Quando un aereo di linea precipita, gli investigatori federali dell’aviazione si recano immediatamente sul posto per cercare di capire come e perché sia accaduto. I risultati delle loro indagini hanno lo scopo di informare l’opinione pubblica e il settore del trasporto aereo, nonché di evitare incidenti simili, siano essi causati da dolo, errore umano o malfunzionamento tecnico.
Tuttavia, per quanto riguarda gli attacchi informatici, non esiste alcun ente che svolga attività di analisi analoghe e condivida informazioni fondamentali. Ma le cose stanno per cambiare. Sulla scia dell’attacco a SolarWinds — in cui gli hacker hanno violato i sistemi di circa 300 aziende e nove agenzie federali, con costi di ripristino pari a circa 100 miliardi di dollari — l’amministrazione Biden intende istituire un comitato di revisione degli incidenti di sicurezza informatica.
[Legga anche: Che cos’è la resilienza informatica?]
Ai sensi di un decreto presidenziale di prossima emanazione dell’ , gli appaltatori governativi del settore informatico sarebbero tenuti a segnalare tempestivamente le violazioni informatiche a un nuovo ente facente capo al Dipartimento per la Sicurezza Interna. Tale agenzia sarebbe simile al National Transportation Safety Board (NTSB), che indaga sugli incidenti nell’ambito dell’aviazione civile e di altro tipo e formula raccomandazioni in materia di sicurezza.
L’obiettivo della direttiva federale, che dovrebbe includere nuove norme per il rispetto degli standard di sicurezza del software, è quello di aiutare il governo Detect e di rispondere agli incidenti di sicurezza informatica. Ha inoltre lo scopo di promuovere la sicurezza della catena di approvvigionamento e spingere gli appaltatori federali a migliorare le proprie misure di difesa.
Tuttavia, si prevede che i nuovi requisiti per gli appaltatori federali abbiano un impatto molto più ampio. Gli esperti di sicurezza affermano che tali misure si diffonderanno a cascata nelle sale dei consigli di amministrazione e negli uffici dirigenziali, poiché le imprese, grandi e piccole, cercheranno di adottare nuove misure di sicurezza, ridurre i rischi, evitare costose interruzioni dell’attività e diventare più trasparenti per conquistare nuovi clienti e guadagnarsi la loro fiducia.
«L’approccio del governo stimolerà probabilmente il settore privato ad adottare requisiti di rendicontazione simili», afferma Chris Hallenbeck , responsabile della sicurezza informatica (CISO) per le Americhe presso Tanium, membro dell’. «Quale azienda vorrebbe essere quella meno trasparente?»
In effetti, oggi i CISO stanno adottando un approccio proattivo per rafforzare le proprie aziende e i propri settori. Si stanno concentrando su tre aree fondamentali: controlli più rigorosi sullo sviluppo del software, maggiore visibilità sulle reti aziendali e una migliore condivisione delle informazioni.
Cosa offre " ", il Suo software " "?
Proprio come l’elenco degli ingredienti riportato sulla confezione di un prodotto alimentare, la distinta dei materiali (SBOM, ) di un fornitore di software deve elencare in modo chiaro e accurato ogni singolo componente e indicarne la provenienza. Si tratta di un aspetto fondamentale della gestione della catena di approvvigionamento. Aiuta il fornitore ad assicurarsi che i componenti software siano aggiornati e consente all’acquirente di effettuare analisi delle vulnerabilità per valutare i rischi legati al software.
«È semplicemente troppo facile integrare software proveniente da fonti sconosciute e potenzialmente dannose.»Frank Dickson, vicepresidente responsabile dei programmi presso IDC
«Se chiedo a un fornitore di software di produrre una SBOM e mi sembra che non sia in grado di farlo, ciò mi porterà a mettere in discussione le sue pratiche di sviluppo del software», ha affermato Sounil Yu, CISO e responsabile della ricerca presso JupiterOne. «Il semplice fatto di sapere che sono in grado di generare facilmente un SBOM mi dà la certezza che le loro pratiche di sviluppo software siano sufficientemente moderne o consolidate da consentire di far fronte a un’ampia gamma di problemi comuni legati a software vulnerabile o mal gestito.»
