Come cambiava la sicurezza informatica nel 2011?

TL;DR

Le vulnerabilità applicative e i dispositivi mobili erano diventati rischi prioritari, mentre cloud e social media ampliavano le responsabilità della sicurezza informatica. Lo studio, basato su oltre diecimila partecipanti, rilevava carenze di competenze, difficoltà nel far rispettare le policy e la necessità di integrare capacità tecniche, contrattuali e manageriali.

Transcript

Il mio nome è Ort Tiptan. Sono il direttore esecutivo di ISC Squared, un'organizzazione non profit famosa per la certificazione e la formazione di professionisti IT in tutto il mondo. Attualmente abbiamo settantacinquemila membri certificati, il che indica una crescita significativa. Ogni anno conduciamo un sondaggio globale che raccoglie opinioni,... Read More

Key Insights

• Oltre diecimila persone parteciparono per la prima volta allo studio globale sulla sicurezza.
• Il 61% degli intervistati proveniva dalle Americhe, con ampia presenza europea e asiatica.
• Il 68% considerava i dispositivi mobili un rischio significativo per la propria organizzazione.
• Il 69% disponeva di una policy formale per mitigare i rischi legati al mobile computing.
• La crittografia era la misura mobile più citata, indicata dal 71% dei partecipanti.
• Il 74% riteneva necessarie nuove competenze per affrontare le preoccupazioni sul cloud.
• Il 90% chiedeva una comprensione più dettagliata del funzionamento effettivo del cloud.
• Il 73% identificava le vulnerabilità delle applicazioni come la principale minaccia.
• Il 28% non applicava restrizioni all'uso dei social media da parte dei dipendenti.
• Il 20% dei professionisti intervistati partecipava ormai anche allo sviluppo software.

Questions & Answers

Q: Quali erano le principali minacce alla sicurezza informatica nel 2011?

Le vulnerabilità delle applicazioni occupavano il primo posto tra le preoccupazioni, con il 73% degli intervistati che le identificava come minaccia principale. Anche virus, worm e dispositivi mobili figuravano tra i rischi più rilevanti. Rispetto agli studi precedenti, applicazioni e mobile avevano guadagnato rapidamente importanza, pur non essendo nemmeno considerati pochi anni prima. La minaccia interna rappresentata dai dipendenti rimaneva significativa, ma la preoccupazione relativa risultava in diminuzione. La diffusione di nuovi dispositivi e applicazioni stava creando ulteriori vettori di vulnerabilità.

Q: Perché i dispositivi mobili rappresentavano un rischio significativo?

Il 68% degli intervistati considerava i dispositivi di mobile computing un rischio significativo per la propria organizzazione. Questi strumenti permettevano di installare numerose applicazioni, talvolta senza controllo amministrativo, introducendo nuovi percorsi di attacco. La situazione diventava più complessa quando le aziende consentivano ai dipendenti di collegare dispositivi personali alla rete, mescolando dati aziendali e personali. Ne derivavano problemi di configurazione, gestione e conformità. Anche con policy formali, gli utenti riuscivano spesso a muoversi creativamente dentro e fuori dai controlli predisposti dall'organizzazione.

Q: Come affrontavano le organizzazioni i rischi dei dispositivi mobili?

Il 69% degli intervistati dichiarava di avere una policy formale per mitigare e monitorare i rischi dei dispositivi mobili, mentre il restante 31% ne era privo. La crittografia era la misura più citata, con il 71%, seguita da altre soluzioni fino alla gestione dei diritti digitali. La presenza di regole, tuttavia, non assicurava il rispetto effettivo delle stesse. Gli utenti potevano aggirare i controlli e l'impiego contemporaneo di dispositivi aziendali e personali rendeva più difficili configurazione, amministrazione e protezione dei dati.

Q: Quali preoccupazioni sollevava il cloud computing?

Il cloud computing suscitava soprattutto timori per la fuga di dati, la perdita di riservatezza e l'esposizione a sistemi o personale non autorizzato, indicate entrambe all'85%. I professionisti non si sentivano a proprio agio nel trasferire database nel cloud perché, cedendo la custodia dei dati, non comprendevano pienamente dove si trovassero, chi potesse accedervi e come controllarli. Il 90% chiedeva una conoscenza più dettagliata del funzionamento del cloud, mentre il 74% riteneva necessarie nuove competenze per affrontarne adeguatamente i rischi.

