Una delle cose che ho imparato dagli sconvolgimenti del 2020, e che ho potuto constatare nel corso della mia carriera nel settore della sicurezza, sia privata che pubblica, è la necessità di agire con rapidità e determinazione in caso di crisi.
Un esempio calzante: nel caso “ dicembre 2020 ”, quando la società di sicurezza FireEye ha appurato che alcuni hacker erano penetrati nella propria rete tramite un aggiornamento software di terze parti, ha prontamente allertato il settore.
L’attacco informatico, presumibilmente perpetrato dai servizi segreti russi tramite l’ , che ha inserito un codice dannoso nel software di gestione della rete prodotto dalla società statunitense SolarWinds, ha finito per infettare oltre 300 aziende e nove agenzie federali. È diventato il più grave caso di spionaggio informatico della storia.
Se non fosse stato per la decisione di FireEye di allertare il mondo, le spie di Stati nazionali potrebbero ancora oggi infiltrarsi nelle reti delle agenzie governative, raccogliendo informazioni sensibili.
Giustamente, l’amministrazione Biden sta ora cercando di codificare questo tipo di allarmi pubblici. Il presidente è pronto a emanare un decreto esecutivo che imporrà ai fornitori di software che intrattengono rapporti commerciali con la pubblica amministrazione di segnalarle eventuali violazioni di sicurezza.
Un piano d’azione reattivo costituisce una parte fondamentale del manuale di sicurezza. Tuttavia, non posso fare a meno di chiedermi se l’amministrazione non stia perdendo l’occasione di rafforzare l’atteggiamento proattivo del settore.
«Non posso fare a meno di chiedermi se l’amministrazione non stia perdendo l’occasione di rafforzare l’atteggiamento proattivo del settore.»
I CISO e i CIO con cui parlo quotidianamente si concentrano sul contrastare le truffe di phishing e gli attacchi ransomware, sempre più sofisticati, sul mantenere in linea con gli obiettivi le loro trasformazioni digitali e sul consentire e proteggere i propri lavoratori in remoto. È assolutamente necessario che sappiano se si verifica una violazione nelle loro reti o se sono stati resi vulnerabili da un attacco alla catena di approvvigionamento del software di terze parti.
Ma mi dicono anche di essere stanchi di questo atteggiamento passivo e difensivo. La maggior parte di loro, se non tutti, desidera assumere un atteggiamento più deciso e proattivo. Vogliono passare dalla posizione di svantaggio a quella di vantaggio.
Il governo può dare una mano. Il programma federale “ ” (Certificazione del modello di maturità in materia di sicurezza informatica) (CMMC) richiede già agli appaltatori del settore della difesa di soddisfare determinati standard e di essere sottoposti a verifica da parte di un soggetto terzo, al fine di poter intrattenere rapporti commerciali con le agenzie del Dipartimento della Difesa. Altre agenzie federali dovrebbero adottare tale modello, il che determinerebbe poi una più ampia diffusione delle misure di sicurezza proattive.
Naturalmente, i CIO e i CISO non devono attendere che il governo imponga delle misure. Possono adottarle già da oggi e assumere un ruolo guida affrontando tre questioni tecnologiche fondamentali: ottenere visibilità su tutte le risorse di rete, correggere le vulnerabilità e accelerare la risposta agli incidenti.
Ottenere visibilità
Quando chiedo ai CISO di indicare un ostacolo che impedisce loro di elaborare strategie di sicurezza più proattive, essi rispondono invariabilmente che si tratta di una mancanza di visibilità sulle proprie risorse. Problema persistente da anni, questa incapacità di avere una visione d’insieme delle reti e degli endpoint si è aggravata nel 2020. Man mano che i dipendenti lasciavano l’ufficio per tornare a casa, portando con sé i propri dispositivi e accedendo alle reti aziendali tramite reti Wi-Fi non protette, la superficie di attacco si è ampliata. I team IT continuano ad avere difficoltà a individuare e catalogare tutte quelle risorse.
[Leggi anche: È ora di smetterla di accontentarsi di dati di scarsa qualità]
Qualsiasi speranza di assumere un approccio proattivo dipende dalla comprensione completa, accurata e in tempo reale, da parte del CIO o del CISO, di tutte le risorse presenti sulla rete dell’organizzazione. Ciò comprende tutti gli endpoint, dai laptop, ai tablet e ai PC, fino alle macchine virtuali e alle applicazioni nel cloud, nonché il software.
