Mese: gennaio 2021

Ho avuto un giro di incontri e dialoghi fortunati (virtuali ovviamente): in tre occasioni, a distanza di pochi giorni, ho potuto discutere con altrettanti manager e figure di responsabilità di tre aziende molto strutturate — dimensioni oserei dire “ginormiche” — in merito alla gestione della sicurezza cyber all’interno del processo creativo e produttivo.

Nonostante le differenze a livello di modello di business e di mercato (il comune denominatore è la realizzazione di device interconnessi) delle tre organizzazioni il tema era sostanzialmente lo stesso e ruotava attorno alla stessa domanda: come si può implementare un modello di sviluppo che dia delle garanzie sulla sicurezza del prodotto finale dal punto di vista dell’esposizione alle minacce cyber?

La portata del tema, credo sia chiaro, è immensa… è ovvio che le garanzie sulla sicurezza dei device (per lo più IoT in questo caso) che si connettono alle reti domestiche ed aziendali diventeranno un termine di paragone per l’utenza che ne dovrà valutare l’acquisto e l’impiego, su questo credo non ci siano dubbi.
La mia riflessione è però relativa ad un altra questione: è meritevole di attenzione l’approccio che le organizzazioni adotteranno per avviare un processo di crescita virtuoso che parta dalle fondamenta delle organizzazioni stesse, dalle persone.

Le persone, oltre ad essere il propulsore delle organizzazioni, sono anche parte della “miscela propulsiva” con le loro idee e le loro attitudini. Un corretto approccio alla gestione della sicurezza informatica, maturato all’interno di un percorso di consapevolezza, è ciò che potrebbe portare i componenti delle organizzazioni a farsi delle domande sul modo in cui agiscono (nel privato come in un contesto lavorativo), sulle procedure che seguono (e che non seguono), sul design di una soluzione, sugli impatti di una scelta strategica.

Mettere in discussione il modello corrente, individuandone e correggendone le falle, è ciò che consentirà alle organizzazioni di crescere. Se questo percorso viene indotto coinvolgendo gli interessati, ovvero i creatori e gli utilizzatori del “modello corrente”, non solo vi sarà l’opportunità di migliorare il modello ma si potrà instillare nei membri dell’organizzazione la capacità di mettere in discussione i modelli in uso al fine di migliorarli.

Esco dalla narrazione dei concetti e torno nel “mondo vero”. Mettendo in discussione il processo, ad esempio, di sviluppo software (vale per qualsiasi processo) di una divisione aziendale che si occupa di scrivere parte di una applicazione o del firmware di un device posso verificare se il modus operandi del team è, in qualche modo, exploitable. Esiste una procedura di validazione del codice? E’ documentata e nota a tutti? Viene rispettata? Come viene gestito il codice? Come viene eseguito il testing della soluzione? Esiste un piano di remediation? Esiste un piano di analisi dei bug? […] Io, da solo, posso formulare un centinaio di domande solo per questo contesto… un team interdisciplinare con specifiche competenze e con il corretto mindset è la base per iniziare mettere in discussione il modello, per perfezionarlo e per contagiare (mi concederete il termine) l’intero team di sviluppo e gli altri team affinché il modello diventi parte dell’organizzazione stessa. Da processo ad approccio.

Una nota conclusiva forse banale ma che mi ha fatto riflettere: il fatto che mi sia trovato a discutere questo tema con più persone di uno specifico settore non è da leggersi come una coincidenza, è un trend, un meraviglioso trend che porta le organizzazioni a ragionare sul valore del prodotto finale e sugli impatti delle scelte che sono chiamate a fare in tema di gestione della sicurezza informatica e tutela della privacy.

Di per se il concetto è molto semplice: viene colpito un elemento vulnerabile di una organizzazione in un contesto di intima relazione con altre organizzazioni al fine di colpire l’intero cluster.

