Come la vergogna pubblica potrebbe forzare una rivoluzione nella sicurezza informatica

I numeri sono deprimenti. Uno stimato 700 milioni i record di dati sono stati rubati nel 2015. Ma nonostante i miliardi spesi per la sicurezza informatica, i difetti che consentono tali attacchi vengono risolti lentamente. Un giugno rapporto ha rilevato che le società finanziarie, ad esempio, impiegano in media più di cinque mesi per correggere le vulnerabilità note della sicurezza online.

L'industria della sicurezza riceve 75 miliardi di dollari ogni anno per cercare di proteggere le cose, e quello che ottieni è che tutti vengono costantemente hackerati, ha affermato Jeremiah Grossman, capo della strategia di sicurezza di SentinelOne, parlando alla conferenza sulla sicurezza di Black Hat a Las Vegas su Mercoledì.

Eppure Grossman e alcuni altri veterani del settore della sicurezza sono diventati più ottimisti ultimamente. Vedono la possibilità che le aziende dispongano presto di incentivi finanziari molto più forti per investire nella protezione e nella manutenzione del software.

Una nuova organizzazione no profit chiamata il Laboratorio di test indipendente dal cyber (CITL) ha sviluppato metodi per valutare e confrontare la sicurezza di prodotti software come browser Web e sistemi operativi. L'obiettivo è aiutare i consumatori e le aziende a scegliere i prodotti più sicuri e far vergognare coloro che mettono a rischio i nostri dati per fare meglio.

Questo sforzo arriva in un momento in cui le compagnie assicurative hanno iniziato a interessarsi alla comprensione dei rischi per le violazioni della sicurezza, qualcosa che potrebbe creare nuovi incentivi finanziari per le aziende a prestare attenzione alla sicurezza. Gli assicuratori potrebbero esercitare pressioni sulle aziende in modo simile al ruolo del settore nel promuovere la sicurezza automobilistica ed elettrica. Segnalato PwC l'anno scorso che le aziende sono costrette a fare più affidamento sull'assicurazione informatica perché i costi delle violazioni dei dati aziendali stanno crescendo rapidamente.

Peiter Zatko, un hacker di alto profilo noto come Mudge, parlando alla conferenza sulla sicurezza di Black Hat questa settimana.

CITL è stata fondata dall'hacker di alto profilo Peiter Zatko, noto anche come Mudge, e da sua moglie Sarah, che è anche una ricercatrice di sicurezza. La coppia ha presentato i primi risultati alla conferenza Black Hat mercoledì, mostrando come i metodi di analisi che avevano sviluppato possano assegnare una serie di punteggi di sicurezza a diversi programmi software.

CITL è modellato Rapporti sui consumatori e pubblicherà punteggi rivolti a non esperti, nonché valutazioni più dettagliate per addetti ai lavori del settore. Abbiamo cercato di convincere le persone a preoccuparsi della sicurezza per anni e se qualcuno dice 'Ok, cosa devo fare?' siamo piuttosto vaghi sul passo successivo, ha detto Sarah Zatko. Potremmo consigliare quale browser utilizzare, ma non abbiamo molte prove per supportarlo.

Gli Zatko hanno presentato dati preliminari confrontando la vulnerabilità agli attacchi di programmi per computer Apple. Il browser Google Chrome è stato classificato nel 75° percentile di tutti i programmi analizzati per quel sistema operativo, con Safari al 59° posto. Microsoft Office e il browser Mozilla Firefox erano più vulnerabili, rispettivamente al 37° e 35°. L'analisi CITL di Windows 10 di Microsoft suggerisce che l'azienda utilizza metodi più aggiornati sul proprio sistema operativo. Le analisi più dettagliate di CITL hanno mostrato che Microsoft e Mozilla avevano trascurato di utilizzare metodi standard per rafforzare il software contro gli attacchi nei loro programmi per PC Apple.

Il CITL ha finanziamenti dal braccio di ricerca del Pentagono, dall'Air Force Research Lab e dalla Ford Foundation. Ha in programma di rilasciare i suoi primi set di dati di grandi dimensioni all'inizio del prossimo anno e sta già parlando con compagnie assicurative interessate a utilizzare i suoi dati.

Grossman spera che le analisi di CITL possano aiutare a costringere le aziende ad assumersi la responsabilità delle loro carenze di sicurezza. Gli studi suggeriscono che gli incidenti di sicurezza hanno scarso effetto sul prezzo delle azioni di una società e le richieste di responsabilità legale di solito falliscono. Né le aziende che vendono software e prodotti per la sicurezza offrono garanzie o garanzie comuni per beni e servizi più tradizionali.

Grossman prevede che i dati di CITL e di alcune startup che lavorano su come valutare e confrontare la resilienza delle aziende alle minacce alla sicurezza consentiranno anche agli assicuratori di imporre un grande cambiamento negli atteggiamenti nei confronti della sicurezza.

Stima che le aziende attualmente spendono circa 3,5 miliardi di dollari all'anno in assicurazioni che pagano in caso di violazione aziendale, con una spesa che cresce del 50% o più all'anno. Gli assicuratori sono attualmente concentrati sull'espansione del mercato e non basano i premi o i pagamenti su un attento esame dello stato della tecnologia di un'azienda. Ma stanno lavorando per raccogliere i dati attuariali necessari per farlo. Penso che sia solo questione di tempo prima che i padroni del settore della sicurezza delle informazioni cambino, ha detto Grossman.

nascondere