Gli attacchi ransomware sono cresciuti in volume di oltre il 400% nel 2017 rispetto all’anno precedente. In un nuovo report F-Secure attribuisce questa crescita al cryptoworm WannaCry, ma sottolinea anche che altri attacchi ransomware sono diventati meno comuni nel corso del 2017, il che evidenzia un cambiamento nel modo in cui i criminali informatici utilizzano il malware.

Il report “The Changing State of Ransomware” evidenzia che il ransomware è evoluto come minaccia in modo considerevole nel 2017. Le minacce prevalenti durante l’anno hanno incluso famiglie consolidate di ransomware come Locky, Cryptolocker e Cerber. Ma è stata WannaCry la minaccia rilevata con più frequenza nel 2017: sui ransomware rilevati fino alla fine dell’anno, 9 volte su 10 si è trattato del famigerato cryptoworm.

Ma se la famiglia ransomware WannaCry è rimasta prevalente nella seconda metà del 2017, si è registrato un declino nell’uso di altri ransomware da parte dei cyber criminali. Si tratta di un fenomeno che secondo Sean Sullivan, Security Advisor di F-Secure, fa pensare che i cyber criminali dilettanti stiano perdendo interesse nel ransomware.

“Dopo l’estate, c’è stato un notevole spostamento dal tipo di attività ransomware che abbiamo visto negli ultimi due anni,” ha spiegato Sullivan. “Negli ultimi due anni abbiamo visto cyber criminali sviluppare molti nuovi tipi di ransomware, ma quell’attività è andata diminuendo dopo la scorsa estate. Sembra quindi che la “corsa all’oro” del ransomware sia finita, anche se gli estorsionisti più attivi del ransomware continuano ad usarlo, soprattutto contro le organizzazioni poiché Wannacry ha dimostrato a tutti quanto queste siano vulnerabili.”

Nel report si dice che mentre ci sono stati segnali che hanno fatto intendere una diminuzione del ransomware nel 2017, ci sono anche prove che suggeriscono che l’uso del ransomware graviterà su più vettori di attacchi focalizzati sulle aziende, compromettendo per esempio le organizzazioni attraverso porte RDP esposte. La famiglia ransomware SamSam è nota per usare questo tipo di approccio e ha già infettato molto organizzazioni negli USA quest’anno, inclusi i sistemi IT della città di Atlanta in un recente attacco.

Di seguito altre significative scoperte evidenziate nel report:

• WannaCry, seguito da Locky, Mole, Cerber, e Cryptolocker sono state le famiglie di ransomware più diffuse nel 2017;
• Gli attacci ransomware nel 2017 sono cresciuti del 415% rispetto al 2016;
• WannaCry è rimasto attivo nella seconda metà del 2017, con la maggior parte delle rilevazioni di F-Secure provenienti da Malaysia, Giappone, Colombia, Vietnam, India e Indonesia;
• 343 famiglie uniche e varianti di ransomware sono state scoperte nel 2017, con una crescita del 62% sull’anno precedente;
• Con l’eccezione di WannaCry, l’utilizzo di ransomware (sia nuovo che esistente) è sembrato andare diminuendo verso la fine dell’anno.

Secondo Sullivan, ci sono diversi fattori che stanno contribuendo a un cambiamento apparente nel modo in cui il ransomware viene usato. “Il prezzo del bitcoin è probabilmente il fattore più importante, poiché ha reso il ransomware molto meno attrattivo per i criminali informatici. Penso anche che i guadagni stiano probabilmente diminuendo poiché la conoscenza di questa minaccia ha incoraggiato gli utenti ad effetuare backup affidabili, dal momento che restano scettici sull’affidabilità dei criminali quando promettono di decrittografare i dati una volta pagato il riscatto. Ma i cyber criminali cercheranno sempre di approfittare di condizioni favorevoli, quindi saranno pronti a sfruttare di nuovo il ransomware se le condizioni dovessero cambiare.”

L'articolo La “corsa all’oro” del ransomware sembra finita, ma la minaccia persiste proviene da Data Manager Online.

Quando ci guarderemo indietro e cercheremo i peggiori attacchi cyber della storia ci ricorderemo del 2017 come l’anno di WannaCry. Tuttavia, a qualche settimana dal ransomware che ha colpito decine di strutture pubbliche e private in tutta Europa, è arrivato NotPetya, non meno pericoloso del collega. I danni di quest’ultimo sono stati mirati soprattutto a grandi compagnie e sistemi critici, dislocati in larga parte in Ucraina ma non solo.

Dopo una serie di indagini, il Ministro degli Esteri del Regno Unito ha annunciato che molti degli indizi presi in considerazione portano a collegare il lancio della minaccia alla Russia. “Il Cremlino ha preso una chiara posizione nei confronti dei nemici – ha detto il ministro Lord Ahmad – eppure il paese dovrebbe mostrarsi per quello che dice di essere, un membro responsabile della comunità internazionale”.

Cosa succede

Ahmad ha giustificato la volontà di comunicare pubblicamente la convinzione del coinvolgimento di Mosca nella distribuzione di NotPetya per dare un segnale forte nella direzione della “lotta al cybercrime sia nei nostri confini che in quelli degli alleati”. Se le agenzie britanniche sono arrivate a tali conclusioni, c’è poco da obiettare in merito. Non è la prima volta che il governo di Londra punta il dito contro la Russia.

A novembre dello scorso anno, il primo ministro Theresa May aveva anticipato la possibilità che hacker esteri avessero divulgato una serie di fake news per tentare di manipolare il voto sulla Brexit: “Vogliono usare la disinformazione come un’arma – le sue parole – nel tentativo di creare tensioni e discordie all’interno del nostro continente”. Il Cremlino ha negato ripetutamente ogni accusa anche se i tentacoli digitali di Putin hanno dimostrato di poter arrivare ovunque, persino alla Casa Bianca.