Le organizzazioni (aziende, enti privati e pubblici, associazioni, ecc) sono oggi molto legate tra loro in rapporti di cooperazione, fornitura di asset e servizi, partnership. E’ del tutto ovvio, se non indispensabile, che si avviino relazioni intime in cui le stesse fondamenta dell’organizzazione dipendono dai servizi erogati dai propri partner. Viviamo quindi in un contesto sociale e di mercato in cui nulla è isolato dal resto del mondo e pochi elementi di questa maglia possono influire sull’intera struttura.

Banalizzando: se la mia azienda vende prodotti o servizi tramite una piattaforma online, ospitata da una qualsiasi piattaforma cloud che il mercato offre, è ovvio che un fault sulla piattaforma in questione si ripercuote sul mio business e sulla mia reputazione; in un contesto di security incident questa proprietà transitiva rischia di essere parecchio fastidiosa. E’ inoltre ovvio che se il servizio da me erogato non è fruibile o ha subito un incidente riguardante — ad esempio — il furto di dati, l’impatto di ciò che è accaduto al mio fornitore arriva a toccare al mio cliente finale che, tipicamente, verrà da me a chiedere spiegazioni.

Legami di questo tipo esistono a tutti i livelli e possiamo fare mille esempi. Gli studi professionali gestiscono dati talvolta riservati dei propri clienti e probabilmente lo fanno tramite un sistema informatico che, a sua volta, è gestito da personale interno o esterno che deve necessariamente dotarsi di strumenti e tecnologia. Hardware e software vengono tipicamente acquistati da aziende specializzate nella produzione di questi asset o acquisiti a servizio per sostituire soluzioni on premise.
Un’anomalia software dal punto di vista della sicurezza informatica mette quindi a repentaglio l’organizzazione che utilizza il software/servizio che presenta l’anomalia, ma anche i dati che vengono con esso gestiti. Ne siamo tutti ben consapevoli.

Ciò che è recentemente accaduto a SolarWinds è semplicemente l’esempio di più eclatante per impatto, ma la modalità è sempre quella: SolarWinds è stata colpita direttamente al fine di manomettere il software dalla stessa azienda distribuito. A seguito del rilascio delle nuove versioni, opportunamente modificate degli attacker, le organizzazioni clienti (e che organizzazioni) hanno di fatto installato una versione vulnerabile la cui falla era ben nota agli attacker che hanno così potuto colpire, senza troppa fatica, i clienti di SolatWinds tra cui ci sono nomi come il Pentagono, la NASA, la NSA e Microsoft. Letteralmente un disastro, un meteorite di cui i danni dell’impatto non sono ancora chiari.

Ma questo è solo un evento, l’ennesimo, non è il messaggio che voglio condividere. La riflessione su cui vorrei portarvi si riferisce all’esigenza di cambiare modo di ragionare in relazione all’approccio alla sicurezza informatica. Dobbiamo uscire dalla gabbia mentale in cui ci siamo chiusi per anni dove la sicurezza di fa acquistando una soluzione o un servizio.

Nell’attuale contesto il tema lo si affronta con la volontà di agire secondo una logica cyber-sicura, le nostre organizzazioni devono essere intrinsecamente sicure: dobbiamo implementare processi sicuri, dobbiamo imparare ad usare gli strumenti in modo sicuro, comunicare in modo sicuro, gestire i dati in modo sicuro, lavorare in modo sicuro a tutti i livelli (non solo IT).

Costruire una cultura della sicurezza informatica ci porterà a realizzare prodotti e servizi che sin dalle fasi di design saranno stati concepiti in un contesto dove la sicurezza dei dati e delle infrastrutture era un valore intrinseco del processo di produzione, valore che può essere trasferito nel risultato del nostro lavoro e come tale verrà percepito dai nostri clienti e collaboratori.

Le nostre organizzazioni fanno parte della stessa enorme catena: impariamo a collaborare con anelli robusti ed accertiamoci di essere un anello robusto con cui sia vantaggioso collaborare.