La sicurezza della catena di fornitura del software comporta la protezione delle risorse digitali di un’organizzazione dalle minacce informatiche provenienti da fonti esterne. L'attenzione è rivolta alla riduzione delle vulnerabilità derivanti da terze parti, dal software open source e dai servizi cloud. Garantire la sicurezza della catena di fornitura del software è una pratica essenziale per proteggere un’organizzazione dagli attacchi informatici.
Il termine più ampio “catena di approvvigionamento” si riferisce alla vasta gamma di organizzazioni necessarie per produrre e fornire un prodotto o un servizio al cliente. Nel mondo odierno, con il termine “catena di approvvigionamento” si intende comunemente la produzione e la circolazione di beni materiali, attività che sono state in gran parte compromesse dalla pandemia di COVID-19, dalla guerra in Ucraina e da altre crisi globali.
La “catena di fornitura del software” costituisce una porzione più ristretta di questa catena di fornitura più ampia, relativa allo sviluppo e alla distribuzione di applicazioni o servizi digitali. È proprio della catena di fornitura del software — e dei rischi che le aziende devono affrontare lungo tale catena — che tratteremo in dettaglio in questa guida esplicativa.
La catena di fornitura del software comprende numerosi componenti, tra cui:
- Software aziendale commerciale e open source
- Fornitori di servizi cloud, tra cui Software as a Service (SaaS),
Platform as a Service (PaaS) e Infrastructure as a Service (IaaS) - Fornitori, venditori e appaltatori che offrono servizi
quali gestione IT e dei dati, sviluppo software,
e sicurezza informatica - Eventuali parti coinvolte in una partnership con i soggetti sopra menzionati
Ogni singolo anello della catena di fornitura del software rappresenta un potenziale rischio per la sicurezza e, nel loro insieme, tali anelli costituiscono un panorama complesso di minacce. La conseguente mancanza di visibilità lungo l’intera catena di fornitura espone le organizzazioni a vulnerabilità di sicurezza che possono annidarsi ovunque svolgano la propria attività.
Gli attacchi alla catena di fornitura del software consistono nello sfruttamento di una vulnerabilità di sicurezza presente in uno o più partner e fornitori di software di terze parti di cui l’organizzazione si fida. Gli autori degli attacchi utilizzano tali soluzioni compromesse per introdursi nell'infrastruttura informatica di un'azienda. Poiché a tali soggetti terzi è stato concesso l’accesso alla rete, alle applicazioni e ai dati di un’organizzazione, gli hacker possono avvalersi di essi per penetrare nelle aree più sensibili della rete aziendale e sottrarre risorse di grande valore o assumere il controllo di sistemi critici.
Alcune delle violazioni dei dati aziendali più gravi e costose verificatesi nell’ultimo decennio hanno riguardato attacchi informatici alla catena di fornitura del software. Nel corso della violazione dei dati delle carte di credito di Target del 2013 , gli autori dell’attacco hanno sottratto le credenziali di accesso di un appaltatore specializzato in impianti di refrigerazione per accedere al portale fornitori di Target e, infine, installare un malware nel sistema dei punti vendita. I ladri hanno sottratto 40 milioni di numeri di carte di credito e hanno compromesso i dati personali di 70 milioni di clienti. A seguito della violazione, Target ha dovuto versare un risarcimento pari a 18,5 milioni di dollari.
Nel corso dell’attacco a SolarWinds descritto in “ 2020 ”, gli hacker hanno iniettato codice dannoso
nella soluzione Orion di monitoraggio e gestione dell’infrastruttura del fornitore, consentendo agli autori dell’attacco di spiare oltre 100 aziende e agenzie governative, tra cui Microsoft,
Intel, Nvidia, il Dipartimento per la Sicurezza Interna e il
Dipartimento del Tesoro.