L'articolo Il Regno Unito accusa la Russia del lancio di NotPetya proviene da Data Manager Online.

Se EternalBlue è l’exploit che ha permesso a minacce come WannaCry e NotPetya di espandersi a livello globale, questi altri tre potrebbero fare anche peggio. Si chiamano EternalSynergy, EternalChampion ed EternalRomance e sono stati scoperti da un ricercatore dell’agenzia di sicurezza RiskSense. Si tratta di linee di codice modificate apposta per affliggere tutte le versioni del sistema operativo di Microsoft lanciate negli ultimi 18 anni, a partire da Windows 2000.

Queste soffrono di alcune vulnerabilità per le quali esistono già le patch, ma non è detto che tutti le abbiano installate, proprio come nel caso del difetto che interessava Windows XP e che ha semplificato la diffusione di WannaCry. Qui la storia è leggermente diversa, perché i tre exploit colpiscono tanto i vecchi software quanto i più recenti, Windows 10 incluso.

Cari vecchi security bulletin

C’è poco da girarci attorno: scaricare e installare sempre le correzioni presenti nei bollettini di sicurezza che Microsoft rilascia periodicamente non è un vezzo per gli esperti ma deve porsi come buona pratica da parte di tutti. Basti pensare che la stessa Redmond affermava come Windows 10 fosse protetto da ogni simile attacco e invece no, con il rilascio delle informazioni sulle vulnerabilità  indicate nei documenti CVE-2017-0143 e CVE-2017-0146 ci siamo accorti che anche lavori di ultima generazione sono bisognosi di cerotti digitali. Anzi, in un simile contesto è ancora più evidente che non si può poggiare il proprio lavoro su OS obsoleti, che mamma Microsoft non supporta più. Windows XP è tra questi mentre il più utilizzato Windows 7 si appresta all’end of support il 14 gennaio del 2020.

L'articolo Così la NSA può colpire tutti i sistemi Windows in circolazione proviene da Data Manager Online.

Nei mesi scorsi si è fatto un gran parlare di EternalBlue, l’exploit realizzato dalla NSA e rubato dai server dell’agenzia federale dagli hacker del gruppo Shadow Brokers. A detta degli analisti, proprio il pacchetto è stato usato per creare la minaccia WannaCry, che nella seconda parte del 2017 ha messo in crisi sistemi informatici in tutto il mondo, compresi quelli di ospedali, multinazionali del settore automotive, manifatturiero e molto altro. EternalBlue però si è mostrato estremamente versatile, tanto da potenziare pure NotPetya, un attacco successivo e meno distruttivo di WannaCry ma comunque in grado di fare danni un po’ ovunque sotto forma di ransomware.

Cosa succede

Stando a Panda Security, EternalBlue sta continuando la sua missione camaleontica, insediandosi questa volta nei computer in maniera diversa. L’exploit infatti sarebbe stato usato per diffondere un malware che, una volta nel PC, prende possesso della CPU per convertirne il lavoro in attività di produzione di monete digitali, come Bitcoin e Monero. CloudStrike, che è andata più a fondo nella questione, ha definito il virus WannaMine, legandolo evidentemente a quello dello scorso anno, almeno nella base di programmazione.

Riconoscerlo nella propria rete non è per nulla semplice, anche perché l’ennesima trasformazione non da segni di malfunzionamento della macchina, se non un rallentamento che in certi casi può arrivare al 100% delle risorse occupate dal sistema. Gli obiettivi degli hacker sono specifici: non tanto gli utenti singoli ma le server farm e i data center, con un potenziale di produzione di criptomoneta decisamente superiore. Dal momento della scoperta, i principali tool di rilevamento dovrebbero essere in grado di scovare WannaMine e rimuoverlo senza troppi problemi.

L'articolo EternalBlue è tornato e comanda WannaMine proviene da Data Manager Online.

Quando nel 2017 WannaCry ha cominciato a colpire l’Europa, una delle prime vittime è stata la NHS, catena che gestisce gli ospedali pubblici nel Regno Unito. Lo scalpore dovuto al malfunzionamento delle strutture e relative conseguenze per i pazienti ha innalzato il livello di attenzione della massa verso problematiche del genere, già molto conosciute dagli addetti ai lavori. Per evitare che i figli di WannaCry creino simili danni in futuro, il reparto speciale NHS Digital ha concluso un accordo di fornitura con Microsoft per riconoscere e prevenire minacce informatiche lungo tutta la rete nazionale.

A supportare il lavoro del team dedicato sarà la piattaforma Enterprise Threat Detection Service, che invierà notifiche periodiche sullo stato dei network, soprattutto in prossimità di falle e bug e rischi sfruttabili dagli hacker. Saranno poi gli esperti di Redmond a mettersi in contatto con NHS per l’attivazione delle migliori procedure del caso.

Proteggere i dati sensibili

Queste le parole di Dan Taylor, direttore della sicurezza di NHS Digital: “L’accordo con Microsoft rafforzerà ulteriormente la protezione delle strutture. Il nostro compito sarà quello di avvisare le singole organizzazioni per renderle consapevoli dei pericoli riscontrati e aiutarli a prendere le misure necessarie per minimizzarli. Si tratta di un cambiamento nell’approccio, che diventa maggiormente proattivo, con l’obiettivo di proteggere la salute dei pazienti”.

L’Enterprise Threat Detection Service raggiungerà un numero di computer che vagli attuali 30 mila agli oltre 1,5 milioni di cui sono dotati gli ospedali del gruppo, non solo computer ma tutti i dispositivi usati a scopo professionale. L’obiettivo è anche sensibilizzare sul tema, soprattutto in contesti che dovrebbero fare della sicurezza informatica un caposaldo della propria attività. Non è un caso se le prime indagini su come era stato diffuso WannaCry avevano evidenziato che se fossero state intraprese pratiche basilari di cyber-security sarebbero state evitate la maggior parte delle conseguenze sofferte dai sistemi vittima dell’attacco.

