I risultati di uno studio di Cohesity, il “Global cyber resilience report 2024”, evidenziano la fragilità delle aziende di fronte agli attacchi informatici, in particolare ai ransomware. Dall’analisi emerge che solo una minoranza delle organizzazioni (il 7%) può essere ragionevolmente considerato “cyber resiliente”, cioè in grado di ripristinare rapidamente le operazioni senza pagare un riscatto.
Nel maggio 2021, l’ordine esecutivo (Executive Order 14028) emesso dall’amministrazione Biden ha imposto alle agenzie federali il compito di migliorare la propria sicurezza informatica, e nello specifico ha raccomandato le pratiche di sicurezza Zero Trust. L’ordine è arrivato durante la pandemia da Covid19, che aveva spinto un maggiore ricorso al digitale da parte di molte organizzazioni del settore pubblico e privato. In quegli anni si era anche assistito al moltiplicarsi di attacchi informatici di alto profilo, tra cui quelli di SolarWinds, Colonial Pipeline e JBS. Tra le diverse misure, l’ordine del presidente Biden ha richiesto alle agenzie federali di stabilire internamente piani per l’adozione dell’architettura Zero Trust, con obiettivi concreti da raggiungere entro la fine dell’anno 2024.
L’interesse per i principi Zero Trust (ZT in seguito) è costantemente cresciuto negli ultimi anni e ora si comincia a vederne l’effettiva applicazione. Secondo la “Zero Trust 2022 Survey” di The Innovation Group, condotta a giugno 2022 su un campione di 40 imprese italiane di grandi dimensioni (composto per l’80% da aziende con oltre 500 addetti), le aziende sono oggi in una fase di implementazione iniziale (46% delle risposte) o parziale (37% delle risposte) del modello, con un percorso di adozione che avverrà inevitabilmente per step successivi.
Un tema al centro dei nuovi sviluppi di cybersecurity è Zero Trust: questo modello prevede che, ogni volta qualcuno o qualcosa abbia accesso a una rete, senza prova contraria e senza una verifica, non sia considerato affidabile. In un mondo in cui il perimetro di sicurezza ha perso senso, ogni transazione deve essere autenticata prima di potersi concretizzare.
Il National Cybersecurity Center of Excellence (NCCoE) del NIST ha pubblicato a inizio giugno una bozza preliminare di un documento che spiega come implementare architetture Zero Trust. La guida (“Implementing a Zero Trust Architecture”) riporta in sintesi come il NCCoE e i suoi collaboratori pensano si possa costruire implementazioni interoperanti e basate su standard aperti per ZTA, in linea con i principi pubblicati in precedenza nel documento NIST Special Publication (SP) 800-207, Zero Trust Architecture. La guida del NIST è pubblica anche per raccogliere commenti, e sarà costantemente aggiornata nel tempo.
La postura di sicurezza delle aziende sta raggiungendo, rispetto al passato, un buon risultato, ma permangono elementi critici che preoccupano ancora molto i Responsabili della sicurezza. Dall’analisi del Cyberthreat Defense Report 2022, a cura di CyberEdge e sponsorizzato da (ISC)², organizzazione no profit per la formazione e le certificazioni di cybersecurity, si evince che gli ambiti di miglioramento sono: la formazione delle persone, il ripensamento dell’architettura di sicurezza alla luce di una superfice d’attacco molto più ampia rispetto al passato, l’urgenza del ransomware. Riportiamo in sintesi i principali risultati dell’indagine, svolta quest’anno in 17 Paesi nel mondo, contattando 1.200 professionisti di sicurezza, in aziende di tutti i settori con oltre 500 addetti.
Zero Trust (ZT) è un nuovo approccio di cybersecurity concettualmente semplice ed allo stesso tempo rivoluzionario, basato sul principio “Trust but verify”: serve a mitigare i rischi informatici, a ridurre le superfici d’attacco, a migliorare il controllo su “cosa fanno le persone”, nell’organizzazione e fuori, a semplificare la stessa user experience nell’acceso a risorse e servizi IT. Come è emerso durante il Cybersecurity Summit 2022, organizzato lo scorso 10 marzo a Milano da The Innovation Group, il concetto di ZT è molto evoluto e maturato rispetto alla sua prima concezione, tanto da attirare l’attenzione di un pubblico sempre più ampio. Nel corso del Summit sono intervenuti sul tema Daniele Catteddu, CTO presso la Cloud Security Alliance (CSA), che ha fornito un’introduzione ai principi chiave, discutendo i passaggi chiave per la creazione di una strategia ZT, e Marcello Fausti, CISO di Italiaonline, che ha sottolineato l’importanza di alcuni prerequisiti essenziali nel percorso di adozione di Zero Trust.
Una delle principali banche statunitensi, First Horizon, ha rivelato di essersi accorta, a metà aprile, di aver subito un data breach con accesso ai conti correnti e furto dei fondi contenuti. L’attacco, bloccato appena scoperto, avrebbe coinvolto poco meno di 200 clienti con accesso online. La First Horizon ha rilasciato lo scorso 28 aprile una dichiarazione alla Securities & Exchange Commission (SEC) secondo cui almeno un milione di dollari sarebbe stato sottratto, in totale, da questi conti bancari.
La pandemia da Covid19 e l’incremento delle minacce cyber hanno portato a una rinnovata attenzione al tema della protezione delle identità digitali. Da un lato, la gestione di una Remote Workforce e di un perimetro sempre più “diffuso” richiede un’autenticazione zero-trust per aumentare la sicurezza, così come la Strong Customer Authentication serve sul fronte consumer, dove abbiamo oggi un grosso problema di phishing.
