«È difficile fare previsioni, soprattutto sul futuro», ha affermato con ironia la leggenda del baseball Yogi Berra, in una delle sue frasi più citate.
La situazione risulta doppiamente difficile quando alcune delle storie più rilevanti su 2022 erano del tutto prevedibili, come ad esempio gli attacchi alla catena di fornitura del software e quelli al firmware. Ma chi avrebbe potuto prevedere quanto sarebbe diventata instabile l’economia dopo lo scoppio della guerra in Ucraina, o le gravi ripercussioni per i CISO derivanti dalla sentenza relativa a Uber ?
In questo articolo di anticipazione, abbiamo chiesto ad alcuni esperti di sicurezza di formulare ipotesi fondate sulle tendenze più significative per il 2023. Queste sono le questioni che ogni CISO dovrebbe tenere ben presenti.
Le disposizioni relative agli SBOM assumono un ruolo centrale
Che siate pronti o meno, quest’anno l’urgenza relativa alle distinte dei componenti software (SBOM) aumenterà ulteriormente. Sebbene gran parte di tale impulso provenga dalle imprese private, che stanno iniziando a richiedere gli SBOM ai propri fornitori di software, forse la pressione più significativa proverrà dal governo federale. Le agenzie e i dipartimenti statunitensi devono garantire che i fornitori si attengano a pratiche di sviluppo software sicure e forniscano gli SBOM quando trattano i dati più critici.
«Considerato l’attuale livello di immaturità, riteniamo che gli SBOM non siano ancora requisiti contrattuali adeguati.»Consiglio del settore delle tecnologie dell'informazione
Vi è un consenso quasi unanime sul fatto che gli elementi standard dell’ i (SBOM) rappresentino la soluzione più promettente per migliorare la trasparenza delle applicazioni e dei componenti software in uso all’interno delle organizzazioni. Ciononostante, è scoppiato un dibattito sul fatto che tali standard siano pronti per un utilizzo su larga scala.
Tale dibattito si è inasprito lo scorso novembre, quando l’Information Technology Industry Council, un’associazione di categoria del settore tecnologico composta da numerosi colossi del settore, ha sostenuto in una lettera aperta pubblicata su che occorre più tempo affinché gli SBOM raggiungano la maturità prima di poter essere utilizzati su larga scala. «Considerato l’attuale livello di immaturità, riteniamo che gli SBOM non siano ancora requisiti contrattuali adeguati», ha affermato il gruppo nella propria lettera.
Il Congresso sta inoltre valutando l’introduzione dell’obbligo per gli appaltatori pubblici di fornire gli SBOM. Ad esempio, la legge n. 2023 del Senato sulla difesa nazionale (National Defense Authorization Act) mira a rendere obbligatoria la presentazione degli SBOM per tutti i software non commerciali creati per conto del Dipartimento della Difesa o da esso acquisiti.
In definitiva, alcuni esperti prevedono che gli SBOM vengano adottati rapidamente, nonostante le proteste del settore. «La tecnologia necessaria per implementare e automatizzare gli SBOM è già disponibile», afferma John Pescatore, direttore del settore delle tendenze emergenti in materia di sicurezza presso il SANS Institute.
Aumenta la pressione in materia di governance dei dati e privacy
I crescenti requisiti in materia di sicurezza e privacy previsti dalla normativa “ ” hanno attirato l’attenzione dei dirigenti aziendali. «La sicurezza e la privacy sono parte integrante di tutte le decisioni tecnologiche che le organizzazioni prendono oggi», afferma Pescatore. «La questione della protezione dei dati assumerà un ruolo sempre più centrale nel dibattito.»
Anche l’analista di Gartner Anthony Carpino prevede che le organizzazioni cercheranno di gestire in modo più efficace i propri dati non strutturati e di migliorare la conformità alle norme sulla privacy all’interno dei data warehouse e delle pipeline di analisi. «Le organizzazioni devono concentrarsi sull’integrazione di una prospettiva incentrata sui dati nella propria architettura di sicurezza di base», afferma.
I dirigenti dovrebbero inoltre aspettarsi un inasprimento delle leggi sulla protezione dei dati. Ad esempio, le poche esenzioni relative ai rapporti tra imprese (business-to-business) ancora in vigore nell’ambito del California Privacy Rights Act (CPRA) sono scadute il 1 gennaio 2023. La legge comprende ora i dati dei dipendenti, i dati raccolti nell’ambito delle candidature di lavoro, nonché quelli relativi a dipendenti e collaboratori, sia attuali che precedenti. La California non è l’unico Stato ad adottare misure di questo tipo: la Virginia sta portando avanti un disegno di legge noto come Virginia Consumer Data Privacy Act (VCDPA).
Il processo di consolidamento dei fornitori accelera
Non mancano le previsioni relative a un significativo consolidamento nel settore dei fornitori di soluzioni di sicurezza. Gli osservatori prevedono ripercussioni dovute alla contrazione del capitale di investimento disponibile e al calo delle acquisizioni da parte delle grandi aziende tecnologiche con bilanci solidi, che strategicamente acquisiscono fornitori di soluzioni di sicurezza per ampliare le proprie capacità.