L'articolo NHS Digital stringe un accordo di prevenzione cyber con Microsoft proviene da Data Manager Online.

Ora l’accusa è ufficiale: gli USA hanno affermato che c’è la Corea del Nord dietro il lancio massiccio del ransomware WannaCry, che dallo scorso maggio ad oggi ha fatto perdere ad aziende e utenti privati circa 4 miliardi di dollari. La cifra comprende sia i soldi spesi per ripristinare le infrastrutture che quelli concretamente andati in fumo per affari e database bloccati e, purtroppo, per la montagna di bitcoin pagati ai conti dei cracker, con l’illusoria speranza di ottenere la chiave utile a ripristinare i computer. Come sappiamo, molto spesso (quasi sempre) all’esborso anche di piccole cifre (sulle centinaia di euro) non corrisponde alcun feedback da parte dei cybercriminali, che dopo aver intascato le criptovalute svaniscono del tutto. Thomas P. Bossert, del servizio antiterrorismo e sicurezza nazionale della Casa Bianca, è l’uomo che ha dato la notizia, tirando in ballo alcune indagini portate avanti da Microsoft e dalle autorità del Regno Unito, concordanti con la fonte della minaccia.

Smacco agli hacker

La guerra degli States ai cybercriminali sembra esser diventata una parte fondamentale dell’amministrazione Trump. Come lo stesso Bossert ha spiegato, Washington non farà sconti a nessuno stato alla quale la polizia collegherà attività di spionaggio o danneggiamento alle infrastrutture pubbliche e private negli Stati Uniti. È seguendo tale linea che il governo ha deciso di eliminare i software di Kaspersky dai computer federali e di combattere con veemenza gli hacker iraniani e nordcoreani infiltrati in molte compagnie del paese negli ultimi anni. Tornando a WannaCry, non è chiaro in che modo il ransomware sia stato diffuso globalmente, ma è alquanto evidente che una volta individuata la falla in Windows, sia bastato ben poco per costruirci attorno un virus e indirizzarlo nel mare magnum della rete, sperando in utenti poco protetti e non aggiornati.

L'articolo Dagli USA sono certi: WannaCry arriva dalla Corea del Nord proviene da Data Manager Online.

Parafrasando una nota canzone… “malware is all around”, come dimostra il Malware Report stilato da Sophos per analizzare le tendenze della sicurezza informatica emerse nel corso degli ultimi 12 mesi. Online gaming, app, wearable device: ormai la vita di tutti i giorni è permeata di tecnologia e il rovescio della medaglia di un’iperconnettività che ottimizza molti aspetti della vita degli utenti, è l’estrema vulnerabilità a minacce sempre più subdole e complesse.

Nel 2017, il ransomware che ha regnato indiscusso è stato WannaCry, causando i maggiori danni e ha rappresentato il 45% del ransomware totale rilevato nel corso degli ultimi 12 mesi, seguito da Cerber (44.2%). Nel solo mese di settembre, il 30,4% dei malware Android analizzato dai SophosLabs era ransomware e, seppure la maggior parte di tali attacchi abbia colpito utenti Windows, anche le altre piattaforme non sono al riparo, inclusi i sistemi Linux e OS.

Negli ultimi due anni il ransomware ha spostato il suo obiettivo verso settori considerati più propensi a pagare il riscatto: le aziende della sanità, gli enti pubblici e le PMI e Sophos prevede che questo trend si confermerà nel 2018.

Un altro aspetto analizzato dal Malware Report riguarda il malware che si annida all’interno delle App Android: Sophos ha infatti evidenziato come su Google Play nell’ultimo anno sia raddoppiato il numero di minacce che mettono a rischio la privacy dei dati salvati dagli utenti su smartphone o tablet. Per questo motivo, Sophos consiglia agli utenti di evitare App prive di riconoscimenti affidabili e aggiornare con frequenza le app scaricate. Ovviamente è caldamente consigliato non scaricare app da fonti diverse da Google Play.

Anche l’online gaming, sempre più diffuso, non sfugge alle grinfie dei cybercriminali: il noto gioco “King of Glory” è infatti stato utilizzato per diffondere malware e il numero di app maligne è cresciuto esponenzialmente negli ultimi quattro anni, arrivando a 3.5 milioni nel corso del 2017. Alla luce di questi dati, gli esperti di Sophos sono propensi ad aspettarsi un sensibile incremento degli attacchi attraverso piattaforme di online gaming anche per il 2018.

Furto di dati: altro tasto dolente dell’anno passato come hanno dimostrato numerosi episodi tra cui, di recente, quello che ha colpito i clienti UBER. Sottrarre informazioni sensibili resterà uno dei principali obiettivi degli hacker anche nel 2018, nonostante l’entrata in vigore del GDPR prevista a maggio.

Il Malware Report di Sophos tratteggia dunque uno scenario preciso di quanto accaduto quest’anno ma non consente di prevedere con esattezza ciò che ci attende nel 2018, possiamo però aspettarci attacchi molto aggressivi sia su Windows che su Android mentre l’email resterà il vettore preferenziale di diffusione delle minacce.

In particolare, quattro trend evidenziati nel 2017 e che probabilmente domineranno la scena anche nel 2018 sono:

1)    Un’ondata di ransomware alimentata da RaaS e amplificata dal riemergere dei worn

2)    Un’esplosione di malware Android su Google Play…e non solo

3)    Crescenti tentativi di attacco a MAC

4)    Minacce su Windows alimentate da kit per exploit “fai da te” che rendono ancora più semplice sfruttare le vulnerabilità di Microsoft Office

L'articolo Minacce informatiche: cosa ci aspetta nel 2018? proviene da Data Manager Online.