Gli attacchi alla catena di approvvigionamento stanno aumentando in modo esponenziale man mano che l’ambiente IT si espande per adattarsi ai lavoratori da remoto sulla scia della pandemia — con un incremento di almeno il 300% da 2020 a 2021
e che, secondo due stime , colpiscono circa tre aziende su cinque 2021. Verizon riporta che oltre il 60% degli episodi di intrusione nel sistema nel 2021 è avvenuto tramite un partner o un aggiornamento software.
Perché le catene di approvvigionamento del software sono vulnerabili?
Le grandi organizzazioni possono utilizzare centinaia o addirittura migliaia di applicazioni nell’ambito delle loro attività quotidiane per scopi quali la pianificazione delle risorse aziendali, la business intelligence e la gestione delle relazioni con i clienti. Le vulnerabilità presenti in queste applicazioni aziendali sono diventate più frequenti con il crescente utilizzo di framework open source e accessibili al pubblico, quali Struts e Spring, come elementi costitutivi per lo sviluppo di software.
Poiché le organizzazioni dispongono di scarsa visibilità e controllo su tali componenti software, gli hacker hanno scoperto di poter sfruttare una serie di vulnerabilità potenzialmente presenti nel codice open source.
E ce ne sono molti. Secondo il rapporto “State of Open-Source Security Report” di Contrast Security 2021 , , un’applicazione media contiene 118 “librerie” di programmazione, ovvero raccolte di codice già scritto che gli sviluppatori possono utilizzare per automatizzare le attività. In media, le applicazioni utilizzano attivamente solo il 38% di queste librerie. Le librerie inattive rappresentano un grave rischio per la sicurezza, poiché gli hacker potrebbero potenzialmente inserire codice dannoso o malware in una libreria senza essere individuati. Il rapporto ha inoltre rilevato che un’applicazione media di tipo “ Java ” presenta 50 vulnerabilità nelle librerie open source, il che comporta una probabilità su sei che vi sia una vulnerabilità che gli aggressori possano sfruttare.
L’individuazione di tali vulnerabilità rappresenta un ostacolo enorme per le organizzazioni. Un singolo errore di codifica sfruttabile in Java, ad esempio, potrebbe essere presente in centinaia di applicazioni, data la popolarità di Java come piattaforma di sviluppo software. Sebbene la maggior parte dei sistemi di valutazione delle vulnerabilità sia in grado di segnalare che un determinato programma software non è aggiornato, in genere non forniscono il livello di dettaglio necessario per individuare il file o il componente specifico che contiene la vulnerabilità — anche se ciò potrebbe cambiare con l’Ordine Esecutivo n. 2021 del Presidente Biden, intitolato “ : Improving the Nation’s Cybersecurity” (), che impone ai fornitori che forniscono software al governo federale di includere una distinta dei materiali software (SBOM) per ogni elemento presente nei loro prodotti.
Per comprendere la portata della sfida, si consideri l’analogia con un richiamo da parte delle autorità di un prodotto alimentare. Un negozio di alimentari può fornire informazioni dettagliate sul proprio intero assortimento di maccheroni al formaggio. Il negozio è persino in grado di effettuare un'analisi approfondita dei numeri di lotto specifici all'interno di tale inventario. Tuttavia, se un ente governativo volesse ritirare dal mercato tutti i prodotti presenti nel negozio contenenti il colorante alimentare artificiale FD&C Giallo n. 5, il negozio probabilmente non avrebbe alcun modo efficace per identificare tutti quei prodotti.
Questo è, in sostanza, il problema che le organizzazioni devono affrontare nel garantire la sicurezza delle proprie catene di approvvigionamento del software. Sono pochi coloro che dispongono di strumenti o metodi efficaci per ottenere la visione dettagliata e approfondita di ogni componente di ogni software su ogni dispositivo, necessaria per comprenderne il livello di rischio.
Qual è un esempio di violazione della sicurezza nella catena di fornitura del software?
