There’s never been a shortage of stories on the cybersecurity beat, and 2022 brought some real doozies.
I ladri hanno diffuso sul dark web informazioni relative a oltre 1 milioni di carte di credito rubate ; le azioni legali collettive hanno colpito grandi aziende a seguito di violazioni dei dati; inoltre, le aziende hanno subito furti di dati personali che hanno interessato milioni di clienti.
Sebbene i nomi delle persone coinvolte cambino e la gravità degli episodi subisca altalenanti variazioni, questo genere di storie, purtroppo, è ormai diventato la norma. Ciò che conta per i CISO in prospettiva sono gli eventi che avranno il maggiore impatto sul rischio digitale aziendale, comprese le tendenze del tutto nuove e i fattori chiave che influenzano quelle già esistenti.
In quest’ottica, il referente di “ ”, , passa in rassegna le vicende più significative del 2022.
Rafforzata la sicurezza della catena di fornitura del software
Sin dall’attacco alla catena di approvvigionamento di SolarWinds , denominato “ ”, avvenuto nel 2020, e dall’exploit zero-day noto come Log4j , di cui le aziende hanno completato la bonifica ben oltre il 2022, i dirigenti di tutto il mondo hanno compreso quanto siano interdipendenti dal software che costituisce il fondamento delle organizzazioni moderne.
“È necessario comprendere la propria catena di approvvigionamento. È inoltre necessario comprendere tutti i componenti software di cui disponete, nonché quelli dei vostri fornitori.”Nick Selby, vicepresidente della divisione Software Assurance di Trail of Bits
La catena di fornitura del software comprende essenzialmente quasi tutti gli aspetti relativi allo sviluppo e all’approvvigionamento di software, dalla sicurezza delle applicazioni e delle librerie open source ai prodotti di fornitori terzi. Ciò include anche le procedure di sicurezza e l’infrastruttura di terze parti .
Spinta dall’esigenza di una maggiore sicurezza della catena di fornitura del software, quest’anno l’adozione delle distinte dei materiali software (SBOM) — ovvero gli elenchi dei componenti software presenti nei prodotti — ha raggiunto nuovi livelli. A titolo di esempio dell’urgenza di agire, il decreto presidenziale n. 2021 del presidente Biden, intitolato “ ” ( ) e finalizzato al miglioramento della sicurezza informatica nazionale, impone ai fornitori che forniscono software al governo federale di includere una SBOM per ogni componente dei propri prodotti.
Il punto chiave: «Comprendere le dipendenze del software è davvero fondamentale», afferma Nick Selby, vicepresidente della divisione Software Assurance presso la società di consulenza in materia di sicurezza informatica Trail of Bits. «È necessario comprendere la propria catena di approvvigionamento. «È necessario comprendere tutti i componenti software di cui disponete, nonché quelli dei vostri fornitori.» Egli afferma che, qualora i fornitori terzi non dispongano di un SBOM completo, devono fornire un elenco delle dipendenze presenti nelle loro librerie. Questo indica a Lei, in qualità di acquirente, che essi dispongono di un certo livello di controllo sul codice che costituisce il prodotto che stanno vendendo.
L'attacco informatico ai danni di Uber ha messo in allerta i CISO
I CISO di tutti gli Stati Uniti hanno prestato attenzione alla vicenda lo scorso ottobre, quando l’ex CISO di Uber (ed ex procuratore federale) è stato condannato con l’accusa federale di aver ostacolato la giustizia e di aver nascosto un reato grave di cui era a conoscenza.
«[Tacere su una violazione] non significa semplicemente nascondere qualcosa di imbarazzante per voi o per l’azienda.»Mark Rasch, avvocato ed ex procuratore federale, dello studio legale Kohrman Jackson & Krantz
Le condanne derivavano dai pagamenti da lui effettuati agli autori dell’attacco, soggetti a un accordo di riservatezza (NDA), in relazione a un’intrusione informatica denominata “ 2016 ”. L’ex CISO di Uber, Joseph Sullivan, ha sostenuto che i pagamenti facessero parte del programma di ricompense per la segnalazione di bug di Uber. I procuratori federali hanno affermato che tali azioni costituivano una tangente e un insabbiamento, e che Sullivan aveva chiesto agli hacker di mantenere segreto il loro attacco informatico e di negare di aver sottratto dati. In particolare, all’epoca Uber era ancora oggetto di un’indagine da parte della FTC in merito a una precedente violazione dei dati.