Anche nel 2017 il ransomware è stato il protagonista dell’anno per quanto concerne la sicurezza IT. WannaCry e NotPetya hanno dimostrato che i criminali hanno perfezionato le proprie tecniche e che le aziende sono oggetto di attacchi mirati. Gli esperti di sicurezza G DATA non possono dichiarare il cessato allarme per il 2018, al contrario si aspettano un ulteriore incremento del livello delle minacce. A fronte di tassi di interesse sul capitale sempre più bassi, un crescente numero di persone investe in criptovalute come i Bitcoin. I cybercriminali non sono da meno, hanno creato nuovi modelli di business illegale particolarmente lucrativi e tentano di accaparrarsi la propria fetta di criptovalute con script per il mining e altri attacchi.

G DATA prevede di chiudere il 2017 con la rilevazione di almeno dieci milioni di nuovi ceppi di malware per Windows e più o meno tre milioni e mezzo per Android. Le statistiche mostrano che il livello di minaccia è in costante aumento. Molte attività quotidiane come le transazioni bancarie o gli acquisti vengono effettuate online. La conduzione di tali attività diventa di giorno in giorno sempre più semplice grazie all’utilizzo di supporti operativi quali gli assistenti vocali e ad una migliore fruibilità. Cosa che aumenta altresì il raggio d’azione dei criminali.

“I Bitcoin e le altre criptovalute stanno infrangendo record su record. Sempre più persone si interessano alle valute digitali. I criminali sfruttano questo trend, focalizzandosi sempre più sugli utenti Internet attivi in questo ambito“ spiega Tim Berghoff, G DATA Security Evangelist. “Inoltre, ci aspettiamo di vedere molti più attacchi su larga scala condotti ai danni di piattaforme che in precedenza non erano mai state prese in considerazione, dato che solo di recente soluzioni IoT, come gli assistenti personali digitali e i dispositivi domotici, sono entrati nel mercato di massa.

Sicurezza IT: previsioni 2018

• Maggiore attenzione all’IoT: i dispositivi intelligenti sono presenti tanto in ambito residenziale quanto aziendale / industriale. L’Internet of Things non è più solo una moda, per molti utenti è uno strumento quotidiano. Nel 2018 i cybercriminali daranno vita ad attività illegali mirate.
• Attacchi ransomware in crescita: nel 2017 i cybercriminali hanno ottenuto enormi profitti dall’utilizzo di questa forma di estorsione virtuale. Le tecniche sono diventate sempre più raffinate. In virtù di ciò, per il 2018 ci si attende un’ulteriore aumento dei malware che chiedono un riscatto.
• Estorsione di dati riservati: il furto di dati è stato un business estremamente lucrativo per molti anni. In passato i cybercriminali hanno messo in vendita i dati ottenuti sul dark web. Gli esperti di G DATA hanno però riscontrato un trend diverso: le aziende a cui sono stati criminali minacciano le aziende alle quali hanno estorto illegalmente i dati richiedendo un riscatto.
• Attacchi agli assistenti vocali: Sempre più utenti si affidano ad assistenti personali come Siri e Alexa. Nel 2018, gli esperti di sicurezza G DATA si aspettano primi attacchi di successo contro queste piattaforme e la nascita dei primi (?) modelli di business redditizio.
• Nuove normative sulla protezione dei dati: La data d’entrata in vigore del GDPR Europeo si avvicina inesorabilmente. La nuova normativa entrerà in vigore il 25 maggio 2018. Molte società sono ancora molto indietro in termine di conformità alle nuove leggi. Entro la data di scadenza, le aziende dovranno garantire che i dati sensibili dei propri clienti vengano elaborati e tutelati nel rispetto della legge. G DATA ritiene che circa il 50% delle aziende non si sarà adeguato integralmente al contenuto della normativa europea prima della sua data di decorrenza.
• Criptovalute come vettore di attacco: L’euforia generata dalle criptovalute rievoca la corsa all’oro del diciannovesimo secolo. A fronte di un investimento sempre più massiccio in monete digitali, i cybercriminali stanno compiendo sforzi concertati con l’intento di derubare gli utenti.

L'articolo 2018: i cybercriminali puntano ai Bitcon proviene da Data Manager Online.

In un articolo per Data Manager dell’aprile 2015 scrivevamo: «La ragione principale per cui gli attaccanti hanno la meglio non è solo tecnologica, ma risiede principalmente nella crescente asimmetria nell’efficacia dei differenti “modelli di business” di chi attacca e di chi difende: per ogni dollaro investito dagli attaccanti nello sviluppo di nuovo malware, o nella ricombinazione di malware esistente per nuovi scopi, il costo sopportato dai difensori (ancora legati a un modello reattivo, e dunque incapaci di anticipare le mosse degli avversari) è di milioni di dollari. Una situazione letteralmente impensabile fino a poco tempo fa, che mette in discussione tre decenni di progettazione e di gestione dell’ICT, inclusi i più recenti sviluppi in materia di cloud, mobile, social media e Internet of Things. Per adeguarsi a questo nuovo tipo di minaccia (che non è più quella degli “hacker”), occorre che i difensori cambino approccio a loro volta».

Alcuni degli attacchi più “interessanti” del 2017 non fanno che confermare questo stato di cose, aggravato dal fatto che sono trascorsi oltre due anni, un’enormità nel dominio digitale, senza che l’approccio dei difensori sia cambiato in modo apprezzabile. L’effetto catastrofico di campagne di ransomware come WannaCry e NotPetya (che peraltro appaiono mirate a distruggere più che a guadagnare denaro) dimostra in modo definitivo che la cyber security è diventata un pre-requisito essenziale non solo per fare business, ma più in generale per rendere possibile il buon funzionamento della nostra civiltà iperconnessa.