In un ipotetico attacco alla catena di fornitura del software, un hacker prende di mira un componente open source utilizzato in un particolare progetto di sviluppo di applicazioni aziendali. L’hacker individua gli sviluppatori dell’organizzazione che non stanno lavorando a quel progetto e compromette gli account , GitHub e utilizzati per collaborare allo sviluppo del software, quindi inserisce nel progetto un codice dall’aspetto innocuo contenente una backdoor.
“Un singolo errore di codifica sfruttabile in Java, ad esempio, potrebbe essere presente in centinaia di applicazioni, data la popolarità di Java come piattaforma di sviluppo software.”
Senza che se ne renda conto, la backdoor viene inserita nella versione successiva del software. Quando l’applicazione viene aggiornata, essa include il componente open source compromesso, fornendo così all’hacker un punto di accesso alla rete dell’organizzazione.
Controlli di sicurezza adeguati, tuttavia, potrebbero mitigare un attacco di questo tipo individuando comportamenti anomali — come ad esempio uno sviluppatore che accede a un progetto su cui non sta lavorando — o addirittura ricorrendo a un’autenticazione a più fattori per impedire fin dall’inizio il tentativo di un hacker di accedere all’account dello sviluppatore.
Perché è importante la sicurezza della catena di fornitura del software?
Nelle moderne catene di approvvigionamento, i fornitori hanno spesso accesso ai sistemi informativi e ai dati delle organizzazioni loro clienti. Ciò rende l’organizzazione vulnerabile alle falle di sicurezza presenti in altri punti della catena di approvvigionamento. Un singolo incidente di sicurezza in qualsiasi anello della catena può avere conseguenze catastrofiche su un’intera rete di organizzazioni.
Gli attacchi alla catena di approvvigionamento del software sono diventati sempre più frequenti. Negli ultimi sei mesi del 2021, gli attacchi alla catena di approvvigionamento sono aumentati del 51%. Poiché il rischio legato ai fornitori sta assumendo un'importanza sempre maggiore, le organizzazioni devono attribuire maggiore priorità alla gestione del rischio dei fornitori, alle valutazioni complete dei rischi, all'individuazione delle minacce e alla risposta alle stesse, nonché a misure analoghe.
Quali sono i principali rischi per la catena di approvvigionamento del software?
Tra i principali rischi per la catena di approvvigionamento figurano i seguenti:
- Scarsa visibilità. La complessità delle attuali catene di fornitura del software rende estremamente difficile ottenere un quadro chiaro e accurato di quali fornitori dispongano di privilegi di accesso a sistemi e risorse specifici, nonché di tutti i dispositivi e i servizi che accedono a una rete. Senza una visibilità completa fornita d , è impossibile sapere se un fornitore rappresenti un rischio per la sicurezza.
- Punti deboli dei fornitori di software. Poiché migliaia di organizzazioni utilizzano le stesse soluzioni software, gli autori degli attacchi alla catena di approvvigionamento prendono spesso di mira gli sviluppatori e i fornitori di software. Quando gli hacker compromettono singoli strumenti e soluzioni, ottengono accesso a un numero maggiore di obiettivi. Gli hacker potrebbero introdurre una vulnerabilità o iniettare malware nel software per ottenere l’accesso a dati sensibili una volta che il software sia stato installato sul sistema di un’organizzazione. I sistemi di terze parti privi di patch rappresentano da tempo un rischio significativo per le catene di approvvigionamento. La recente vulnerabilità Log4j ha messo in evidenza l’importanza di solidi processi di gestione delle patch .
- Dati compromessi. I dati sensibili conservati da un fornitore possono essere oggetto di furto, cancellazione o altra forma di compromissione nel corso di un attacco. Le conseguenze sono le stesse che si verificherebbero se la vostra organizzazione fosse stata direttamente vittima di una violazione: interruzioni operative, perdite finanziarie, danni alla reputazione, ripercussioni legali e sanzioni normative.