Molti CISO hanno interpretato il verdetto come un monito: il governo federale intende perseguire penalmente i CISO che omettano di segnalare una violazione. La realtà è che il verdetto riguardava l’insabbiamento di una violazione che, secondo il Dipartimento di Giustizia, avrebbe dovuto essere resa nota e affrontata con maggiore trasparenza.
Conclusione: Gli esperti legali raccomandano ai CISO di conservare una documentazione dettagliata relativa agli incidenti di sicurezza e di comunicare tramite e-mail e altri canali tenendo presente che le autorità di regolamentazione, i giudici e i giurati potrebbero, in futuro, prendere visione di tale corrispondenza.
Mark Rasch, ex procuratore federale e avvocato presso lo studio legale Kohrman Jackson & Krantz, raccomanda ai dirigenti di agire con onestà in merito a eventuali violazioni dei dati o programmi di bug bounty all’interno della propria azienda. In un’intervista al podcast “Security Current” di , ha affermato che, sebbene un’organizzazione possa scegliere di non segnalare una violazione, i dirigenti dovrebbero almeno dimostrare che il processo seguito per giungere a tale decisione fosse valido.
[Leggi anche: Perché i cacciatori di bug ricevono ricompense ingenti]
«Non si tratta semplicemente di nascondere qualcosa che sia imbarazzante per voi o per l’azienda», ha affermato. «La scelta di segnalare o meno una violazione dei dati è frutto di una decisione consapevole. È inoltre opportuno assicurarsi di prendere le decisioni avvalendosi della consulenza di un legale.”
I rischi legati al firmware si sono intensificati
Nel numero 2021 abbiamo messo in evidenza alcune vulnerabilità del tipo “ ” che prendono di mira i chip di gestione dell’ (), i quali gestiscono l’interazione tra l’hardware del computer e il sistema operativo. Le vulnerabilità del firmware consentono un accesso invidiabile all’azienda.
All’inizio del 2022, alcuni ricercatori nel campo della sicurezza hanno individuato un attacco informatico sofisticato noto come “ ” (CosmicStrand ), che consente agli autori degli attacchi di infettare clandestinamente il firmware. Inoltre, nel corso dell’anno si sono verificati attacchi al firmware che hanno sfruttato le vulnerabilità “ ” , che hanno interessato oltre 70 modelli di laptop Lenovo, nonché le vulnerabilità “ ” , che hanno esposto al rischio le tecnologie operative e i dispositivi dell’Internet delle cose (IoT).
In sintesi: «La sicurezza del livello firmware viene spesso trascurata, ma rappresenta un punto singolo di guasto nei dispositivi ed è uno dei metodi più subdoli con cui un aggressore può compromettere i dispositivi su larga scala», secondo un rapporto intitolato “ ” ( ) redatto dal Dipartimento della Sicurezza Interna e dal Dipartimento del Commercio degli Stati Uniti.
Come requisito minimo, le imprese devono garantire di aver implementato i requisiti tecnici previsti dalle specifiche più recenti dell’Interfaccia firmware estensibile unificata (UEFI) e che siano attive funzionalità quali l’avvio sicuro UEFI (UEFI Secure Boot). Strumenti quali CHIPSEC possono essere utilizzati per effettuare verifiche di sicurezza del firmware nell’ambito del processo di due diligence prima dell’acquisto dei prodotti.