“Anche se non dovesse verificarsi un processo di consolidamento, individuerà comunque fornitori di cui probabilmente potrà fare a meno.”Andrew Storms, vicepresidente responsabile della sicurezza presso Replicated
Cybersecurity investment was cooling as 2022 came to a close, with valuations down sharply. Tuttavia, Andy Ellis, socio operativo della società di venture capital specializzata in sicurezza informatica YL Ventures, non ritiene che il consolidamento costituirà un fattore determinante. «Nel mercato della sicurezza informatica si registrano regolarmente alti e bassi», afferma. «Quando la rete era al centro della sicurezza, abbiamo assistito a un processo di consolidamento attorno ai principali operatori. Tuttavia, esistevano ancora oltre 50 fornitori di firewall. "È proprio tra i fornitori di nicchia che abbiamo potuto constatare l'innovazione."
Gli esperti da noi intervistati hanno suggerito ai team di sicurezza di effettuare un inventario dei propri fornitori di soluzioni di sicurezza attuali e di valutarne le prestazioni rispetto agli obiettivi concordati. Le organizzazioni dovrebbero quindi allineare i soggetti più performanti agli obiettivi chiave del programma di sicurezza e sviluppare piani per sostituire i fornitori a rischio di consolidamento o per operare senza di essi. «Anche se non si dovesse procedere a un consolidamento, sarà comunque possibile individuare i fornitori di cui probabilmente si può fare a meno», afferma Andrew Storms, vicepresidente responsabile della sicurezza presso il fornitore di piattaforme Replicated.
L’ascesa dell’“esperienza di sicurezza”
Demands will grow in 2023 to improve how users actually experience security tools and policies, says Jonathan Feldman, chief information officer of Wake County, North Carolina. Egli afferma che il modo in cui le organizzazioni parlano del cliente e dell’esperienza dei dipendenti si estenderà molto presto anche all’esperienza in materia di sicurezza.
«Non possiamo continuare a considerare la sicurezza come qualcosa che avviene in un contesto isolato, senza misurarla né senza capire in che modo influisca sulle persone nel loro lavoro quotidiano», afferma. “È nell’interesse di tutti evitare di essere vittime del ransomware . “È nell’interesse di tutti impedire che un attacco su larga scala abbia successo.”
Secondo un’indagine condotta da Ernst & Young e pubblicata su (), il 83% dei dipendenti statunitensi comprende i protocolli di sicurezza informatica del proprio datore di lavoro. Tuttavia, le generazioni più giovani nel mondo del lavoro potrebbero risultare più difficili da raggiungere. Dall’indagine è emerso che i lavoratori della Generazione Z e dei millennial sono quelli meno propensi a dare priorità alle politiche aziendali o a rispettarle.
Nel corso del prossimo anno, Feldman consiglia alle organizzazioni di concentrarsi su ciò che possono fare per migliorare l’esperienza in materia di sicurezza. Ciò potrebbe significare adottare il Single Sign-On o l’accesso senza password. Potrebbe anche significare passare a processi di tipo “zero-trust” , anziché imporre ai dipendenti l’uso di reti private virtuali (VPN) poco pratiche. In definitiva, per migliorare l’esperienza in materia di sicurezza è necessario che la sicurezza diventi una parte integrante del flusso di lavoro, anziché un ostacolo.
L'autenticazione diventa senza password
I nomi utente e le password sono meccanismi di sicurezza che solo un criminale potrebbe apprezzare. A nessuno piace doverle ricordare, inserirle o ricevere promemoria per cambiarle; inoltre, i professionisti della sicurezza sanno bene che le password rappresentano una delle misure di sicurezza meno affidabili disponibili.
«. Se riuscissimo a eliminare le password, ciò metterebbe fuori gioco molti degli aggressori meno accorti.»John Pescatore, responsabile delle tendenze emergenti in materia di sicurezza presso il SANS Institute
I criminali apprezzano le password poiché i dipendenti le riutilizzano ripetutamente. Le persone scelgono password troppo semplici da creare e, di conseguenza, facili da indovinare. Tuttavia, grazie agli eventi verificatisi lo scorso anno, si prevede che il concetto di autenticazione senza password, ovvero la sicurezza “senza password”, si diffonderà sempre di più. Sebbene l’ e scomparsa delle password sia stata prevista ormai da oltre due decenni, sembra che la tecnologia e la motivazione siano finalmente allineate per inserire, una volta per tutte, le password nell’elenco delle tecnologie in via di estinzione.
Tale transizione deriva in parte dalle specifiche di autenticazione “ FIDO2 ” (), che si basano sulla crittografia a chiave pubblica e sugli standard internazionali. Apple, Google e Microsoft hanno annunciato lo scorso maggio che avrebbero adottato lo standard FIDO2 per consentire l’autenticazione senza password su tutti i dispositivi. I giganti della tecnologia ritengono che l’accesso senza password garantirà una maggiore protezione contro gli attacchi di phishing di tipo “ ” e il furto di password. Il mercato sembra confermare questa tendenza: la società di ricerche MarketsandMarkets stima che il mercato globale dell’autenticazione senza password abbia raggiunto lo scorso anno un valore di 6,6 miliardi di dollari e che continuerà a crescere a un tasso annuo del 26% fino al 2027.
«Da 20 anni non siamo riusciti ad aumentare il costo degli attacchi», afferma Pescatore del SANS Institute. «Ma se riuscissimo a eliminare le password, ciò metterebbe fuori gioco molti degli aggressori meno accorti.»
Trends Esempi come questi sono indicativi delle numerose incertezze, sia quelle sconosciute che quelle note, che i CISO dovranno affrontare nel corso del prossimo anno. Coloro che sono preparati possono stare certi che se la caveranno molto meglio di fronte ai rischi che si profilano all’orizzonte.