- Caccia alle balene. Come nel caso del phishing , questo tipo di attacco di ingegneria sociale prende di mira i dipendenti delle aziende. Ricevono e-mail o messaggi di testo che sembrano provenire da una fonte attendibile, nel tentativo di indurli a rivelare le credenziali di accesso o altre informazioni personali sensibili. Un attacco di tipo “whaling” può comportare la ricerca e l’identificazione di un singolo individuo al fine di ottenere una “grande preda”, come ad esempio un dirigente dotato di privilegi di accesso di alto livello. Il phishing, tuttavia, di norma ha una portata più ampia e prende di mira centinaia di persone.
- Tecnologia obsoleta. Le organizzazioni non hanno alcuna visibilità sull’infrastruttura IT dei propri fornitori, e non è raro che i fornitori terzi utilizzino hardware obsoleto con software datato, privo di patch o non più supportato. Con l'avanzare dell'età delle tecnologie, il numero delle vulnerabilità di sicurezza aumenta, rendendo questo aspetto un rischio particolarmente preoccupante per la catena di approvvigionamento.
- Vulnerabilità di sicurezza dei fornitori. Se un fornitore di software non ha implementato le misure di sicurezza adeguate, la vostra organizzazione è vulnerabile, indipendentemente da quanto sia solida la sicurezza di cui disponete. Gli hacker possono sfruttare le vulnerabilità di sicurezza di un fornitore per ottenere potenzialmente l'accesso ai vostri sistemi e ai vostri dati. Se i fornitori non vengono sottoposti a un processo di verifica e non vengono loro comunicati i requisiti di sicurezza, le aziende non possono garantire un livello minimo di sicurezza.
Quali sono gli elementi che costituiscono la sicurezza della catena di fornitura del software?
Una volta che un malintenzionato riesce a penetrare nella vostra rete, prenderà di mira le risorse più preziose della vostra organizzazione. Il primo passo per garantire la sicurezza della catena di approvvigionamento consiste, quindi, nel comprendere quali risorse in vostro possesso siano di valore per gli hacker. Iniziate individuando tutte le vostre risorse e poi stabilite le priorità tra i vostri “gioielli della corona” di “” — quelli che non potete permettervi di vedere compromessi. Qualsiasi elemento ritenuto fondamentale per l’attività può essere considerato una risorsa di alto valore per la maggior parte delle organizzazioni e può includere elementi quali il codice software proprietario, i dati finanziari e relativi ai clienti, i codici di crittografia, le informazioni relative alle risorse umane e la proprietà intellettuale.
“In sostanza, qualsiasi azienda di software con cui la vostra azienda intrattiene rapporti rappresenta un potenziale rischio.”
Nell’ambito di questa fase, è inoltre necessario comprendere l’ambiente in cui si trova ciascuna risorsa e tutte le modalità con cui è possibile accedervi. Questo processo di individuazione e inventario delle risorse vi aiuterà a determinare il grado di vulnerabilità delle risorse alle violazioni e a individuare i punti in cui è necessario limitare l’esposizione della catena di fornitura.
La seconda fase per garantire la sicurezza della catena di approvvigionamento consiste nell’identificare i propri partner commerciali ed eventuali punti deboli nei loro sistemi, nonché nell’adottare un solido processo di gestione dei rischi relativi ai fornitori. Tra questi partner possono figurare fornitori di software, fornitori di servizi cloud, società specializzate in sistemi di punto vendita, società di elaborazione delle buste paga e persino società di sicurezza; tutti questi soggetti hanno costituito un punto d’appoggio per gli aggressori al fine di penetrare in sistemi aziendali più ampi. In sostanza, qualsiasi azienda di software con cui la vostra azienda intrattiene rapporti rappresenta un potenziale rischio.
Sebbene non esista un approccio unico valido per tutti in questa fase, un processo efficace dovrebbe includere pratiche quali la valutazione dei rischi legati ai fornitori, la classificazione dei fornitori in base alla loro criticità, la creazione di un inventario dei fornitori, il monitoraggio delle caratteristiche dei fornitori critici e il controllo delle prestazioni e dei rischi dei fornitori nel tempo.
