Attivo nel settore della sicurezza informatica da trenta anni e consulente di Europol, Greg Day, VP & CSO, EMEA di Palo Alto Networks ha identificato una serie di trend e sfide che accompagneranno il mondo della cybersecurity nel 2022:
Il problema del ransomware si evolve su più livelli: come assicurarsi di non essere presi alla sprovvista
Nel corso del 2021, l’EMEA ha visto un incremento dei cyberattacchi, in particolare l’importanza di quelli ransomware. Il Threat Report 1H 2021 di Unit 42 ha rilevato che la richiesta media di riscatto è aumentata del 518% e il riscatto medio pagato è salito dell’82% rispetto al 2020. La continua evoluzione del ransomware ha messo a dura prova il mercato, con community come nomoreransom.org chiamate ad attività intense per bloccare i gruppi e le loro campagne, oltre alla possibilità di interrompere o intercettare i flussi di denaro.
Di conseguenza, i CISO hanno bisogno di formare ed educare dirigenti e colleghi sui diversi tipi di attacchi, sul perché siano importanti, sui diversi impatti e come definire approcci strategici su misura per rilevarli e rispondere al meglio.
Ridatemi i miei dati!
Il ransomware continua a estendere il suo campo d’azione, non solo bloccando l’accesso ai dati, ma analizzandoli e cercando di massimizzare i flussi di reddito, ad esempio rivendendoli a terzi. I dati rappresentano denaro – sia per le aziende legittime che per i criminali – e possiamo solo aspettarci di vedere gli attaccanti ancora più focalizzati sull’analisi delle informazioni e su come ampliare i loro metodi per monetizzarli.
È quindi probabile che vedremo le aziende cercare di risalire ai luoghi in cui sono stati rivenduti e sfidare chi li ha ottenuti a cancellarne le copie. Inoltre, c’è il potenziale legato ai dati rubati di farsi strada in circuiti più ‘genuini’ – attraverso le supply chain. Di conseguenza, le aziende dovranno scegliere con ancora maggiore attenzione con chi lavorare, al fine di garantire che i dati che stanno utilizzando non siano stati acquisiti in modo improprio, cosa che porterà un’ulteriore sfida per chi si occupa di normative sulla privacy: capire se le copie dei dati sono state acquisite legittimamente o no.
Privacy dei dati: globalizzazione vs localizzazione
Nel 2021 abbiamo continuato a osservare divisioni delle infrastrutture cloud e regole basate sulla geopolitica (Quali dati possono risiedere in quali paesi? Come si spostano i dati tra zone geografiche sensibili?). Con i paesi che cercano di proteggere l’industria locale e garantire la sacralità dei dati dei cittadini, questo approccio non potrà fare altro che aumentare. Il progetto Gaia-X in Europa è un esempio del desiderio regionale di controllare ciò che sta diventando rapidamente un’infrastruttura critica.
I team di sicurezza IT devono incrementare le loro competenze legali, a seguito di un uso più complesso del cloud e dei controlli di sicurezza aggiuntivi che ne derivano.
2022 – Le password saranno eliminate
Gartner prevede che entro il 2022 il 90% delle imprese di medie dimensioni e il 60% di quelle globali si sposteranno verso metodi di autenticazione senza password. I set di credenziali di ogni utente stanno letteralmente esplodendo, con tutti i rischi che questo comporta. Con l’adozione di strumenti di collaborazione, SaaS e cloud, vedremo gli attacchi concentrarsi in due direzioni. In primo luogo, verranno ovviamente colpiti questi nuovi sistemi di credenziali, a causa di una cattiva gestione degli utenti o all’utilizzo di password deboli o della stessa su più servizi. Inoltre, ci sarà un focus sui sistemi di backend. Mentre molti hanno usato AD, Radius e altri processi di autenticazione per anni, molti dei nuovi strumenti SaaS possiedono processi di gestione delle credenziali propri, che essendo emergenti possono essere più inclini allo sfruttamento. Assisteremo alla lenta sostituzione dell’autenticazione con password, con aziende che vogliono provare a rimuoverne la dipendenza e stiamo osservando un aumento significativo del numero di persone e organizzazioni che utilizzano l’autenticazione senza password come Windows Hello.
Il rischio della casa compromessa
Il lavoro ibrido è ormai una realtà stabile: i dipendenti che lavorano da casa usano più spesso una gamma sempre più ampia di dispositivi IOT – sia aziendali che personali – per accedere alle applicazioni di lavoro da ogni luogo in cui si trovino.
