Kojima Industries, fornitore di Toyota Motors, ha subito a febbraio un attacco informatico segnalato dall’ che ha costretto alla sospensione di 28 linee di produzione Toyota in 14 stabilimenti, causando gravi interruzioni nella catena di approvvigionamento. Quattro mesi dopo, a seguito di un’ennesima interruzione della catena di approvvigionamento, Nichirin, produttore giapponese di tubi flessibili per il settore automobilistico, ha riferito che una filiale statunitense di , la , era stata vittima di un attacco ransomware, costringendo il produttore a mettere fuori servizio la propria rete e a limitare il numero di componenti specializzati prodotti.
Gli attacchi alla catena di approvvigionamento come questi sono in aumento, come dimostra una ricerca di — e il governo degli Stati Uniti ne sta prendendo atto.
Nel mese di maggio, l’Istituto Nazionale di Standard e Tecnologia (NIST ) ha pubblicato un documento intitolato “ ” (326 pagine) relativo alla protezione delle catene di approvvigionamento dagli attacchi informatici, mentre il Cyber Safety Review Board (CSRB) ha pubblicato nel mese di luglio un rapporto intitolato “ ” contenente raccomandazioni in materia di sicurezza informatica basate su un’analisi della vulnerabilità Log4j . Di recente, l’Ufficio per la gestione e il bilancio (OMB) ha pubblicato una linea guida intitolata “ ” ( ) al fine di garantire che le agenzie federali utilizzino software sviluppato nel rispetto delle prassi comuni in materia di sicurezza informatica. Inoltre, nell’ambito di un’iniziativa correlata, la SEC ( ) ha proposto una norma ( ) secondo cui i vertici delle società quotate in borsa e i rispettivi consigli di amministrazione sarebbero tenuti a comunicare tempestivamente gli incidenti di sicurezza informatica e a rafforzare i meccanismi di controllo in materia di sicurezza all’interno delle proprie organizzazioni.
La recente valanga di raccomandazioni da parte delle autorità è degna di nota, afferma Kate Ledesma, direttrice senior per le partnership e gli affari governativi presso SecurityScorecard, società specializzata nella valutazione della sicurezza informatica. Le linee guida fanno seguito a una serie di gravi incidenti di sicurezza informatica verificatisi negli ultimi anni, tra cui quelli relativi a Log4j e , nonché l’attacco hacker ai danni di SolarWinds . Questi eventi hanno suscitato grande interesse da parte dei dirigenti e dei membri dei consigli di amministrazione riguardo all’importanza dello sviluppo sicuro del software e di altre pratiche di sicurezza digitale, afferma.
«I prodotti utilizzati dall’amministrazione pubblica saranno dotati di questo livello minimo di sicurezza integrato, a vantaggio di tutti gli acquirenti, anche al di fuori dell’amministrazione pubblica.»”Kate Ledesma, direttrice senior per le partnership e gli affari governativi, SecurityScorecard
«Ora il governo afferma che, per poter intrattenere rapporti commerciali con noi, desideriamo che ci fornite questi elementi, il che sta davvero facendo progredire l’intero settore», afferma Ledesma. «I prodotti utilizzati dall’amministrazione pubblica saranno dotati di questo livello minimo di sicurezza integrato, a vantaggio di tutti gli acquirenti, anche al di fuori dell’amministrazione pubblica.» «Stanno dimostrando che tutti gli attori dell’ecosistema — non solo il settore pubblico — stanno prestando attenzione a queste questioni e affrontandole, e stanno contribuendo a migliorare la sicurezza per tutti».
La signora Ledesma ha illustrato quattro punti chiave tratti dalle recenti linee guida governative, oltre a fornire i propri consigli da esperta su come le organizzazioni possano adeguarsi.
1. Le funzionalità del software sono ormai superate, mentre la sicurezza del software è ormai fondamentale
Negli ultimi anni, sempre più organizzazioni stanno assistendo a un cambiamento di rotta: si sta passando dal dare priorità alla funzionalità del software a quella alla sicurezza dello stesso, afferma Ledesma. Nel comunicato stampa della Casa Bianca relativo alle nuove linee guida in materia di sicurezza emanate dall’OMB, Chris DeRusha, CISO federale e vicedirettore nazionale per la sicurezza informatica, ha sottolineato tale priorità: «Non molto tempo fa, l’unico vero criterio per valutare la qualità di un software era se funzionasse come pubblicizzato», ha scritto. «Considerate le minacce informatiche che gravano sulle agenzie federali, la nostra tecnologia deve essere sviluppata in modo da renderla resiliente e sicura, garantendo la fornitura di servizi essenziali alla popolazione americana e, al contempo, proteggendo i dati dei cittadini statunitensi e difendendoli da avversari stranieri .»
