Come proteggere la supply chain del software

L’82% dei professionisti ritiene che la sicurezza della supply chain del software dovrebbe rappresentare una priorità, mentre solo il 7% sostiene che non lo sia affatto. Questa è una delle conclusioni principali del sondaggio Pulse che ha coinvolto 298 dirigenti tecnologici di aziende in Nord America, Europa, Africa e Asia.

Complessità della supply chain

Oggigiorno, le organizzazioni usano strumenti che provengono da fonti molto diverse. Oltre a software forniti da grandi aziende come Microsoft, SAP o Salesforce, stanno sempre più affidandosi a software di progetti Open Source. Questa diversità offre svariati vantaggi, come una scalabilità superiore e una maggiore aderenza alle esigenze aziendali specifiche. Tuttavia, genera anche una supply chain molto complicata, complessità che la rende un vettore per gli attacchi informatici.

Incidenti come quello di SolarWinds, di cui si è parlato in questo blog, hanno messo in evidenza questa problematica e le aziende sembrano comprendere la necessità di impegnarsi maggiormente a prevenire questi incidenti. Queste buone intenzioni però non si traducono sempre in buone pratiche: solo il 51% sostiene che la supply chain del software è inserita nella strategia di sicurezza informatica dell’organizzazione. Se si considera che il 35% dei partecipanti ha affermato di conoscere qualcuno la cui azienda è stata colpita da un attacco informatico alla supply chain, ciò è preoccupante.

Pregiudizi sulle minacce ed errore umano

C’è anche un pregiudizio in termini di percezione del rischio di minacce, che è più basso per le organizzazioni di proprietà dei partecipanti rispetto alle altre aziende. Infatti il 94% ritiene che questi attacchi informatici aumenteranno nei prossimi 12 mesi, ma quasi un terzo (32%) crede che ciò non succederà nella sua organizzazione.

Per impedire che questo avvenga, la maggior parte delle organizzazioni (57%) sta usando strumenti SIEM, il 51% ricorre a strumenti esterni di rilevazione delle minacce e sicurezza informatica e poco meno della metà (47%) sta implementando un’architettura di rete basata su un approccio Zero-Trust.

Tuttavia occorre ampliare l’adozione di questo approccio e l’implementazione di strumenti di rilevazione, poiché la formazione nelle buone pratiche della sicurezza informatica per i dipendenti è necessaria, ma insufficiente di per sé. Anche i dipendenti più preparati possono cadere nella trappola delle truffe di ingegneria sociale se queste ultime sono altamente personalizzate o sofisticate, come le "truffe dei CEO". Le organizzazioni sono consapevoli di ciò, motivo per cui il 72% ritiene che l’errore umano rappresenti il vettore principale di ingresso per gli attacchi informatici alla supply chain.

Strumenti avanzati di sicurezza informatica

I software di terze parti sono di per sé un importante vettore di attacco per il 62% delle aziende e, nel caso in cui siano open source, il loro codice rappresenta un importante vettore di attacco per il 42% delle aziende. È proprio per questo motivo che i professionisti valutano il rischio legato all’installazione di software di terze parti implementando varie misure, tra cui le più citate sono le certificazioni (59%), l’analisi della documentazione (56%) e l’uso di questionari (50%). Tuttavia, sono generalmente sicuri (59%) che le aziende di software riveleranno di essere state oggetto di un attacco informatico di questa natura non appena ne verranno a conoscenza.

Infine, uno dei dati più importanti del sondaggio è a chi attribuire la responsabilità di questi incidenti. Metà dei rispondenti (50%) ha citato le pratiche di sicurezza informatica inappropriate, il 56% ha indicato la mancanza di una strategia coordinata, ma il 60% ha citato in maniera specifica l’uso di strumenti di sicurezza informatica inadeguati.

Con gli hacker che cercano di compromettere la supply chain, è fondamentale che gli MSP dispongano di un portfolio di soluzioni avanzate da offrire ai loro clienti che sia facilmente gestibile dal Cloud e supportato da garanzie complete. Solo lavorando con una piattaforma di sicurezza unificata per i partner è possibile migliorare l’utilizzabilità generale e impedire ad attacchi informatici alla supply chain come SolarWinds o Kaseya di colpire nel segno.