Exprivia a WeSec. La sicurezza oltre la protezione: dalla resilienza del sistema alla sicurezza del codice

Exprivia sarà tra le protagoniste a WeSec – Il Salone della Sicurezza, evento promosso da ABI, che si presenta alla sua prima edizione a Milano il 22 e 23 settembre, presso l’Allianz MiCo Nord, North Wing. S News è tra i Partners dell’evento.

Molti i temi che Exprivia approfondirà partecipando a sessioni di lavoro e organizzando ben 3 tavole rotonde, in collaborazione con S News.

Nel focus che segue, a cura di Domenico Raguseo, Head of Cybersecurity del Gruppo Exprivia, vengono approfondite alcune delle tematiche che saranno prese in esame da Exprivia a WeSec, Il Salone della Sicurezza di ABI.

EXPRIVIA A WESEC. LA SICUREZZA OLTRE LA PROTEZIONE: DALLA RESILIENZA DEL SISTEMA ALLA SICUREZZA DEL CODICE

di Domenico Raguseo

La sicurezza non può più essere considerata come un insieme di funzioni separate, affidate a strumenti, competenze o strutture organizzative differenti. L’evoluzione dello scenario geopolitico, tecnologico e digitale ha modificato profondamente la natura del rischio: attacchi informatici, frodi, compromissione delle identità, vulnerabilità delle infrastrutture, esposizione dei dati e minacce fisiche non sono più fenomeni indipendenti, ma parti di uno stesso sistema.
Le organizzazioni operano oggi all’interno di ecosistemi complessi, nei quali applicazioni, persone, identità digitali, dispositivi, reti, infrastrutture cloud, fornitori e servizi esterni sono continuamente connessi e interdipendenti. Un attacco può partire da un’identità compromessa, da un’informazione esposta, da un servizio di terze parti o da un dispositivo secondario e propagarsi rapidamente verso risorse molto più critiche. Per questo motivo non è più sufficiente chiedersi come impedire ogni singolo attacco. La domanda diventa più ampia: quanto è capace un’organizzazione di continuare a operare quando una delle sue difese viene superata?

Dalla protezione alla resilienza

Per lungo tempo la sicurezza è stata interpretata soprattutto come capacità di prevenire e bloccare una minaccia. Investire in controlli, sistemi di protezione e capacità di rilevazione rimane naturalmente indispensabile, ma non è più sufficiente.
La crescita e la sofisticazione degli attacchi rendono irrealistico pensare che ogni tentativo di compromissione possa essere intercettato prima di produrre effetti. Una strategia di sicurezza realmente efficace deve quindi prevedere anche ciò che accade quando un attacco riesce a superare una barriera.
La resilienza consiste nella capacità di limitare l’impatto, mantenere operative le funzioni essenziali, proteggere le informazioni critiche, ridurre i tempi di interruzione e recuperare rapidamente le condizioni di normalità.
Non è quindi un elemento da aggiungere alla sicurezza dopo aver progettato sistemi e processi. Deve diventare una caratteristica del modo stesso in cui l’organizzazione viene progettata e gestita.
Questo cambia anche il significato della cybersecurity: da funzione prevalentemente difensiva diventa una vera capacità del business, legata alla continuità operativa, alla fiducia e alla possibilità di innovare in un ambiente caratterizzato da rischio crescente.

Il perimetro non esiste più

La trasformazione digitale ha progressivamente reso insufficiente il concetto tradizionale di perimetro. Un’applicazione non vive isolata. Interagisce con server, endpoint, database, reti, identità, ambienti cloud e utenti. A loro volta, questi elementi possono dipendere da servizi esterni, fornitori e altre componenti dell’ecosistema digitale. Di conseguenza, la vulnerabilità di un singolo componente non può essere valutata esclusivamente in base alla sua natura tecnica. Il rischio dipende anche dalla sua criticità, dal livello di esposizione, dalle connessioni che possiede, dalla possibilità concreta di sfruttamento e dalle conseguenze che una compromissione potrebbe generare.
Lo stesso principio vale per le persone e per le identità.
Phishing e social engineering continuano a sfruttare il fattore umano, mentre malware, infostealer e strumenti di accesso remoto possono trasformare una compromissione iniziale in un punto di ingresso verso sistemi e informazioni di maggiore valore. Il dato rimane uno degli obiettivi principali e la sua esposizione può diventare il punto di partenza di una catena di attacco molto più ampia.
La sicurezza deve quindi seguire le relazioni tra gli elementi, non soltanto gli elementi stessi.

