Su 2022 non sono certo mancate le notizie tali da far rabbrividire i CISO e far loro rizzare i capelli, tra cui l’ascesa della guerra cibernetica globale , e la spietatezza delle bande di ransomware .
Di seguito sono riportate le tendenze che dovrebbero preoccupare maggiormente i dirigenti aziendali e che potrebbero suscitare timore e inquietudine negli anni a venire:
Le vulnerabilità del firmware si stanno moltiplicando
Il firmware funge da interfaccia tra l'hardware e gli altri dispositivi su cui è in esecuzione il software. Fornisce quindi agli autori degli attacchi l’accesso tanto ambito agli endpoint e consente loro di rimanere inosservati per lunghi periodi di tempo.
«Ogni software presenta un punto debole, e il firmware non è altro che software.»Roger Thompson, responsabile tecnico di prodotto, ReversingLabs
Gli autori degli attacchi prendono sempre più spesso di mira il firmware dei dispositivi, riuscendo a infiltrarsi con successo al suo interno. Un esempio recente è il malware “ ” (CosmicStrand), che sfrutta l’interfaccia UEFI (UEFI) ed è stato reso noto per la prima volta dal fornitore russo di soluzioni anti-malware Kaspersky Lab. L'attacco prende di mira il chipset H81 e, se va a buon fine, disattiva il software di sicurezza in esecuzione sul dispositivo.
Nel 2022, il numero di gravi vulnerabilità del firmware ha continuato ad aumentare. Nel mese di febbraio, l’azienda specializzata in sicurezza Binarly ha individuato alcune vulnerabilità critiche in InsydeH2O, un tipo di firmware UEFI. Tali vulnerabilità hanno interessato tutti i fornitori che utilizzano nel proprio software il codice di sviluppatori BIOS indipendenti (IBV) per garantire il corretto funzionamento dei sistemi operativi dei computer. Binarly ha riferito, in un post pubblicato sul blog “ ” ( ), che sono state individuate vulnerabilità in prodotti di fornitori quali Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft e Intel.
[Leggi anche: Le vulnerabilità del firmware mettono a rischio i computer portatili]
«Siamo impegnati in una corsa senza sosta, con il limite che si sposta sempre più in basso nello stack [tecnologico]», afferma Roger Thompson, esperto di sicurezza anti-malware e firmware nonché responsabile tecnico di prodotto presso ReversingLabs, azienda che offre una piattaforma per la sicurezza della catena di fornitura del software. «Ogni software presenta un punto debole, e il firmware non è altro che software.» Egli afferma che gli attacchi contro il firmware sono destinati ad aumentare man mano che le aziende implementano un numero sempre maggiore di endpoint, il che amplia la superficie di attacco complessiva.
Le minacce persistenti avanzate si annidano all’interno delle reti
Un presupposto fondamentale dell’approccio di sicurezza “zero trust” () è che gli ambienti IT siano già stati compromessi e che gli aggressori si trovino già all’interno di un numero indefinito di server ed endpoint. Le squadre di sicurezza non sanno ancora quali siano. Poiché le credenziali rubate vengono utilizzate per spostarsi lateralmente dopo una violazione iniziale, rimane fondamentale bloccare gli autori degli attacchi non appena riescono a penetrare all’interno di un’organizzazione.
«. Esistono regole chiare in materia di guerra convenzionale, ma non vi sono norme chiare della Convenzione di Ginevra relative alla guerra cibernetica.» Là fuori è come nel Far West.”Tom Kirkham, responsabile della sicurezza informatica ( CEO ) e responsabile della sicurezza delle informazioni (CISO), Kirkham IT
Il modello "zero trust" è un'architettura tecnica che parte dal presupposto che persone, sistemi e dispositivi debbano essere continuamente autenticati. Gli analisti prevedono che il valore del mercato globale dello zero-trust raggiunga i 126 miliardi di dollari entro il 2031, in aumento rispetto ai 24 miliardi di dollari del 2021.