.@Clusit la #CyberSecurity non è solo un problema #IT
Click To Tweet

Per approcciare correttamente i nuovi problemi e definire strategie adeguate (partendo dal Board) occorre innanzitutto chiarire l’ambito di applicazione della Cyber Security, che non va confusa con l’ICT Security, e definirne le finalità. La seconda si occupa di proteggere le informazioni e le infrastrutture informatiche tramite le quali generiamo, gestiamo, trasmettiamo e archiviamo i nostri dati. La prima ha un perimetro ben più ampio e si occupa di proteggere tutti quegli asset, materiali e immateriali, spesso non IT, che oggi sono messi a rischio tramite l’applicazione dell’informatica. Per esempio, la vita dei pazienti in condizioni critiche messa in pericolo dal blocco degli ospedali inglesi causato da WannaCry, la reputazione di un’azienda derubata di milioni di record dei suoi clienti, il buon funzionamento dei circuiti di pagamento e delle infrastrutture critiche, la quotazione in Borsa di una banca che avesse i suoi account social compromessi per attaccarne i correntisti-followers.

Per sua natura quindi la Cyber Security non è un “problema IT”, ma attraversa in modo assolutamente trasversale i “silos” organizzativi e le funzioni aziendali, riguardandole tutte senza esclusioni. Questa dimensione “esistenziale” e trasversale della Cyber Security si basa sul presupposto, ancora troppo poco discusso, che oggi tutti i sistemi siano diventati cyber-fisici (intreccio indissolubile di digitale, umano e fisico). In questo contesto, la sicurezza non può essere implementata con successo applicando la metafora del Castello (buoni dentro e cattivi fuori), anche perchè nel frattempo il perimetro delle mura è, a tutti gli effetti pratici, evaporato. Bisogna imparare a funzionare anche se costantemente compromessi, a individuare velocemente i patogeni veramente pericolosi e a ignorare quelli innocui, a ottimizzare le risorse scarse dell’organismo-organizzazione per prevenire le minacce più gravi e gestire quelle minori senza subire danni inaccettabili. Una sfida eccezionale che ci impone di ripensare velocemente il nostro approccio alla sicurezza, prima che i cyber-rischi superino i cyber-vantaggi.

Andrea Zapparoli Manzoni, membro del Consiglio Direttivo di CLUSIT

L'articolo Cyber resilienza, dal Castello al Sistema Immunitario proviene da Data Manager Online.

Non sono molti in Italia coloro che ritengono che la (in)sicurezza IT sia una piccola grande emergenza. Episodi però come quello dello scorso maggio, protagonista il virus WannaCry e la spettacolare infezione di centinaia di migliaia di computer in tutto il mondo, sembrano fatti apposta per far cambiare presto idea. WannaCry non è stato il più devastante, né sarà l’ultimo. Ma di sicuro ha contribuito ad alimentare il clima di timore verso il prossimo cyberattacco di massa o della prossima ondata di ransomware. La buona notizia, vogliamo essere ottimisti, è che la sicurezza non è più la cenerentola delle priorità aziendali. «Secondo gli ultimi sondaggi, tra le imprese italiane sopra i 50 addetti, l’importanza attribuita alla sicurezza è cresciuta oltre il 70 per cento, superando persino la necessità di aggiornare le business applications» – conferma Giancarlo Vercellino, research & consulting manager di IDC Italia. Il salto di qualità nei crimini informatici ha finito per incidere nella carne viva delle decisioni di investimento di aziende e istituzioni. Contribuendo alla scalata della security verso la “top three” delle priorità strategiche.

«Nell’ultimo anno, forse anche a causa delle cronache dei giornali, abbiamo osservato una tendenza interessante all’espansione della spesa in sicurezza IT in quasi il 60% delle imprese sopra i 50 addetti. Probabilmente il segnale di una inversione di tendenza importante» – afferma Vercellino. Un cambio di direzione ampiamente annunciato. IDC prevede un aumento della spesa globale in hardware, software e servizi di sicurezza del 38 per cento entro il 2020, che farà lievitare il valore degli investimenti dagli attuali 73,7 miliardi di dollari a oltre 100 (101,6) entro il 2020. Con tassi di crescita più che doppi rispetto a quello degli investimenti in IT. Il dato globale però si discosta parecchio da quello assai meno corrusco del nostro Paese. Il primo scollamento è tra agenda strategica e comportamenti operativi di spesa. «Il budget rate della sicurezza sulla spesa IT generale ammonta a pochi punti percentuali» – osserva Vercellino. Ai buoni propositi – il “sentiment”, senz’altro positivo – non fanno seguito comportamenti coerenti. Un conto è rispondere a un sondaggio sperticandosi in lodi verso le virtù benefiche della security, sul valore degli investimenti, e sulla volontà di farli. Altro è far seguire alle parole i fatti. Con il rischio – stigmatizzato da Vercellino – «di cronicizzare la vulnerabilità specifica delle imprese italiane». Secondo Mauro Cicognini, responsabile seminari di CLUSIT questo iato si spiega in parte con lo scarto culturale tra manager IT e non. «Per i primi, la sicurezza è uno dei capitoli più importanti, anche se i primi in ordine di grandezza saranno sempre gli investimenti dedicati alle applicazioni di business, all’infrastruttura, alla connettività. Tra i manager non informatici invece continuiamo a riscontrare un’informazione insufficiente. Basata in gran parte su quello che si sente dire nei telegiornali e nelle trasmissioni televisive divulgative. Lacune – sottolinea Cicognini – testimoniate dalla scarsa comprensione dell’importanza dell’IT per il business. Al di fuori di un ambito specialistico, non trovo una consapevolezza adeguata nemmeno della centralità dell’informatica per le attività core di tutte le aziende».