L'obiettivo della gestione dei rischi legati ai fornitori è garantire che i Suoi fornitori dispongano delle politiche e delle tecnologie adeguate per proteggere i Suoi dati più sensibili. Può inoltre aiutarLa a identificare i fornitori ad alto rischio e a collaborare con essi per mitigare i rischi per la sicurezza o per stabilire se sia opportuno sostituirli con un altro fornitore.
Quali sono le principali sfide relative alla sicurezza della catena di fornitura del software?
La visibilità rappresenta uno degli aspetti più complessi del rischio legato alla catena di approvvigionamento, come già sottolineato in precedenza. Nel caso dei beni materiali, i fornitori possono fornire un elenco dei materiali o degli ingredienti utilizzati nella produzione dei propri prodotti. La maggior parte dei software moderni, tuttavia, è realizzata in gran parte utilizzando componenti open source. È difficile reperire un elenco dettagliato dei componenti utilizzati in una determinata applicazione e dei loro produttori, e la maggior parte delle persone non dispone di un metodo efficace per scoprirlo autonomamente
.
Le organizzazioni devono inoltre affrontare alcune sfide nel controllo degli sviluppatori di progetti, al fine di garantire che seguano pratiche di programmazione sicure e risolvano rapidamente le vulnerabilità. In definitiva, non dispongono di una chiara comprensione
e di un controllo sulla catena di fornitura end-to-end che sta alla base della loro architettura IT
.
Quali sono alcune delle migliori pratiche in materia di sicurezza della catena di fornitura del software?
Non ha mai sentito parlare dell’air-gap? È giunto il momento di apprendere questo e altri suggerimenti che vi aiuteranno a migliorare la sicurezza della vostra catena di fornitura del software:
- Comprendete la vostra catena di approvvigionamento in ogni sua fase. Una catena di fornitura del software comprende tutto il codice, i file e gli altri componenti utilizzati per la creazione del software aziendale, nonché la loro provenienza e i rispettivi autori. Desiderate sapere, ad esempio, in che modo i prodotti siano stati sottoposti a verifica per individuare eventuali rischi per la sicurezza e le vulnerabilità note che potrebbero presentare. In parole povere: dovete scoprire tutto ciò che è possibile sulle applicazioni in esecuzione nella vostra organizzazione.
- Assicuratevi che la vostra rete sia isolata fisicamente. Un air gap crea una barriera tra una rete e gli aggressori, proprio come un fossato protegge un castello dagli assalti. I dipendenti del reparto IT creano il “divario” isolando fisicamente le risorse sensibili dai sistemi collegati alla rete oppure scollegando specifici dispositivi dalla rete. L'obiettivo dell'air-gap è quello di eliminare la possibilità che un autore di minacce possa attaccare il vostro sistema tramite una connessione esterna.
- Effettuate controlli regolari. La maggior parte delle aziende non si rende conto di quanto la propria catena di approvvigionamento sia vulnerabile finché un determinato fornitore non subisce un attacco. Tuttavia, non è necessario attendere per scoprirlo. L'esecuzione di scansioni delle vulnerabilità Le consentirà di identificare e risolvere problemi di sicurezza di base quali configurazioni errate di , politiche di accesso inadeguate e punti deboli dei prodotti che gli hacker potrebbero sfruttare. I test di penetrazione possono inoltre aiutare a determinare quanto sia facile sottrarre i Suoi dati, simulando un attacco per individuare e sfruttare eventuali vulnerabilità presenti nel Suo sistema.
Quali sono alcuni framework per la sicurezza della catena di fornitura del software?