«Questo modello si discosta nettamente dall’approccio “fidati, ma verifica”, che tradizionalmente ha esposto le reti ad attività malevole da parte di attori interni», afferma Robin Berthier, responsabile della divisione “ CEO ” presso Network Perception, azienda che fornisce soluzioni di verifica e visualizzazione della segmentazione di rete. Egli afferma che il forte interesse per questa architettura di sicurezza è dovuto, in parte, al decreto presidenziale “ ” ( ) emanato dal presidente Biden il maggio 2021 , che impone al governo federale l’adozione del modello “zero trust”. Sebbene esistano numerose interpretazioni diverse, stanno emergendo alcuni standard relativi al modello “zero-trust”, quali il 800-207 dell’ NIST, lo ZTX di Forrester e il CARTA di Gartner.
Il ransomware continua a rappresentare un vero e proprio flagello
Il ransomware “ ” continua a comportare costi ingenti. Secondo Cybersecurity Ventures, si prevede che il costo degli attacchi ransomware raggiunga i 265 miliardi di dollari entro il 2031, in aumento rispetto ai 20 miliardi di dollari del 2021. I costi comprendono la perdita di produttività e di fatturato, la gestione delle conseguenze delle violazioni dei dati e le sanzioni previste dalla normativa.
Webroot, fornitore di software anti-malware, ha classificato LockBit al 2022’s ° posto tra i gruppi di ransomware più prolifici e di maggior successo. Sebbene il gruppo offra da anni servizi di ransomware-as-a-service, continua a perfezionare le proprie tattiche. Oltre a chiedere un riscatto per i dati — minacciando di renderli pubblici in caso di mancato pagamento — il gruppo di hacker conduce anche attacchi di tipo “distributed denial of service” (DDOS).
«Man mano che l’automazione dell’ e diventa sempre più accessibile, si registra un aumento complessivo degli attacchi», afferma Tom Kirkham, CEO e CISO presso la società di consulenza Kirkham IT. «[I gruppi] stanno adottando un approccio sempre più sofisticato. Abbiamo persino riscontrato l’esistenza di intere agenzie specializzate in ransomware disponibili su commissione. «Sceglieranno una persona come obiettivo e metteranno in atto una strategia su misura per attirare direttamente la sua attenzione e inserirsi nella sua cerchia ristretta».
Le catene di approvvigionamento sono ancora vulnerabili
Ottenere una visione chiara delle catene di approvvigionamento del software rappresenta una preoccupazione costante. Considerando la varietà di software e servizi di ogni tipo — tra cui soluzioni open source, commerciali, cloud e di terze parti — garantire che il codice sia privo di vulnerabilità sfruttabili rappresenta una sfida.
“I rischi legati a soggetti terzi derivanti dalla catena di approvvigionamento o dalle vulnerabilità presenti nei componenti software di terze parti continuano a rappresentare un fattore determinante nelle violazioni causate da fattori esterni”, ha affermato Sandy Carielli, analista principale presso Forrester, in occasione del forum “ Security & Risk” organizzato dalla società di ricerca. «Probabilmente le organizzazioni contano oggi più soggetti terzi nel proprio ecosistema che mai.»
[Legga anche: Che cos’è la gestione dei rischi di terze parti?]
L’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) sta promuovendo attivamente l’uso delle distinte dei materiali software (SBOM) — ovvero elenchi che riportano i componenti software presenti nei prodotti — come strumento per contribuire a migliorare la sicurezza della catena di approvvigionamento del software. Gli SBOM garantiscono una maggiore visibilità sui componenti software presenti nel software commerciale e open source di un’organizzazione.
I rischi geopolitici si moltiplicano a dismisura
Se c'è una cosa che è emersa chiaramente quest'anno, è che il rischio geopolitico è strettamente legato al rischio informatico. Ogni nuovo conflitto aumenta il rischio di attacchi informatici. Gli attacchi informatici contro i settori pubblico, energetico, dei media, finanziario, imprenditoriale e non profit dell’Ucraina si sono intensificati già prima dell’invasione su vasta scala da parte della Russia nel febbraio 2022. Da allora, gli attacchi informatici russi hanno compromesso la distribuzione di medicinali, generi alimentari e aiuti umanitari, come emerge da un documento informativo del Parlamento europeo intitolato “ ” ( ).
