapporto pubblicato a giugno dal team Security X-Force di IBM, che ha analizzato gli attacchi ransomware ai danni delle aziende. Dal rapporto è emerso che la durata media di un attacco — ovvero il tempo che intercorre tra l’accesso iniziale e il rilascio del ransomware — è diminuita del 94,3% tra il 2019 e il 2021.
Dwyer, Wylie e Koranne illustreranno il loro nuovo modello volto ad aiutare le organizzazioni a costituire un team dedicato alla ricerca delle minacce e illustreranno le modalità per migliorare le operazioni di ricerca delle minacce nei programmi già esistenti. Avendo valutato i programmi di aziende incluse nella classifica Fortune 100 e di enti governativi, comprendono il dilemma che i dirigenti aziendali devono affrontare: dovrebbero dedicarsi alla ricerca proattiva delle minacce, ma spesso non riescono a spiegare con precisione in cosa consista tale attività.
4. Un comitato di revisione informatica tutto proprio
Cosa significa “”: Nessuno ha diritto alle proprie verità, tranne che nel campo della sicurezza informatica? Presentazione di un manuale investigativo per lo sviluppo di una narrazione condivisa dei principali incidenti informatici
Quando: Mercoledì, 10 agosto, 15:20 a 16
Chi: Victoria Ontiveros, ricercatrice presso la Harvard Kennedy School; Tarah Wheeler, CEO, Red Queen Dynamics.
Mentre il CSRB indaga su incidenti informatici di ampia portata che coinvolgono diverse organizzazioni, le singole organizzazioni stanno iniziando a comprendere l’opportunità di dotarsi di propri comitati di revisione. Ma come si fa a crearne uno?
A giugno, Ontiveros e Wheeler hanno pubblicato una guida intitolata “ ” (), redatta in collaborazione con l’esperto di modellizzazione delle minacce Adam Shostack, sulle modalità con cui le organizzazioni di grandi e piccole dimensioni, comprese le amministrazioni statali e locali, possono creare meccanismi investigativi più efficaci. Accompagneranno i dirigenti nel processo di costituzione di un comitato incaricato delle indagini sugli incidenti informatici, valutando i pro e i contro e analizzando l’impatto delle decisioni nel tempo.
5. L'attacco informatico prevedibile
Cosa: Prima di Stuxnet, dopo Stuxnet: tutto è cambiato, nulla è cambiato
Quando: giovedì, 11 agosto, 09 a 10
Chi: Kim Zetter, giornalista investigativa
Nonostante i miliardi che le imprese spendono per la sicurezza e la crescente attenzione che il governo riserva alle minacce, i dirigenti rimangono comunque sconcertati quando i criminali informatici adottano nuove modalità di attacco, per quanto del tutto prevedibili.
La giornalista di lunga data Zetter, autrice di articoli sulla sicurezza informatica e sulla sicurezza nazionale per Wired, The New York Times e The Washington Post, approfondisce questa mancanza di immaginazione nel suo intervento principale, in cui esamina le lezioni in materia di sicurezza informatica che i leader hanno dovuto imparare e reimparare, nonché i modi in cui tutti possono migliorare la propria capacità di prevedere “l’ignoto ignoto”.
Zetter è autrice di * * (*Conto alla rovescia verso lo Zero Day: *), *Stuxnet* e *Il lancio della prima arma digitale al mondo*; ha inoltre pubblicato in anteprima notizie esclusive sulla sorveglianza da parte della NSA e dell’FBI, sul sabotaggio russo della rete elettrica ucraina e sull’utilizzo dell’Ucraina come terreno di prova per attacchi informatici. Gli ultimi attacchi ransomware sono preoccupanti, ma offrono anche numerosi indizi sul futuro della criminalità informatica — a patto, ovviamente, che vi prestiamo attenzione.