Man mano che le aziende utilizzano repository di codice come quelli presenti sulla piattaforma di collaborazione software GitHub, la verifica della provenienza e dell’autenticità del codice ha assunto un’importanza sempre maggiore. «È semplicemente troppo facile integrare software proveniente da fonti sconosciute e potenzialmente dannose», afferma Frank Dickson , , vicepresidente di programma responsabile della sicurezza informatica presso la società di ricerche di mercato e consulenza IDC.
Sebbene le organizzazioni possano acquisire una visione più chiara del software che costituisce la propria infrastruttura tecnologica grazie a un SBOM più dettagliato, tali dettagli potrebbero anche generare «un’ondata di nuovi dati e di rumore, e non tutti saranno utilizzabili», afferma David Wolpoff, cofondatore e direttore tecnico di Randori, una società di sicurezza che esegue attacchi simulati per aiutare i clienti a individuare le vulnerabilità.
[Legga anche: Che cos’è la gestione delle patch?]
Qualora non l’abbiano già fatto, gli appaltatori governativi devono prepararsi alla maggiore complessità che i requisiti più rigorosi in materia di SBOM comporteranno per il processo di appalto federale. Tuttavia, in definitiva, dovrebbero trarre vantaggio da un processo più agevole, afferma Window Snyder, ex CISO presso Square, Inc. e fondatrice e CEO dell’azienda di sicurezza delle reti informatiche Thistle Technologies.
Un SBOM richiesto dal governo «potrebbe rivelarsi molto utile nel definire chiaramente cosa occorre fare per la gestione delle patch e delle vulnerabilità», afferma. “Ciò aiuterà i team di sicurezza ad affrontare le questioni meno rilevanti che non fanno notizia sulla stampa specializzata, ma che desiderano comunque affrontare. «Se funziona correttamente, grazie all’[automazione], è in grado di ridurre in modo misurabile i tempi di gestione delle patch da 30 giorni a 15 giorni.»
Si può gestire solo ciò che si vede
In base alle norme previste dal prossimo decreto esecutivo, i fornitori di software per conto del governo dovranno informare tempestivamente quest’ultimo qualora individuino una violazione o un altro incidente di sicurezza. Tuttavia, per soddisfare tale requisito, i fornitori dovranno migliorare la visibilità sulle proprie reti e sulle proprie risorse.
Come recita un adagio del settore: non si può gestire ciò che non si vede.
A livello operativo, per visibilità si intende l’acquisizione di una visione completa di tutte le risorse informatiche e dei dati presenti nell’ambiente IT di un’azienda. La visibilità implica inoltre la capacità di individuare quali endpoint o dispositivi siano vulnerabili in un determinato momento, in modo che il team di sicurezza possa prendere decisioni informate in merito alle misure correttive da adottare. Grazie a una maggiore visibilità, le organizzazioni possono gestire in modo più efficace un’infrazione e mantenere la fiducia nella qualità dei propri dati di rendicontazione normativa.
«Ciò che dobbiamo fare è rafforzare la sicurezza di un’organizzazione per ridurre fin dall’inizio la probabilità che si verifichi una violazione.»Chris Hallenbeck, CISO per le Americhe presso Tanium
Tuttavia, garantire la visibilità rimane una sfida, in particolare dopo che la pandemia ha ampliato la superficie di attacco, aumentando il numero di endpoint e risorse che devono essere protette. Un sondaggio condotto da 2020 Tanium su 750 responsabili delle decisioni in ambito IT ha rilevato che quasi tutti — circa il 94% — hanno individuato endpoint precedentemente sconosciuti, una sorprendente mancanza di visibilità che potrebbe comportare violazioni della conformità.
Hallenbeck, di Tanium, auspica che il nuovo decreto esecutivo si concentri maggiormente sul miglioramento della sicurezza prima che si verifichi un attacco, piuttosto che a posteriori. «Ciò che dobbiamo fare è rafforzare la sicurezza di un’organizzazione per ridurre fin dall’inizio la probabilità che si verifichi una violazione», ha affermato, aggiungendo che quando le aziende dispongono di una visione completa dei propri ambienti IT, possono agire in modo più proattivo ed essere più produttive.
Per garantire un’adeguata visibilità, i team di sicurezza devono elaborare un modello di minaccia che descriva i rischi di esposizione della propria organizzazione. Tale modello deve corrispondere a risorse di alto valore e a funzioni aziendali critiche. Inoltre, i team addetti alla sicurezza e all’IT devono essere in grado di rispondere a domande relative al luogo in cui sono archiviati i dati, ai sistemi operativi in uso e al fatto che tali sistemi utilizzino servizi cloud oppure server e infrastrutture di rete in loco. Senza tali informazioni, un’azienda non disporrà della visibilità necessaria per prendere decisioni oculate in materia di personale e strumenti, risultando così più vulnerabile a eventuali violazioni.