«La tendenza potenzialmente più pericolosa per i CISO oggi è l’esitazione ad agire in qualsiasi ambito a causa del timore di minacce legali in stile Uber.»David Maynor, direttore senior del reparto di intelligence sulle minacce, Cybrary
“L’impatto [degli attacchi informatici] ha spaziato dall’impedire l’accesso ai servizi di base al furto di dati e alla disinformazione, compresa la tecnologia deepfake”, si legge nel documento informativo. «Un’altra attività informatica dannosa consiste nell’invio di e-mail di phishing di tipo “ ”, attacchi distribuiti di tipo denial-of-service (DDoS) e nell’uso di malware per la cancellazione dei dati, backdoor, software di sorveglianza e programmi per il furto di informazioni.» Anche in Occidente le infrastrutture critiche sono sempre più spesso oggetto di attacchi .
A fronte delle crescenti minacce da parte della Cina nei confronti di Taiwan, il governo taiwanese sta potenziando la propria resilienza informatica, parallelamente al rafforzamento delle proprie capacità militari convenzionali. Gli attacchi informatici contro Taiwan sono aumentati in seguito alla visita della presidente della Camera dei Rappresentanti degli Stati Uniti, Nancy Pelosi. I cartelloni pubblicitari elettronici sono stati utilizzati per visualizzare messaggi ostili alla visita della Pelosi.
«C’è davvero tanta agitazione nel mondo, sia negli Stati autoritari che in quelli democratici», afferma Kirkham. «Esistono regole chiare in materia di guerra convenzionale, ma non vi sono norme chiare della Convenzione di Ginevra in materia di guerra cibernetica. «Là fuori regna il Far West, sia in termini di protezione che di sicurezza.» Kirkham è sorpreso dal fatto che l’Occidente non abbia subito un maggior numero di attacchi su larga scala da parte della Russia o dell’Iran.
L’incertezza giuridica getta un’ombra lunga
All’inizio del ottobre 2022, una giuria federale di San Francisco ha condannato Joe Sullivan, ex responsabile della sicurezza di Uber, per aver nascosto alla Federal Trade Commission alcuni fatti relativi a una violazione dei dati. Il governo ha sostenuto con successo che Sullivan abbia ostacolato un’indagine in corso della FTC pagando degli hacker affinché mantenessero il silenzio e omettendo di segnalare la violazione. Sullivan non è ancora stato condannato, ma il verdetto ha attirato l’attenzione dei CISO.
«La tendenza potenzialmente più pericolosa per i CISO oggi è l’esitazione ad agire in qualsiasi ambito a causa del timore di minacce legali simili a quelle subite da Uber», afferma David Maynor, direttore senior del reparto di intelligence sulle minacce presso Cybrary, una piattaforma dedicata alla sicurezza informatica e allo sviluppo delle competenze del personale IT. Dopo la pronuncia del verdetto, egli afferma che i gruppi privati dedicati alla sicurezza informatica sui social network e sulle piattaforme di networking “sono impazziti” nel discutere delle implicazioni che il verdetto avrebbe avuto per loro. Sebbene la sentenza non sia ancora stata emessa, è prevista una pena detentiva effettiva.
«Si tratta di un cambiamento radicale rispetto alla situazione in cui i CISO si preoccupavano delle multe», afferma Maynor. «Ora temono che, a distanza di anni, una giuria possa dover decidere se le azioni da loro intraprese in una situazione di emergenza possano essere ritenute illegali.» «Tale timore provoca inazione dovuta alla paralisi, o addirittura un aumento delle lungaggini burocratiche che le organizzazioni devono affrontare nel rispondere a una violazione.»
È improbabile che il 2023 risulti meno angosciante del 2022, e le aziende e i loro CISO ne sono ben consapevoli. Secondo un sondaggio condotto da su oltre 1.400 professionisti IT di Spiceworks Ziff Davis, i budget destinati alla sicurezza supereranno quelli di altre categorie nell’ambito degli investimenti tecnologici aziendali, quali le applicazioni per la produttività; la spesa per la sicurezza rappresenterà infatti il 11% dei budget destinati al software, il 7% di quelli destinati all’hardware e il 6% di quelli destinati ai servizi cloud .
I CISO possono solo sperare che tutto quel denaro venga speso bene.