Assicuratevi di applicare sempre le patch
Le imprese di importanza critica, quali le aziende elettriche, gli operatori sanitari, le imprese manifatturiere e gli istituti di servizi finanziari, spesso rimandano l’applicazione delle patch alle vulnerabilità note. Le loro motivazioni: i tempi di inattività interrompono le loro operazioni e comportano costi elevati. Altre entità restie ad applicare le patch sono semplicemente ostacolate da budget esigui, incapaci di tenere il passo con l’ondata di vulnerabilità che si abbatte su di loro. Pertanto, risolvono i bug ad alta priorità e si adeguano a un livello di rischio accettabile.
Per coloro che intendono sfidare la sorte, ritenendo che una vulnerabilità risalente a diversi anni fa non rientri nel mirino degli hacker, non devono fare altro che guardare al caso di Equifax. settembre 2017, dopo aver omesso di correggere un bug risalente a due mesi fa in un’applicazione web, ha rivelato che alcuni hacker avevano violato la propria rete, rendendo accessibili dati sensibili relativi a ben 147 milioni di consumatori statunitensi. Era assolutamente evitabile.
Il modo migliore per evitare una violazione così costosa è quello di istituire un programma proattivo di gestione delle patch , il che significa aggiornare il software con cadenza regolare — e non solo il sistema operativo, ma anche le applicazioni di terze parti. Ciò comprende i browser web, i plug-in e i software ad uso una tantum che un dipendente potrebbe installare per portare a termine un progetto. Le vulnerabilità costituiscono dei punti di accesso.
Risponda rapidamente
I responsabili IT spesso dimenticano che la risposta agli incidenti è una misura proattiva. Agendo prima che si verifichi una violazione, automatizzando il rilevamento delle minacce con avvisi in tempo reale e filtrando il rumore dei falsi allarmi, le organizzazioni possono identificare, indagare, contenere e risolvere le minacce. Quanto prima un incidente venga individuato e si intervenga per porvi rimedio, tanto minore sarà l’impatto che esso avrà su tale organizzazione.
«I responsabili IT spesso dimenticano che la risposta agli incidenti è una misura proattiva.»
Molti professionisti della sicurezza non dispongono delle risorse o del tempo necessari per reagire rapidamente agli incidenti. I CISO di oggi, sempre sotto pressione, hanno il compito di gestire un’ampia gamma di incidenti in un ambiente distribuito e, all’indomani della pandemia, in un contesto in cui le risorse vulnerabili non hanno fatto che aumentare.
Gli strumenti di sicurezza tradizionali non sono di alcun aiuto. Spesso operano in modo isolato e le loro capacità investigative si basano in genere su dati incompleti o obsoleti. Tuttavia, una nuova generazione di soluzioni per la risposta agli incidenti offre una visibilità in tempo reale sulle reti. Consentono ai team di sicurezza di scegliere tra una varietà di opzioni di risoluzione remota: dall’approccio “chirurgico”, mirato a un singolo endpoint tra migliaia, a quello “brutale”, applicato all’intero ambiente di rete.
Non dimenticate le persone e i processi
Il passaggio dal piede posteriore a quello anteriore non è solo una questione di tecnica. Il Suo personale e i Suoi processi sono fondamentali per il successo delle Sue iniziative. I CISO più lungimiranti che conosco dedicano del tempo a coinvolgere le parti interessate a tutti i livelli dell’organizzazione, compresi i reparti legale, di conformità, IT, risorse umane e di business. Sono alla ricerca di partner che li aiutino a sviluppare una struttura di rendicontazione interna, in grado di soddisfare o anticipare i requisiti del prossimo decreto esecutivo e persino quelli futuri.
I CISO con cui collaboro hanno istituito una struttura dirigenziale volta a garantire la responsabilità. Nominano un referente incaricato di collaborare con gli enti che potrebbero vigilare sul rispetto delle norme nell’ambito della loro collaborazione con il governo federale. E sono dolorosamente consapevoli delle numerose lezioni tratte dall’attacco informatico ai danni di SolarWinds.
Sanno bene che una falla nella sicurezza presso un’azienda può compromettere le difese di altre aziende lungo la catena di approvvigionamento. Sanno che, per essere pronti, devono smettere di stare sulla difensiva e passare all’offensiva.