Q: Perché i contratti e gli SLA erano importanti per la sicurezza del cloud?

I contratti e gli accordi sul livello di servizio dovevano definire chiaramente come il fornitore avrebbe protetto i dati affidati al cloud. Le questioni da disciplinare comprendevano ubicazione dei dati, diritti di accesso, monitoraggio, conformità e responsabilità del fornitore. Poiché non era possibile prevedere ogni esigenza fin dall'inizio, lo studio sottolineava la necessità di modificare e adattare continuamente contratti e SLA. Questa evoluzione trasformava i professionisti della sicurezza anche in gestori contrattuali, chiamati a verificare che le condizioni concordate fossero realmente rispettate.

Q: Come cambiavano le competenze richieste ai professionisti della sicurezza?

La competenza tecnica restava essenziale, ma non era più sufficiente. I professionisti dedicavano molto tempo alla ricerca di nuove tecnologie per mantenere aggiornate le proprie capacità, mentre le loro responsabilità si estendevano alla promozione della sicurezza presso l'alta dirigenza e alla consulenza ai clienti. Il cloud richiedeva inoltre comprensione di contratti, SLA e conformità dei fornitori. Il 20% degli intervistati aveva ormai un ruolo nello sviluppo software, sia applicativo sia nella progettazione dei sistemi, mostrando una crescente integrazione della sicurezza nei processi aziendali e tecnici.

Q: Quali rischi derivavano dall'uso dei social media in azienda?

I professionisti della sicurezza non apparivano ancora pienamente preparati ad affrontare le minacce dei social media. Le organizzazioni cercavano di controllarne l'accesso tramite filtraggio dei contenuti, tecnologie web e definizione e applicazione di policy. Tuttavia, il 28% degli intervistati ammetteva di non imporre alcuna restrizione all'uso dei social media da parte dei dipendenti. Questa assenza di controlli esponeva le aziende a perdita di dati proprietari e problemi di privacy, rendendo urgente una gestione più efficace sia delle regole sia della loro conformità.

Q: Come doveva essere integrata la sicurezza nel ciclo di vita delle applicazioni?

La sicurezza doveva accompagnare l'intero ciclo di vita di un'applicazione, dalle specifiche dei requisiti fino a sviluppo, test, debug, manutenzione e integrazione degli strumenti associati. Le fasi che ricevevano maggiore attenzione erano la definizione dei requisiti e il collaudo, ma ogni passaggio presentava preoccupazioni specifiche. Il problema riguardava sia le piccole applicazioni mobili sia i sistemi principali. Il livello di controllo poteva inoltre variare secondo la piattaforma e il sistema operativo, soprattutto quando le app venivano installate senza supervisione amministrativa su piattaforme aperte.

Q: Che cosa indicava lo studio sul mercato del lavoro nella sicurezza informatica?

Lo studio prevedeva un aumento dei budget e della spesa destinati alla sicurezza, mentre gli stipendi erano rimasti relativamente solidi nonostante la recessione globale. La crescita delle responsabilità professionali accompagnava questa stabilità: ricerca tecnologica, consulenza, comunicazione con l'alta dirigenza, sviluppo software e gestione dei contratti cloud si aggiungevano alle attività tecniche tradizionali. Il relatore riportava inoltre l'idea, ascoltata anche da altre fonti, che la professione della sicurezza informatica fosse in quel momento quasi resistente alla recessione, pur senza presentarla come una garanzia assoluta.

Summary & Key Takeaways

• Lo studio globale superò per la prima volta diecimila partecipanti, provenienti da aziende e organizzazioni pubbliche nelle Americhe, in Europa e nell'area Asia Pacifico, oltre che da diversi settori professionali.

• Il 68% considerava il mobile computing un rischio significativo e il 69% disponeva di una policy formale, ma conformità, dispositivi personali, configurazione e applicazioni restavano problemi aperti.

• Cloud, social media e vulnerabilità applicative richiedevano nuove competenze. Il 74% chiedeva capacità aggiuntive per il cloud, mentre il 73% indicava le applicazioni come minaccia principale.