Un quadro di riferimento per la sicurezza è un insieme di politiche e prassi volte a definire e mantenere i controlli di sicurezza informatica. Le organizzazioni possono avvalersi di modelli di riferimento per valutare il proprio livello di rischio, comprendere in che modo potrebbero essere potenzialmente oggetto di attacchi e potenziare la capacità dei propri programmi di sicurezza informatica esistenti di rafforzare la sicurezza della catena di fornitura del software.
Il governo degli Stati Uniti ha sviluppato, ad esempio, il “ ” NIST Risk Management Framework (RMF), al fine di definire le modalità con cui le organizzazioni governative devono progettare, proteggere e monitorare i sistemi per gestire i rischi relativi alla sicurezza, alla privacy e alla catena di approvvigionamento. Gestito dal National Institute of Standards and Technology (NIST), il quadro di riferimento offre linee guida dettagliate per la valutazione dei rischi e il miglioramento della sicurezza informatica, al fine di mitigare minacce quali le violazioni dei dati e gli attacchi ransomware di tipo “ ”.
Il RMF prevede un processo di gestione dei rischi articolato in sette fasi, volto ad aiutare le organizzazioni a integrare misure di sicurezza più efficaci nei propri sistemi e a rispondere più rapidamente ai problemi di sicurezza. I passaggi sono i seguenti:
- Preparatevi. In questa fase, l’organizzazione si prepara ad attuare il RMF. Le attività comprendono l’identificazione dei ruoli chiave nella gestione del rischio, la determinazione del livello di tolleranza al rischio dell’organizzazione, lo svolgimento di una valutazione a livello organizzativo dei rischi , nonché lo sviluppo e l’attuazione di strategie di gestione del rischio.
- Classificare. Nella seconda fase, l’organizzazione utilizza gli standard dell’ NIST per classificare le proprie informazioni e i propri sistemi al fine di valutarne accuratamente il rischio. L’organizzazione effettua un inventario di tutti i dati presenti nel proprio ambiente, individuando i dati sensibili accessibili a utenti non autorizzati e quelli di scarso valore. Inoltre, illustra le caratteristiche di ciascun sistema e le modalità con cui questi sono collegati tra loro.
- Selezionare. Nella fase successiva, l’organizzazione seleziona i controlli di sicurezza pertinenti per i propri sistemi sulla base di un catalogo di controlli contenuto nel RMF. Tali misure di controllo comprendono soluzioni di monitoraggio, l’autenticazione a più fattori e politiche volte a ridurre i comportamenti a rischio e a facilitare il ripristino dei sistemi e dei dati in caso di emergenza. In questa fase, è importante valutare chi ha bisogno e chi non ha bisogno di accedere a informazioni riservate.
- Attuare. L'organizzazione attua le misure di sicurezza da essa selezionate. In questa fase, è necessario formare il personale sulle nuove procedure e politiche e sulle modalità di applicazione delle stesse all’interno di ciascun sistema
. - Valutare. In questa fase, l’organizzazione sviluppa e applica procedure di valutazione adeguate, basate sui controlli di sicurezza da essa implementati. L'obiettivo è garantire che l'organizzazione sia in grado di reagire immediatamente a qualsiasi rischio per la sicurezza.
- Autorizzare. I vertici aziendali valutano se i controlli selezionati siano adeguati in base alla tolleranza al rischio dell’organizzazione.
- Monitor. In questa fase, l’organizzazione monitora costantemente i sistemi al fine di garantire la sicurezza e di reagire a eventuali variazioni
dello stato.
Quali sono le migliori risorse disponibili in materia di sicurezza della catena di fornitura del software?
Tra le risorse disponibili per ulteriori informazioni sulla sicurezza della catena di fornitura del software figurano:
- La sicurezza del software nelle catene di approvvigionamento (NIST)
- Linee guida sulla sicurezza della catena di approvvigionamento (NCSC)
- Sicurezza della catena di approvvigionamento: una questione che riguarda tutti (Mitre)
- Libreria di risorse sulla catena di approvvigionamento delle TIC (CISA)
