Perché la sicurezza informatica peggiorerà prima di migliorare

Chris Krebs, il primo direttore della Cybersecurity and Infrastructure Security Agency (CISA), parte del Dipartimento per la sicurezza interna degli Stati Uniti, ritiene che la sicurezza delle informazioni peggiorerà prima di migliorare. Krebs, ora partner fondatore della società di consulenza Krebs Stamos Group, ha aperto la conferenza sulla sicurezza delle informazioni Black Hat USA 2022 con un discorso programmatico il 10 agosto.

Guardando al presente e al futuro del panorama della sicurezza, Krebs ha posto tre domande principali: perché è così grave in questo momento? Perché peggiorerà? Cosa possono fare gli stakeholder per migliorare le prospettive?

Perché è così cattivo?

Krebs ha identificato quattro fattori principali che stanno plasmando le odierne sfide alla sicurezza informatica.

1. Tecnologia: “La sicurezza è vista come attrito”, ha spiegato Krebs. In questo momento, il software è vulnerabile perché l’obiettivo è migliorare la produttività e essere i primi a entrare sul mercato, piuttosto che rallentare per garantire la sicurezza.

La pandemia di COVID-19 ha accelerato l’adozione del cloud, che ha portato vantaggi innegabili. Ma ha anche ridotto la trasparenza e aumentato la complessità. “Stiamo integrando sempre più prodotti non sicuri nei casi d’uso”, ha affermato Krebs. “Stiamo rendendo più complicata la gestione del rischio”.

2. Cattivi attori: Con l’aumento della diversità dei prodotti e della complessità dei casi d’uso, aumenta anche la superficie di attacco. I criminali informatici stanno monetizzando le vulnerabilità attraverso attacchi come il ransomware.

3. Governo: Il governo degli Stati Uniti lotta per bilanciare la necessità di una regolamentazione efficace con il desiderio di innovazione, secondo Krebs. E il regolamento in vigore non è necessariamente efficace. “Vediamo un’eccessiva dipendenza dalle liste di controllo e dalla conformità piuttosto che dai risultati basati sulle prestazioni”, ha affermato.

4 persone: La sicurezza informatica deve affrontare sfide di leadership e forza lavoro. “Il CEO che interpreta il rischio informatico come rischio aziendale è raro”, ha affermato Krebs. Ha anche espresso la necessità di una maggiore istruzione, aprendo la porta prima e preparando più persone a entrare nel mondo del lavoro.

Perché peggiorerà?

Krebs ha passato del tempo a parlare con i leader della rete, chiedendo loro la loro opinione sulle prospettive a breve e lungo termine per la sicurezza delle informazioni. La risposta collettiva è stata ribassista nel breve termine e rialzista nel lungo termine.

Nel breve termine, la sfida della complessità non potrà che crescere. Sempre più cose saranno connesse a Internet, generando sempre più dati. “I fornitori di tecnologia stanno affrontando alcune delle vulnerabilità sottostanti, ma sta accadendo al ritmo che vogliamo?” chiese Krebs.

Mentre le soluzioni di sicurezza cercano di recuperare il ritardo, i malintenzionati continuano a accumulare vittorie. “Finché non avremo conseguenze significative e non imporremo loro dei costi, continueranno”, ha affermato Krebs.

Krebs ha anche espresso la necessità che il governo ripensi il modo in cui interagisce con la tecnologia. “Sono pronto a sostenere che l’ambiente digitale intorno a noi è cambiato in modo così drammatico negli ultimi 25 anni mentre il nostro governo non ha tenuto il passo”, ha affermato. Fare grandi cambiamenti di governo richiede tempo.

Mentre l’attacco informatico alla Colonial Pipeline avvenuto nel 2021 potrebbe essere stato un campanello d’allarme per alcuni leader, Krebs ha parlato della necessità di una maggiore leadership per riconoscere la sicurezza informatica come un problema a livello di consiglio di amministrazione e per pianificare anni, anziché trimestri, in anticipo.

Ha offerto un esempio specifico della necessità di una pianificazione a lungo termine. Sebbene la certezza e la tempistica di un’invasione cinese di Taiwan non siano chiare, Krebs ha consigliato alle organizzazioni di iniziare a pensare alla possibilità ora. “Se vuoi segmentare fisicamente le tue reti a Taiwan, devi iniziare ora. Abbiamo bisogno che le organizzazioni pensino al futuro”, ha affermato.

Come migliorerà la sicurezza?

Sebbene l’attuale ambiente di sicurezza sia irto di ostacoli, Krebs è ottimista per il futuro. Ha esortato i fornitori di tecnologia a concentrarsi su qualcosa di più della semplice creazione di prodotti per l’avanguardia. “Dobbiamo risolvere i problemi difficili che continuano a persistere. Potrebbe avere un impatto sui profitti della tua attività di servizi di sicurezza, ma è più importante risolvere le sfide sottostanti, piuttosto che il cerotto al limite”, ha affermato Krebs.

Krebs ha anche sostenuto l’escalation delle conseguenze per i criminali informatici “Dobbiamo passare da indagini a lungo termine ad azioni più dirompenti”, ha affermato. Ha indicato la sanzione del mixer di valuta virtuale Tornado Cash come un passo nella giusta direzione.

Da parte del governo, CISA ha continuato a ricevere finanziamenti, un’indicazione positiva, ma Krebs vuole vedere maggiori progressi. “Continuare a investire e costruire CISA; rendere più facile e meno complesso per le organizzazioni lavorare con il governo”, ha affermato.

La sicurezza informatica deve ancora far fronte a una carenza di talenti, ma Krebs è ottimista riguardo alla forza lavoro. “Ogni giorno che passa, la nostra forza lavoro diventa sempre più nativa della tecnologia”, ha affermato.

Alla fine, Krebs ha riposto la sua fiducia nelle persone per creare un futuro più luminoso per la sicurezza. “Non sono abbastanza ingenuo da pensare che i fornitori di tecnologia [and] il governo da solo risolverà questo problema… Dipenderà dalle persone in questa stanza. Questa comunità. Ci vorranno come leader per apportare i cambiamenti che vogliamo vedere”.

Cosa leggere dopo:

Come i cyberattaccanti stanno coltivando nuove strategie e riconfigurando i classici Gambit

Bollettino sulla politica tecnologica globale di luglio 2022: dalla vittoria del chip di Biden alla privacy dei dati post-roe

Studio rapido: cyber resilienza e rischio

.

Leave a Comment

Your email address will not be published. Required fields are marked *