Quindi è naturale che le reti domestiche diventino un obiettivo per i criminali informatici ed è particolarmente vero visto che i controlli su queste reti non sono tipicamente così forti come quelli effettuati sui network aziendali. Le organizzazioni che storicamente avevano bloccato computer portatili, porte USB, stampanti personali e molti altri strumenti avrebbero chiuso. Oggi, per operare nel mondo del lavoro ibrido gli utenti hanno bisogno di queste capacità, quindi i controlli di sicurezza sono stati per forza di cose allentati, ampliando il divario ai dispositivi familiari condivisi.
La buona notizia è che la consapevolezza su questo argomento sta aumentando in tutta EMEA, con i decision maker più fiduciosi che mai quando si tratta di avere piena visibilità dei dispositivi IoT sulla rete aziendale della loro organizzazione – il 70% completamente fiducioso nel 2021 rispetto al 58% nel 2020 – come evidenziato nel nostro IoT Security Report 2021 ‘The Connected Enterprise‘.
La formazione alla cybersecurity deve evolversi in linea con i nuovi modi di lavorare
Con una società sempre più connessa, bisogna pensare a come rendere più longeva la formazione informatica. Questo significa spostarsi da un approccio tattico e puntuale a buona progettazione e adeguati principi di utilizzo nel lungo periodo.
I confini tra privato e professionale stanno diventando sempre più sfumati e complessi, e di conseguenza tutti noi stiamo diventando punti di integrazione e innovazione digitale.
Igiene informatica: peggiorerà prima di migliorare?
L’IT aziendale è cambiato velocemente, l’evoluzione non sta rallentando e capacità di sicurezza inconsistenti, specialmente Cloud e SaaS, stanno mettendo alla prova le aziende. Mentre DevSecOps sta ancora maturando, senza standard di settore best practice specifiche, i CISO devono ancora spostarsi da un approccio tattico a un pensiero strategico o rischieranno di trovarsi in un sacco di guai quando gli standard saranno definiti. Ottenere il buy-in da dirigenti e stakeholder su un solido approccio di cybersecurity per il business è una parte importante di questo cambio di mentalità strategica.
Liberarsi della “coperta di Linus” di sicurezza informatica
Il mondo digitale si è evoluto molto negli ultimi anni, e le aspettative dei team di sicurezza IT non sono mai state così grandi. Minacce e processi aziendali da proteggere più numerosi vanno di pari passo con maggiori capacità di sicurezza. La sfida vede aziende generalmente meno tolleranti a tempi di inattività e interruzioni, ma sempre più dipendenti dai sistemi digitali ed è il paradosso del tempo cibernetico: di più con meno.
Mentre il mondo della sicurezza IT si evolve, è il momento di abbracciare questo mantra in modo diverso. L’unico modo in cui possiamo fare di più, è avere meno legacy. Per ogni nuova capacità richiesta, il team di sicurezza dovrebbe cercare di rinunciare a due. Il problema è che il mondo si evolve rapidamente, di conseguenza bisogna rivalutare il valore dei controlli di sicurezza legacy, ed essere disposti a lasciar andare più velocemente ciò che ‘ci ha salvato la pelle’ in passato, e ciò che è stato sostituito da capacità migliori e più intelligenti.
Questo non è mai stato così importante come oggi, con i servizi cloud che forniscono capacità sempreverdi.
Zero Trust diventa lo standard di sicurezza
Man mano che le organizzazioni cambiano per supportare nuovi modelli di lavoro abilitati al digitale, è sempre più importante garantire che risorse e relativo traffico siano sicuri.
Zero Trust Enterprise è un approccio alla riduzione del rischio basato sul concetto di ‘mai fidarsi, sempre verificare’. Riguarda tutto: utenti, applicazioni e infrastrutture, identità rilevanti, accesso a dispositivi/workload o controlli transazionali per verificare e limitare i rischi per il business. Fare tutto questo con soluzioni puntuali disparate creerà solo complessità e lacune nella sicurezza. Sarà imperativo che le aziende scelgano un ecosistema interoperabile di fornitori allineati agli obiettivi di protezione dell’azienda.
Viviamo nel mondo della gratificazione istantanea, per cui possiamo aspettarci che alcuni cerchino una soluzione Zero Trust immediata. Questo conferma la teoria per cui molti non hanno ancora compreso che Zero Trust è in realtà una strategia, non un prodotto o un progetto.
