Perché la tua azienda può liberare il suo vero potenziale e raggiungere la crescita

Quando un avviso relativo a una vulnerabilità di sicurezza critica raggiunge un ambiente IT tradizionale , raramente si scatena il panico per la continuità operativa. I laptop, i server e le applicazioni interessati possono essere identificati rapidamente e un team qualificato può indicizzarli e applicare le patch in poche ore, se la situazione è urgente. Le priorità sono chiare e non c'è spazio per le congetture.

Ora immaginate che lo stesso allarme raggiunga le apparecchiature di diagnostica per immagini in un ospedale, i sistemi di controllo in uno stabilimento industriale o la rete di riscaldamento, ventilazione e condizionamento dell'aria (HVAC) di un edificio. Questi sistemi ciberfisici (CPS), ovvero i dispositivi connessi che gestiscono le operazioni fisiche anziché limitarsi a elaborare dati, sono al centro della convergenza tra tecnologie dell'informazione (IT) e tecnologie operative (OT).

A differenza dei principi IT tradizionali, però, confermare se questo avviso si applica a un determinato dispositivo può richiedere giorni e spesso si conclude con delle ipotesi piuttosto che con una risposta definitiva.

Sebbene questo tipo di incertezza rappresenti una mancanza di igiene di base, purtroppo, per i sistemi ciberfisici, è spesso la norma.

Perché questo problema è così diffuso nei sistemi ciberfisici (CPS) e come possono i team di sicurezza ripristinare la compatibilità di queste risorse critiche con la propria rete IT?

La scarsa visibilità nei sistemi ciberfisici è un problema allarmantemente diffuso.

L'incapacità di gestire le vulnerabilità di sicurezza in arrivo ai sistemi ciberfisici (CPS) non è un'anomalia o uno scenario peggiore, ed è particolarmente preoccupante quando queste risorse sono al centro di infrastrutture critiche come quelle energetiche e sanitarie.

Il problema risiede nei codici prodotto che aiutano le reti a identificare quali sistemi informatici fisici (CPS) sono presenti nell'ambiente, un aspetto cruciale per l'identificazione e l'applicazione delle patch di sicurezza.

In un set di dati di 17 milioni di beni digitali fisici, la nostra ricerca ha rilevato che l'88% non ha inviato un codice prodotto corretto e il 76% ha inviato un codice che non corrispondeva a quello registrato dal venditore.

Questo è un effetto collaterale del modo in cui questi sistemi sono stati inizialmente progettati e successivamente integrati negli ambienti IT moderni. I controllori logici programmabili (PLC), gli scanner medicali e i sensori industriali sono stati progettati per garantire decenni di affidabilità fisica, non per una classificazione digitale strutturata. L'identificazione di rete raramente faceva parte del progetto, quindi lo stesso dispositivo poteva segnalare la propria identità in modo diverso a seconda del protocollo o dell'integrazione che richiedeva le informazioni.

Abbiamo riscontrato una situazione simile per quanto riguarda i sistemi operativi che supportano i dispositivi fisici. Nella nostra ricerca, il 41% dei dispositivi non presentava informazioni sulla versione del sistema operativo (SO) e il 24% non aveva alcun nome del sistema operativo.

Senza questi dettagli, associare il dispositivo a una vulnerabilità di sicurezza nota diventa impossibile tramite una rapida ricerca nei database o processi automatizzati, e si riduce a mere congetture o a una laboriosa ricerca manuale.

Inoltre, gli avvisi CVE, il meccanismo standard del settore per il monitoraggio delle vulnerabilità, vengono raccolti dagli stessi dati incompleti dei fornitori. Pertanto, l'avviso ufficiale può essere altrettanto imperfetto quanto la rete che dovrebbe proteggere.