La sicurezza comincia dal codice

Se applicazioni e servizi rappresentano una componente fondamentale dell’ecosistema digitale, la sicurezza non può essere introdotta soltanto quando il software è già operativo.
Deve iniziare durante il suo sviluppo.
La sicurezza del codice significa inserire controllo, tracciabilità e verificabilità all’interno del processo di realizzazione del software. Le modifiche devono essere conoscibili, verificabili e autorizzate; lo sviluppo deve consentire collaborazione e parallelizzazione senza perdere il controllo delle variazioni; attività di revisione, test e sicurezza devono essere integrate nel ciclo di sviluppo. Questo approccio permette di spostare la sicurezza a monte, riducendo la distanza tra sviluppo e protezione.
Il software, infatti, non è un oggetto statico. Cambia continuamente. Nuove funzionalità, nuove dipendenze, aggiornamenti e modifiche possono introdurre nuove condizioni di esposizione. Per questo la sicurezza del codice non può essere interpretata come un controllo eseguito una sola volta, ma come parte di un processo continuo. La qualità del software e la sicurezza diventano così aspetti dello stesso ciclo.

Dallo sviluppo alla protezione continua

Quando il software entra in produzione, il problema non termina. Cambiano gli assets, cambiano le configurazioni, cambiano i comportamenti degli utenti e cambiano le minacce. Serve quindi una capacità continua di osservazione e protezione.
Per intervenire in modo efficace occorre disporre di una visione aggiornata degli endpoints, delle reti e delle identità e poter riconoscere comportamenti anomali o condizioni che richiedono attenzione.
La protezione non è più soltanto una sequenza di controlli isolati, ma un ciclo nel quale osservazione, analisi, correlazione e risposta devono alimentarsi reciprocamente.
L’automazione assume in questo contesto un ruolo importante: alcune azioni possono essere eseguite rapidamente sulla base di eventi e condizioni rilevate, dall’isolamento di un sistema alla modifica di una policy, fino alla raccolta automatica delle informazioni necessarie a comprendere un incidente.
L’obiettivo non è sostituire il giudizio umano, ma aumentare la velocità e la capacità di risposta di fronte a fenomeni che possono evolvere più rapidamente delle possibilità di intervento manuale.

Conoscere gli assets prima di proteggerli

Non è possibile proteggere efficacemente ciò che non si conosce. La gestione della sicurezza richiede quindi una conoscenza dinamica degli assets presenti nell’organizzazione: quali sono, quale funzione svolgono, quanto sono critici, da cosa dipendono, con cosa comunicano e quale livello di esposizione presentano. Un inventario statico non è sufficiente in un ambiente nel quale infrastrutture e applicazioni cambiano continuamente.
L’asset intelligence diventa per questo una componente fondamentale del modello di sicurezza: permette di trasformare la semplice conoscenza dell’esistenza di una risorsa nella comprensione del suo ruolo all’interno dell’ecosistema e, soprattutto, della sua importanza rispetto al rischio complessivo.
Una vulnerabilità, infatti, non ha lo stesso significato su ogni asset. La priorità dipende dal contesto nel quale quella vulnerabilità si trova, dalle connessioni dell’asset, dalla sua esposizione, dalla possibilità di sfruttamento e dall’impatto che un eventuale incidente potrebbe produrre.

Dalla threat intelligence alla conoscenza utilizzabile

La stessa logica deve essere applicata alle informazioni sulle minacce. La disponibilità di grandi quantità di dati tecnici non equivale automaticamente a una maggiore capacità di sicurezza. Il valore nasce dalla possibilità di trasformare informazioni eterogenee in conoscenza utilizzabile e collegarla al contesto interno dell’organizzazione.
La threat intelligence deve quindi operare su più livelli: tecnico, tattico e strategico. Non basta sapere che esiste una determinata minaccia. È necessario comprendere se e come quella minaccia possa riguardare gli assets dell’organizzazione, quali vulnerabilità possa sfruttare, quali identità o servizi possano essere coinvolti e quale potrebbe essere l’impatto.
La vera capacità non consiste dunque nell’accumulare informazioni, ma nel dare loro priorità.
Quando le informazioni aumentano, diventa infatti sempre più importante stabilire dove concentrare l’attenzione, combinando criticità dell’asset, vulnerabilità, esposizione, comportamento, informazioni sulle minacce e potenziale impatto.