#sicurezza Budget in crescita, ma scollamento tra #strategia e #comportamenti
Click To Tweet

Budget in crescita ma le PMI stanno a guardare

Secondo IDC, gli investimenti in servizi di security – circa il 45 per cento degli investimenti totali – sono a livello globale la prima voce di spesa, con un fatturato attorno ai 13 miliardi di dollari. A trainare il mercato, sono i servizi gestiti. In questo quadro, però l’Italia fa eccezione. Con il software prima voce di spesa. «Se osserviamo i dati aggregati relativi all’evoluzione del mercato italiano raccolti da IDC, a guidare la crescita del settore è principalmente il comparto software, che quest’anno potrebbe attestarsi di poco sotto il 5 per cento» – afferma Vercellino. Un segmento che ha generato nel 2016 un giro d’affari complessivo superiore ai 300 milioni di euro. Spinto soprattutto dalla crescita delle applicazioni legate alla network security e alla gestione della security e delle vulnerabilità. Al secondo posto, le appliances – unified threat management, VPN, firewall, IDP, content – con una crescita di poco sotto al tre per cento e un CAGR 2016-2019 stimato in circa due punti percentuali, grazie ai buoni risultati delle soluzioni di UTM e VPN. «Un’area questa che sviluppa un valore complessivo non di molto inferiore ai 200 milioni di euro. In ambito servizi – IT Consulting e System Integration/Implementation – invece – ci muoviamo su un terreno intermedio. Qui, il giro d’affari supererà nel 2019 la quota di 600 milioni di euro» – continua Vercellino. Ma il segmento, investito da una profonda ristrutturazione dell’offerta di servizi proposti al mercato, potrebbe accelerare in modo ancora più significativo: «Quest’anno la Security as a Service potrebbe crescere per effetto del GDPR» – conferma Vercellino. «La necessità di arrivare preparati alla scadenza del maggio 2018 porterà infatti molte aziende a espandere i propri investimenti; soprattutto in quelle imprese la cui Data Transfer Policy ha sempre previsto finora il trasferimento dei dati su piattaforme cloud residenti al di fuori del perimetro europeo. Oltre il 60 per cento delle imprese con DTP extraeuropeo incrementerà gli investimenti in tecnologie di sicurezza per il cloud». Dati in crescita. Viziati però da una quota di investimenti in sicurezza rispetto al totale IT, ancora sottodimensionato. «L’aggregato complessivo della spesa in software per la sicurezza in Italia – valore superiore ai 300 milioni di euro – corrisponde a circa il 5 per cento di quella software complessiva» – mette in evidenza Vercellino. Una cifra attorno ai 6 miliardi di euro. Ritenuta da molti osservatori ancora largamente insufficiente.

Non solo. Come emerge dal recente studio di Ponemon Institute “2017 Cost of Data Breach Study”, il costo medio della violazione di dati è di 3,62 milioni di dollari a livello mondiale, in calo del 10 per cento rispetto ai risultati del 2016 (in Europa, il calo registrato è del 26 per cento), e ha evidenziato la stretta correlazione tra la risposta ai requisiti normativi come il GDPR e il costo totale della violazione. Al di là del mero rapporto tra investimenti in IT e sicurezza, le cui stime oscillano entro una forbice piuttosto ampia, va detto che le decisioni di investimento risentono delle prospettive di sviluppo dell’azienda in termini di maggiore o minore crescita del fatturato. Se l’economia cresce, la propensione agli investimenti tenderà a espandersi. Mentre in uno scenario generale dominato da incertezza e da una ripresa moderata, indebolita da una sostanziale gracilità della domanda nazionale di beni e servizi, come quella in cui l’Italia vivacchia – la dinamicità dei mercati secondari e delle transazioni B2B – ai quali appartiene quello della sicurezza informatica, tende a non sviluppare appieno tutto il suo potenziale. La già citata survey IDC conferma questo trend, evidenziando altresì le differenti connotazioni che la sicurezza assume a seconda della prospettiva industriale dalla quale la si osserva. IDC a questo proposito sottolinea le differenze sostanziali tra “data intensive industries” – come il settore finanziario, e “material intensive industries” (il manifatturiero). Una tassonomia da cui derivano comportamenti di spesa diversi. I settori in cui si spende di più sono nell’ordine: finance (8,6 miliardi di dollari), manifatturiero (discrete manufacturing), pubblico e process manufacturing. Insieme i quattro verticali coprono quasi il 40 per cento degli investimenti globali in security a livello worldwide. Comparti – si legge nel report – nei quali gli investimenti saranno più massicci almeno sino al prossimo decennio.

«Non è un caso – osserva Cicognini di CLUSIT – che in alcuni settori, banche, energia, telecomunicazioni, i più regolamentati, la spesa in sicurezza sia più significativa. Con progetti nell’ordine di milioni di euro, e una quota percentuale sul totale della spesa IT che può anche superare il 15 per cento. Diversa, la situazione nel manifatturiero, dove gli investimenti raramente superano l’ordine delle centinaia di migliaia di euro. Qui, comprensibilmente, l’imprenditore privilegia gli investimenti sul ciclo produttivo, ben sapendo che il segreto industriale è spesso meno importante della capacità di adattarsi alla variabilità delle condizioni economiche e alla rapidità nel portare i prodotti al mercato». Un solco tra comparti, ancora più profondo in Italia, per via delle profonde differenze, in termini di capacità di spesa tra microimprese e realtà medio-grandi. «A fronte di alcune grandi aziende che investono in modo significativo nel rafforzamento della sicurezza, dedicando una parte importante del proprio budget IT, la maggior parte delle piccole e medie imprese sostanzialmente non dispone di un budget specifico. Qui, la questione viene affrontata con grandi difficoltà, coprendo le esigenze ex post, quando sono intervenuti problemi» – incalza Vercellino. «Nella stragrande maggioranza dei casi, le organizzazioni corrono ai ripari soltanto quando sperimentano gli effetti di uno di questi attacchi sulla propria pelle» – conferma Stefano Volpi, practice leader per l’Italia e GSSO di Cisco. «Il 90 per cento delle aziende violate afferma che la falla nell’infrastruttura di sicurezza li ha portati a introdurre miglioramenti nelle tecnologie, policy, o metodologie di difesa dalle minacce». Una cattiva abitudine, non solo delle imprese più piccole.