Trasformare il caos nella codifica dei prodotti in rischi a livello di consiglio di amministrazione

Questo tipo di punto cieco aggiunge un ulteriore livello di ansia per i leader già stressati dalla visibilità delle minacce. Dei 1100 responsabili della sicurezza intervistati a livello globale, il 44% ha indicato la comprensione della vulnerabilità della propria organizzazione come una delle maggiori preoccupazioni operative, superando le pressioni in materia di conformità o i vincoli di budget.

Inoltre, il 45% ha dichiarato di avere difficoltà a mitigare i rischi informatici per le proprie risorse e operazioni più critiche; tuttavia, il legame tra questa difficoltà e un inventario delle risorse completamente inaffidabile viene spesso trascurato. La dirigenza vede il sintomo – la crescente sensazione che i rischi siano incontrollabili – senza mai individuarne la causa sottostante.

È qui che i team di sicurezza e quelli aziendali possono finire per parlare lingue diverse e non capirsi. I team di sicurezza che iniziano descrivendo il problema in termini di codici prodotto mancanti e convenzioni di denominazione incoerenti non faranno molti progressi.

I dirigenti aziendali non sentono nulla di tutto ciò; tutto ciò che sentono è che il rischio non può essere misurato in modo affidabile. Finché queste due conversazioni non saranno collegate, ogni report sui rischi che il CISO presenta al management senior sarà contrassegnato da un asterisco che nessun altro nella stanza può vedere.

Il contesto è fondamentale per colmare il divario.

Risolvere questo problema inizia con un cambiamento di prospettiva nel concetto di visibilità completa. Sapere semplicemente che un dispositivo esiste sulla rete è solo metà dell'opera. Comprendere la sua funzione, i processi che supporta e cosa accadrebbe se venisse compromesso è ciò che rende davvero utile una valutazione del rischio.

Per realizzare questa trasformazione su larga scala sono necessari strumenti specializzati per gestire la natura diversificata e specifica degli asset dei sistemi di controllo industriale (CPS) e un approccio automatizzato per affrontare questa vasta gamma.

Ad esempio, l'applicazione di tecniche di mappatura basate sull'intelligenza artificiale al catalogo dei dispositivi di un produttore di apparecchiature originali (OEM) ha aumentato il tasso di identificazione del codice prodotto dal 4% all'83%, trasformando un punto quasi cieco in un quadro pressoché completo. Altrettanto importante è stato il follow-up: di conseguenza, il 56% dei dispositivi ha ricevuto una raccomandazione per aggiornare o modificare il firmware e l'accuratezza dell'identificazione delle vulnerabilità è migliorata del 25%.

Questi dati sono significativi perché cambiano il tipo di domande a cui i team di sicurezza possono rispondere. Invece di chiedere informazioni sui dispositivi connessi alla rete, i team possono chiedersi quali sistemi causerebbero i maggiori disagi in caso di compromissione e agire di conseguenza con sicurezza, anziché basandosi su semplici supposizioni. Questa è la differenza tra un inventario delle risorse su carta e un inventario resiliente in grado di resistere alle pressioni.

Bisogna sistemare le fondamenta, non limitarsi a disattivare l'allarme.

Nessuno di questi problemi può essere risolto semplicemente aggiungendo un altro strumento a quello già esistente. Al contrario, è necessario considerare la qualità dei dati relativi agli asset come una questione di rischio a livello di consiglio di amministrazione, e non solo come una normale attività IT, applicando lo stesso livello di rigore che viene riservato a budget, conformità e accesso di terzi.

Raggiungere questo obiettivo significa che un nuovo avviso CVE non crea più confusione su quali dispositivi critici potrebbero essere interessati, ma piuttosto una risposta sicura e prioritaria, come ci si aspetterebbe da qualsiasi buon programma di gestione delle vulnerabilità.

Gestire un allarme su apparecchiature di diagnostica per immagini ospedaliere o su sistemi di controllo di produzione non dovrebbe essere più complicato che gestire un allarme su un computer portatile. Il primo passo è rendere visibile ciò che è invisibile.