L’intelligenza artificiale cambia la velocità del rischio

L’intelligenza artificiale sta introducendo un ulteriore elemento di discontinuità. Le tecnologie di AI possono essere utilizzate per aumentare la capacità di analisi, individuazione e risposta agli incidenti, ma possono allo stesso tempo essere impiegate dagli attaccanti per rendere più veloci e scalabili alcune fasi dell’attacco. Il punto non è quindi semplicemente stabilire se l’intelligenza artificiale rappresenti una minaccia o una soluzione. La sua caratteristica più rilevante è la capacità di modificare la velocità con cui entrambe le parti possono operare.
In questo scenario diventa ancora più importante disporre di informazioni correlate e contestualizzate. L’AI può aumentare la capacità di elaborare dati e riconoscere patterns, ma la qualità della risposta dipende dalla qualità e dalla completezza delle informazioni che alimentano il processo.
L’intelligenza artificiale rende quindi ancora più evidente una necessità già presente: passare dai dati alla conoscenza e dalla conoscenza alla capacità di decidere. Il quantum e il rischio che guarda al futuro.

Emerge una nuova frontiera tecnologica: il quantum computing

Il tema non riguarda soltanto le capacità computazionali che potranno essere disponibili in futuro, ma anche la durata nel tempo della protezione delle informazioni. Il paradigma del “harvest now, decrypt later” introduce infatti un rischio particolare: dati raccolti oggi potrebbero essere decifrati in futuro, quando saranno disponibili capacità computazionali sufficientemente avanzate. Questo porta a una domanda che supera la gestione immediata della minaccia: per quanto tempo un’informazione deve rimanere realmente protetta?
Un dato sensibile potrebbe dover conservare il proprio valore e la propria riservatezza per cinque, dieci o quindici anni. La sicurezza deve quindi iniziare a considerare anche la dimensione temporale del rischio e la capacità delle tecnologie di protezione di rimanere adeguate nel tempo. AI e quantum rappresentano, da prospettive diverse, lo stesso cambiamento di paradigma: la sicurezza non può limitarsi a rispondere alle minacce già conosciute, ma deve sviluppare capacità di anticipazione.

Un unico ciclo: sviluppo, sicurezza, intelligence

A questo punto emerge con chiarezza il limite di un approccio basato su funzioni separate. Sviluppo, sicurezza, gestione degli assets e threat intelligence non dovrebbero essere considerati processi indipendenti. Devono alimentarsi reciprocamente. Le modifiche al software possono cambiare l’esposizione di un asset. Il cambiamento di un asset può modificare il livello di rischio. Una nuova informazione sulle minacce può richiedere una diversa priorità di intervento. Un’anomalia rilevata in produzione può fornire informazioni utili per migliorare il software o modificare una configurazione.
Il sistema diventa quindi un ciclo continuo dove la sicurezza non è più un punto del processo, ma una proprietà dell’intero processo.

Dalla tecnologia alla governance

L’integrazione tecnologica, però, non è sufficiente. Quanto più l’ambiente diventa complesso, tanto più diventano importanti governance, responsabilità, autorizzazioni, tracciabilità, audit e capacità di dimostrare perché una determinata decisione sia stata presa.
Ogni cambiamento rilevante deve poter essere ricondotto a un processo, a una responsabilità e a un’autorizzazione. La sicurezza deve quindi mantenere insieme due esigenze apparentemente diverse: velocità e controllo.
L’automazione può aumentare la scalabilità e ridurre i tempi di reazione, ma deve inserirsi in un modello nel quale siano chiari ruoli, responsabilità e criteri di intervento.
La tecnologia, in questo senso, non rappresenta il fine. È lo strumento attraverso il quale costruire una capacità organizzativa più ampia.

Una nuova idea di sicurezza

Il passaggio fondamentale è quindi culturale prima ancora che tecnologico. La sicurezza non può più essere identificata esclusivamente con la capacità di impedire un attacco. Deve comprendere la capacità di conoscere il proprio ambiente, comprendere le relazioni tra gli elementi, riconoscere il rischio, stabilire priorità, reagire rapidamente e continuare a funzionare anche quando alcune difese vengono superate.
Significa progettare software più sicuro, ma anche conoscere gli assets sui quali quel software opera. Significa proteggere le infrastrutture, ma anche comprendere le identità, le dipendenze e i servizi che le collegano. Significa raccogliere informazioni sulle minacce, ma soprattutto trasformarle in decisioni. Significa utilizzare AI e prepararsi al quantum, non soltanto come risposta alle tecnologie emergenti, ma come capacità di anticipare il cambiamento.
La sicurezza diventa così una disciplina trasversale, nella quale visibilità, protezione, intelligence, resilienza, sviluppo e governance devono convergere.
Il vero salto non consiste quindi nell’aggiungere un nuovo strumento all’insieme di quelli già esistenti. Consiste nel cambiare il modo in cui il rischio viene osservato e gestito.
È in questo passaggio che la sicurezza smette di essere una funzione separata e diventa una componente strutturale della continuità, della fiducia e della capacità di innovare.