[Leggi anche: In che modo i CIO del settore pubblico possono adottare un approccio più rigoroso]
«Una volta che l’azienda ha compreso i propri flussi di lavoro aziendali», afferma Chris Morales, CISO presso Netenrich, fornitore di servizi di sicurezza, rete e operazioni IT, «può garantire la visibilità necessaria per assicurarsi che l’intero flusso di lavoro sia monitorato al fine di individuare i comportamenti degli aggressori che potrebbero verificarsi o che si verificheranno effettivamente».
Preparatevi a condividere
Si prevede che il termine per la notifica al governo di una violazione sia di 72 ore, analogamente a quanto previsto dal Regolamento generale sulla protezione dei dati (GDPR) dell’Unione Europea (GDPR). Tuttavia, Morales ritiene che il settore del software possa e debba intervenire “nel giro di pochi minuti” in caso di minacce critiche con un impatto elevato.
«La sicurezza è una gara tra chi difende e chi attacca», afferma, e la velocità di risposta è «l’aspetto più cruciale per contenere una violazione». Il difensore deve Detect e reagire prima che l’attaccante raggiunga il proprio obiettivo. «Una notifica tardiva», aggiunge, «non fa altro che rallentare chi agisce in buona fede».
Anche se la notifica viene effettuata in modo corretto e tempestivo, il governo deve affrontare diversi ostacoli nel tentativo di creare un equivalente informatico dell’NTSB. A tal fine, deve convincere le aziende private, che hanno in gioco una grande quantità di proprietà intellettuale, a condividere le informazioni.
Sebbene l’Agenzia federale per la sicurezza informatica e delle infrastrutture (Cybersecurity & Infrastructure Security Agency, CISA) , facente capo all’Ufficio per la sicurezza interna ( ), sia diventata una forte sostenitrice sia del settore privato che di quello pubblico, le aziende hanno lamentato che la condivisione delle informazioni sia un processo a senso unico, una sfida che il governo deve superare creando un flusso bidirezionale.
«Il rapporto è buono, ma anche la trasparenza è importante», ha affermato Joseph Carson, CISO consulente presso ThycoticCentrify, azienda che fornisce soluzioni per la gestione degli accessi privilegiati. «La CISA ha assunto un ruolo più attivo e proattivo, e questo è positivo: è un segno che la sicurezza informatica funziona al meglio quando si riescono a prevenire gli attacchi, anziché intervenire sempre a posteriori per porvi rimedio.»
Tra le migliori pratiche raccomandate dagli esperti di sicurezza per la condivisione delle informazioni relative agli incidenti figurano:
- Consideri ogni evento come un’opportunità di miglioramento.
- Si eviti di attribuire colpe e ci si concentri sulle carenze sistemiche e sulle cause alla radice.
- Incoraggiate e premiate la condivisione di analisi post-evento efficaci.
Secondo Sounil Yu di JupiterOne, condurre analisi post-incidente imparziali e prive di i su ogni tipo di incidente consente a un’organizzazione di prepararsi a gestire gli incidenti di sicurezza critici. «La sicurezza è solo un tipo di incidente», afferma. «Se un’organizzazione adotta le pratiche dei post-mortem senza attribuzione di colpe, sarà probabilmente ben preparata a soddisfare qualsiasi requisito derivi dal [decreto esecutivo].»
Le analisi post-incidente improntate alla non attribuzione di colpe garantiscono inoltre che gli insegnamenti tratti da un incidente non vengano dimenticati. Offrono inoltre l’opportunità di integrare tali insegnamenti nella progettazione di software futuri. «È un ottimo investimento per la sopravvivenza dell’azienda», afferma Yu. Come effetto collaterale, le analisi post-incidente condotte in modo imparziale preparano le organizzazioni odierne al futuro di un’agenzia di revisione informatica sul modello dell’NTSB. Un’agenzia di questo tipo, dedicata a condurre analisi post-incidente imparziali e fortemente incentrata sull’accertamento delle circostanze che hanno portato a una grave violazione, potrebbe migliorare la sicurezza all’interno delle organizzazioni e lungo l’intera catena di fornitura.