#security and Vulnerability Management e Network Security in cima alle priorità
Click To Tweet

Strategia per la sicurezza non solo un problema tecnico

È verosimile ipotizzare una qualche correlazione tra complessità ed efficacia degli attacchi e crescita delle aspettative sulla sicurezza. Riuscire però a comprendere fino a che punto le proposte commerciali (hardware, software e servizi) dei principali operatori rispondono alla percezione del rischio di chi lavora su questo tema resta piuttosto complicato. «Nelle organizzazioni più mature, la sicurezza IT non è più solo un problema tecnico di qualcuno che lavora nell’IT, ma è un tema che coinvolge tanti ruoli aziendali diversi» – osserva Vercellino. «Idealmente, la sicurezza IT dovrebbe essere un mutuo consenso tra diverse figure aziendali e allo stesso tempo un traguardo mobile che si sposta di continuo insieme allo stato dell’arte. Scherzando, potremmo dire che chi lavora nella sicurezza IT non dovrebbe mai essere troppo soddisfatto, e senz’altro non dovrebbe mai abbassare la guardia». Ci si chiede allora quanto le aspettative di partenza siano influenzate da scelte e valutazioni ponderate. In che misura cioè il budget destinato alla sicurezza sia correttamente indirizzato verso le giuste priorità. A partire dall’importanza di preparare adeguatamente il terreno. «Prima di tutto, le aziende devono valutare quali sono i loro asset più preziosi e quali sono i tipi di attacchi che subiscono più spesso e attraverso quali canali. Solo dopo aver effettuato un’analisi completa della loro infrastruttura potranno decidere come allocare il budget, che oltre ai prodotti deve riguardare anche la formazione delle persone» – suggerisce Alessandro Fontana, system integrator alliance manager di Trend Micro Italia. «Vanno prese in considerazione le aree di rischio e rapportate con il valore del business. È importante effettuare una valutazione del rischio per poter stimare i possibili danni in termini economici derivanti da un attacco informatico e di conseguenza stabilire l’entità del budget da investire in soluzioni di sicurezza. Individuando le aree di maggiore criticità e investendo innanzitutto in servizi professionali a valore» – concorda Morten Lehn, general manager Italy di Kaspersky Lab. «Molto spesso si trascurano le aree vulnerabili o si vanno a rafforzare quelle dove il rischio è più basso. Così il budget non viene speso correttamente e non si ha un ROI apprezzabile».

Risk assessment, come individuare le priorità

Prima di spendere i loro budget per nuove tecnologie, le aziende dovrebbero condurre un risk assessment approfondito per comprendere meglio a quali rischi si espongono e a come farvi fronte per mitigare i rischi e individuare le corrette priorità. «Ci sono casi di aziende che si distinguono positivamente – riprende Alessandro Fontana di Trend Micro Italia – ma purtroppo la maggior parte di loro non spende bene, implementando diverse soluzioni in maniera contingente e senza una strategia». È necessario darsi una strategia e obiettivi efficaci, attraverso un approccio consulenziale e con il supporto di un system integrator. E dopo la fase di assessment, «l’azienda può decidere se affidarsi completamente a una sicurezza gestita attraverso il pagamento di un canone oppure implementare la security all’interno della propria infrastruttura gestendola autonomamente». Nel caso in cui prevalga la seconda opzione, il consiglio è di evitare l’errore di accumulare troppe soluzioni. «Quando si accumulano senza criterio strati di sicurezza possono sorgere conflitti tra software, rendendo le cose ancora più complicate di quel che già sono» – mette in guardia Enrico Sorge, responsabile cyber security di Italtel. Secondo il Cisco Annual Security Report, il 65 per cento delle aziende utilizza da 6 a oltre 50 prodotti per proteggersi. Quanto può essere allora complicato, in termini di competenze e velocità operativa, intervenire rapidamente per proteggere l’azienda? Secondo Sorge – «bisognerebbe sempre scegliere in qualità piuttosto che in quantità, affidandosi a soluzioni in grado di interoperare tra loro, in modo da automatizzare le attività quotidiane e rispondere più celermente alle emergenze durante il rilevamento di una minaccia. Perché la rapidità di contenimento è l’unico requisito assolutamente necessario per una corretta protezione».

Infatti, l’automazione dei processi critici di sicurezza, grazie anche all’astrazione delle infrastrutture, consente agli esperti IT di concentrare la loro attenzione altrove, per migliorare la difesa complessiva della rete. Lo scenario sempre più complesso delle minacce informatiche rende impossibile affidarsi a un solo prodotto. Tuttavia, come rileva Marco D’Elia, country manager di Sophos Italia è preferibile optare per un approccio sistemico, basato su soluzioni in grado di dialogare efficacemente tra loro per garantire il massimo della protezione su tutto il perimetro aziendale. Ma non solo. «Al fine di ottimizzare l’investimento dell’azienda, sia in termini economici sia di risorse umane dedicate all’IT security, è fondamentale che le aziende possano avvalersi di un’unica console di management unificata, in grado di ridurre sensibilmente tempi e costi di gestione».