L'incertezza economica è aumentata vertiginosamente
Sebbene nessuno possa sapere con esattezza quanto si intensificheranno le difficoltà che l’economia statunitense dovrà affrontare nel 2023, l’opinione prevalente tra gli economisti è che il Paese si stia avviando verso una recessione, o quantomeno verso un periodo di crescita economica caratterizzato da profonda instabilità. Il forte aumento dei prezzi, le difficoltà nella catena di approvvigionamento e le tensioni geopolitiche hanno fortemente frenato la crescita.
[Legga anche: 5 gravi errori che i CISO dovrebbero evitare durante una fase di recessione]
L'incertezza economica è destinata a esercitare pressione sui bilanci destinati alla sicurezza, proprio mentre i rischi legati alla sicurezza informatica continuano ad aumentare. «Cogliete questa occasione per ottimizzare», consiglia Andy Ellis, ex CSO di Akamai Technologies e attualmente partner operativo presso YL Ventures.
Conclusione: I responsabili della sicurezza dovrebbero aumentare l’efficienza il più possibile, ma dovrebbero farlo nel modo più efficace e meno rischioso possibile. Tuttavia, se alla fine venisse loro richiesto di operare dei tagli, i CISO saranno costretti a individuare le voci su cui operare tali tagli.
«È doloroso, ma si possono sempre trovare modi per andare ancora più a fondo», afferma Ellis. Un esercizio utile per il CISO consiste nel rivolgersi ai propri colleghi e alle parti interessate e porre loro due domande: quali sono le nostre iniziative di cui non ne vedete il valore? E cosa non stiamo facendo che, secondo lei, sarebbe semplice e utile?
In tutta Europa è scoppiata una guerra informatica
Sebbene le ostilità informatiche nella guerra tra Russia e Ucraina siano rimaste per lo più confinate all’Ucraina, con alcune eccezioni relative a infrastrutture occidentali, è ancora troppo presto per affermare se la situazione rimarrà tranquilla sul fronte digitale. Tuttavia, qualora le ostilità dovessero estendersi, è molto probabile che abbiano inizio online. Gli attacchi informatici russi nei primi giorni di guerra hanno preso di mira le infrastrutture di comunicazione critiche dell’Ucraina.
": Disponete di un valido piano di ripristino in caso di emergenza?" Ha rapporti di collaborazione con l’ufficio locale dell’FBI? In caso contrario, coltivatene uno.”Andrew Storms, vicepresidente responsabile della sicurezza presso Replicated
Già prima dell’invasione russa, il Dipartimento della Sicurezza Interna degli Stati Uniti aveva avvertito le organizzazioni statunitensi, in particolare quelle operanti nel settore delle infrastrutture critiche, di tenersi pronte ad affrontare attacchi di tipo DDoS (Distributed Denial of Service) o attacchi ancora più distruttivi. Questi attacchi — o i preparativi segreti per metterli in atto — potrebbero essere già in corso.
«Quando si approfondiscono le attività sostenute dagli Stati-nazione, che si tratti di attacchi fisici o informatici, non si riesce a comprendere appieno ciò che sta accadendo, poiché chi ne è a conoscenza non rivelerà ciò che sa», afferma Andrew Storms, vicepresidente responsabile della sicurezza presso il fornitore di piattaforme Replicated. «Non ritengo prudente ritenere che sia finita, né che non si verificheranno attacchi su larga scala.»
In sintesi: Si metta al lavoro per colmare le lacune di sicurezza. «Esaminate attentamente il vostro stato di sicurezza e individuate gli elementi essenziali che dovrebbero essere in atto ma che forse non lo sono ancora del tutto», afferma Storms di Replicated. “Dispone di un valido piano di ripristino di emergenza per l’ ? Ha rapporti di collaborazione con l’ufficio locale dell’FBI? «In caso contrario, coltivatene uno.»
Si tratta di un ottimo consiglio in qualsiasi momento, non solo in un’epoca caratterizzata da minacce digitali sempre più diffuse. Sebbene nessuno sappia quali sviluppi in materia di sicurezza porterà il 2023 , i leader che trarranno insegnamento dalle lezioni del 2022 saranno certamente meglio preparati ad affrontare qualsiasi cosa il futuro riservi.