«Non molto tempo fa, l’unico vero criterio per valutare la qualità di un software era se funzionasse come promesso.”Chris DeRusha, responsabile della sicurezza informatica (CISO) a livello federale e vicedirettore nazionale per la sicurezza informatica
Ledesma sostiene che gli sviluppatori di software dovrebbero adottare pratiche conformi al quadro di riferimento per lo sviluppo della sicurezza del software “ NIST ”. Il quadro di riferimento pone l’accento su un approccio che coinvolga l’intera organizzazione, aggiunge, in cui lo sviluppo di software sicuro non è più di esclusiva responsabilità degli sviluppatori. «Tutti — fornitori, utenti e acquirenti — devono collaborare per disporre degli strumenti e dei modelli necessari per affrontare questa situazione», afferma.
2. La documentazione e la coerenza sono fondamentali
Le organizzazioni devono dare priorità alla documentazione e alla dimostrazione della coerenza nello sviluppo sicuro del software, afferma Ledesma. La Casa Bianca, ad esempio, ha recentemente incaricato la CISA e l’OMB di elaborare un modulo comune che i fornitori di software dovranno utilizzare per garantire che la tecnologia da loro venduta al governo sia conforme alle linee guida di sicurezza NIST .
Ledesma afferma che questa iniziativa rientra in uno sforzo volto a semplificare il modo in cui gli utenti e le agenzie governative descrivono la propria sicurezza. «L’organizzazione A e l’organizzazione B potrebbero esprimersi in due modi diversi, ma si tratta della stessa cosa?» dice lei. «Le loro procedure sono altrettanto sicure quanto quelle degli altri? «Questa autocertificazione sarà davvero di grande aiuto agli utenti — e in particolare alle agenzie — per confrontare elementi realmente comparabili.»
3. L'automazione rappresenta il futuro
Il quadro di riferimento “ NIST ” prevede l’automazione “ ” al fine di ridurre l’intervento umano, migliorare la precisione e ottimizzare i processi ripetibili. Ciò comprende attività quali il monitoraggio del flusso di lavoro, funzionalità di firma per la creazione di registri immutabili, il monitoraggio continuo degli strumenti e la registrazione dei problemi operativi e di sicurezza relativi agli strumenti stessi. Ledesma sostiene che l’automazione sia l’unica opzione che consenta alle organizzazioni di operare con la portata e la rapidità richieste al giorno d’oggi.
«Ilsemplice funzionamento non è più sufficiente: gli strumenti devono essere sia funzionali che sicuri.”Ledesma
«Si tratta di fornire sia ai fornitori che agli acquirenti di software gli strumenti necessari per effettuare valutazioni dei rischi e verificare se i prodotti software siano sicuri», afferma. «Il semplice funzionamento non è più sufficiente: gli strumenti devono essere sia funzionali che sicuri.»
4. Un approccio alla sicurezza basato sul rischio deve concentrarsi sui risultati
Il quadro di riferimento “ NIST ” è incentrato sui risultati, ma non fornisce indicazioni precise su come raggiungerli. Incoraggia inoltre le organizzazioni ad adottare un approccio basato sul rischio e ad adattare la propria strategia in base alle esigenze. Ledesma afferma che, sebbene il concetto di pratiche basate sui risultati nell’ambito dell’ non sia nuovo, non è certamente facile: «Il quadro di riferimento “ NIST ” contribuisce a fornire a tutte le organizzazioni dell’ecosistema un punto di partenza comune e ci aiuta tutti a parlare la stessa lingua».
Il valore che le organizzazioni trarranno dalle linee guida del governo dipenderà dal grado di maturità delle loro pratiche di sicurezza, aggiunge Ledesma. Le organizzazioni meno avanzate potrebbero iniziare creando un quadro di riferimento di base per i processi e le procedure, mentre quelle più avanzate possono progredire all’interno di tale quadro per perfezionare e sviluppare ulteriormente i propri processi e le proprie procedure.
«Il quadro normativo “ NIST ” verte essenzialmente su un unico aspetto: la sicurezza», afferma. «Si tratta infatti di un ecosistema di sicurezza perché, come sappiamo, le pratiche di sicurezza di un’organizzazione influiscono sulla sicurezza dei propri partner, fornitori e clienti, poiché sono tutti interconnessi. «Le linee guida del governo innalzano il livello di esigenza per tutti».