#sicurezza Finance, Manufacturing e PA, i settori che investono di più
Click To Tweet

Reti senza confine e superfici di attacco in aumento

Morten Lehn di Kaspersky Lab mette in guardia dalla tendenza a investire in soluzioni tecnologiche complesse e costose, che risultano poco efficaci se non associate a un programma di formazione che abbia come obiettivo la security awareness. Si tratta di un’attività «con un basso impatto economico, ma con un alto tasso di rendimento se effettuata con gli strumenti e le metodologie adatte». Tentativi di misurare la security almeno in generale si sono sempre fatti. I risultati non sempre però sono stati all’altezza. Anche per via di un’adeguata preparazione. «Manca una cultura della misura, per cui non si stabilisce a priori, prima di affrontare la spesa in sicurezza, quale indicatore usare per capire se dopo la realizzazione del progetto si sarà più o meno soddisfatti. Ciò impedisce qualsiasi calcolo relativo alla resa dell’investimento. Se non sappiamo misurare il beneficio, non si potrà mai dire se ne è valsa la pena. In questi casi, il rischio di coltivare aspettative non correlate con la realtà e di conseguenza rimanere delusi dai risultati ottenuti, pochi o tanti che siano, è alto» – mette in guardia Cicognini di CLUSIT. Tuttavia, questi sforzi hanno una valenza diversa. Anzitutto per via delle pressioni provenienti dal board, che sempre più spesso pretende non solo un utilizzo del budget allineato a reali esigenze organizzative, ma che soluzioni e servizi acquistati restituiscano almeno una parte del valore dell’investimento. Qual è allora la distanza tra le richieste del board – quando ci sono e sono chiaramente formalizzate – e le capacità dell’IT di dare piena risposta? In che misura cioè l’IT è in grado di verificare se il budget destinato alla sicurezza è stato correttamente indirizzato verso le giuste priorità? Aspetti questi sui quali le aziende sono piuttosto restie a condividere le loro osservazioni. Atteggiamento peraltro legato a filo doppio all’atavica carenza di risorse da destinare alla sicurezza. Un gap comune sia nel pubblico che nel privato. Che finisce per incidere negativamente sulle decisioni di spesa.

Da anni CIO, CISO e tutte le figure coinvolte nel processo lottano perché le loro richieste vengano approvate. Un braccio di ferro che continua ancora oggi con modalità in parte immutate. Non stupisce allora constatare quanto sia ancora folta la schiera di coloro che pensano che il budget per la sicurezza rimanga una coperta troppo corta. «Molte aziende assegnano la maggior parte del loro budget a tre ambiti: rendere sicura la rete, aumentare i controlli su desktop e server, adottare meccanismi di gestione degli accessi sempre più raffinati. Questo approccio spesso però finisce per lasciare risorse limitate per le minacce negli ambiti cloud, dispositivi mobili e computer portatili» – conferma Cosimo Rizzo, sales engineering manager di PRES. «In realtà, una strategia di sicurezza efficace dovrebbe riuscire a proteggere l’organizzazione su tutti i fronti importanti per l’azienda. Come sottolineano i principali analisti del settore, oltre alla prevenzione, la capacità di rilevazione e di risposta agli incidenti di sicurezza, acquisisce sempre maggiore importanza. Ottenere visibilità attraverso sistemi avanzati per prendere le decisioni più opportune durante gli incidenti di sicurezza sarà una priorità fondamentale nei prossimi anni» – osserva Rizzo. Tanto più che «in virtù dell’evoluzione tecnologica, le reti non hanno più un confine definito e la superficie di attacco è drasticamente aumentata» – osserva Paolo Caloisi, director ETech BDM Italy & Malta di Fortinet. «Le aziende spesso scendono a compromessi, privilegiando le prestazioni di rete a danno della sicurezza. Questa strategia non potrà mai essere vincente. Come non lo è l’approccio “best of breed”. Per affrontare strategicamente la questione è necessaria una sicurezza intelligente e reattiva che offra visibilità su tutti gli elementi dell’infrastruttura in tempi rapidi. Solo una soluzione integrata può garantire un’efficace protezione a fronte della crescente complessità delle reti» – afferma Caloisi.

#sicurezza Reti senza confini e ROI poco chiari incidono sulle decisioni di spesa
Click To Tweet

Conclusioni

La distanza tra le buone intenzioni e la capacità di aziende e organizzazioni, di definire quali reali esigenze di security soddisfare, fatica ad accorciarsi. Non basta sapere che si vogliono difendere i propri asset né che si è in parte obbligati a farlo, per definire in modo granulare il proprio bisogno di sicurezza e le soluzioni che meglio lo soddisfano. Si tratta – come abbiamo visto – soprattutto di un vuoto culturale che intrappola le aziende in un limbo. Una bolla dentro alla quale faticano a elaborare una strategia di sicurezza che sia davvero il frutto del coinvolgimento fattivo di tutte le funzioni e di tutte le persone dell’organizzazione. Senza dubbio il tema dell’elaborazione di una strategia proattiva per la gestione della sicurezza è al centro del dibattito degli ultimi anni. Ma al di là degli slogan, e nonostante sul mercato esistano tante soluzioni che rispondono in modo soddisfacente alla gestione del rischio IT, la capacità di mettere insieme tecnologie distinte, orchestrando una strategia votata all’unificazione degli strumenti e alla prevenzione delle minacce è prima di tutto un tema di sviluppo organizzativo. Un obiettivo, che richiede l’intervento di figure specializzate in grado di gestire in modo credibile il tema di fronte al board. E non si tratta neppure di una mera questione di risorse. Anche se, senza dubbio, i budget stanziati dovrebbero e potrebbero essere più generosi. Ma che il denaro da solo non basti a elevare il livello di sicurezza in azienda lo dimostra l’andamento delle curve degli investimenti in sicurezza e del cybercrime, entrambe ascendenti. La sfida è aperta. Siamo solo agli inizi.

L'articolo Quale rapporto tra investimenti IT e sicurezza? Ecco come spendono le imprese proviene da Data Manager Online.