Anno in rassegna: Sicurezza – SD Times

Mentre salutiamo un altro anno, è fondamentale riflettere sulle minacce degli attacchi informatici e dei ransomware e pensare a come mitigarle per il futuro. Tuttavia, quest’anno sembra un po’ diverso, segnato dall’incognita di quali sfide l’intelligenza artificiale porterà nel panorama della sicurezza nel nuovo anno.

Ciò si aggiunge alle persistenti vulnerabilità della sicurezza della catena di approvvigionamento, alle minacce interne e altro ancora che sono cresciute solo quest’anno.

Recentemente la Cybersecurity and Infrastructure Security Agency (CISA). svelato una tabella di marcia con cinque sforzi chiave volti alla diffusione responsabile e sicura dell’IA.

In primo luogo, l’agenzia si impegna a utilizzare in modo responsabile l’intelligenza artificiale per rafforzare la difesa informatica, aderendo alle leggi e alle politiche applicabili. In secondo luogo, la CISA mira a valutare e garantire la sicurezza predefinita dei sistemi di intelligenza artificiale, promuovendone l’adozione sicura da parte di varie agenzie governative ed enti del settore privato. Il terzo impegno prevede la collaborazione con le aziende per salvaguardare le infrastrutture critiche da potenziali usi dannosi dell’intelligenza artificiale, affrontando minacce, vulnerabilità e strategie di mitigazione.

Nel suo quarto impegno, CISA enfatizza la collaborazione e la comunicazione con altre agenzie, partner internazionali e pubblico per sviluppare approcci politici riguardanti la sicurezza e l’intelligenza artificiale. Infine, l’agenzia prevede di rafforzare la propria forza lavoro espandendo il numero di professionisti qualificati dell’intelligenza artificiale attraverso sforzi di formazione e reclutamento.

Anche l’attore dominante nello spazio dell’IA, OpenAI, riconosce la necessità di formazione e utilizzo sicuro dell’IA.

OpenAI quest’anno introdotto il Cybersecurity Grant Program, un’iniziativa da 1 milione di dollari progettata per far avanzare e quantificare le capacità di sicurezza informatica guidate dall’intelligenza artificiale, promuovendo al contempo un discorso di alto livello sul campo.

Cercando la collaborazione con professionisti della sicurezza a livello globale, l’azienda mira a riequilibrare le dinamiche di potere nella sicurezza informatica attraverso l’uso strategico della tecnologia AI e promuovendo il coordinamento tra individui che la pensano allo stesso modo. L’obiettivo generale è quello di dare priorità all’accesso alle capacità avanzate di IA per i team di sicurezza, con l’impegno a sviluppare metodi che misurino e migliorino accuratamente l’efficacia dei modelli di IA nel campo della sicurezza informatica, garantendo così la sicurezza collettiva.

Inoltre, quest’anno ha dimostrato che molte applicazioni presentano ancora molte vulnerabilità e molti altri progetti non vengono mantenuti attivamente, in particolare nello spazio open source.

Nel mese di gennaio, il fornitore di soluzioni di test di sicurezza delle applicazioni Veracode rilasciato un rapporto mostra che quasi il 32% delle applicazioni presenta difetti alla prima scansione, salendo a quasi il 70% dopo che sono state in produzione per cinque anni. Il rapporto afferma inoltre che dopo la scansione iniziale, la maggior parte delle app entra in un periodo di sicurezza di circa un anno e mezzo, durante il quale l’80% non presenta nuovi difetti.

Nel 2023, si è registrato un calo del 18% nel numero di progetti open source considerati “mantenuti attivamente”. Questo è quanto emerge dal rapporto annuale sullo stato della catena di fornitura del software redatto da Sonatype rapporto.

Il rapporto evidenzia una statistica preoccupante, rilevando che solo l’11% dei progetti open source vengono mantenuti attivamente. Nonostante ciò, Sonatype sottolinea che il 96% delle vulnerabilità nei software open source sono prevenibili.

Il rapporto ha rivelato che si sono verificati 2,1 miliardi di download di software open source e tra questi c’erano casi in cui esistevano vulnerabilità note ed erano disponibili versioni più recenti che risolvevano questi problemi. Ciò sottolinea la necessità di una maggiore attenzione al mantenimento e all’aggiornamento dei progetti open source per mitigare i potenziali rischi per la sicurezza associati a versioni software obsolete.

Le organizzazioni stanno prendendo l’iniziativa per correggere le vulnerabilità

Riconoscendo le diffuse sfide alla sicurezza, le principali aziende stanno lanciando in modo proattivo iniziative per affrontare e contrastare la proliferazione di problemi di sicurezza nel panorama digitale odierno.

A marzo la Casa Bianca rilasciato un nuovo piano per garantire la sicurezza negli ecosistemi digitali. Spera di “reimmaginare il cyberspazio come uno strumento per raggiungere i nostri obiettivi in ​​un modo che rifletta i nostri valori: sicurezza economica e prosperità; rispetto dei diritti umani e delle libertà fondamentali; fiducia nella nostra democrazia e nelle istituzioni democratiche; e una società equa e diversificata”.

Per raggiungere questo obiettivo sarà necessario cambiare il modo in cui attualmente vediamo la sicurezza informatica. L’amministrazione Biden-Harris prevede di riequilibrare la responsabilità della sicurezza dai singoli individui e dalle piccole imprese alle organizzazioni che sono nella posizione migliore per ridurre i rischi per tutti. Prevedono inoltre di riequilibrare la necessità di difendere oggi i rischi per la sicurezza, consentendo alle organizzazioni di pianificare le minacce future.

Nel mese di ottobre, Google abilitato passkey come metodo di autenticazione predefinito negli account Google. Le passkey offrono un modo comodo e veloce per accedere utilizzando impronte digitali, scansioni del volto o pin. Sono più veloci del 40% rispetto alle password tradizionali e vantano una maggiore sicurezza grazie alla crittografia avanzata, secondo Google in a post sul blog. Inoltre alleviano il peso di ricordare password complesse e sono più resistenti agli attacchi di phishing.

Subito dopo, Microsoft annunciato la sua Secure Future Initiative, che si compone di tre pilastri principali: difese che utilizzano l’intelligenza artificiale, progressi nell’ingegneria del software e norme internazionali per proteggere i civili dalle minacce informatiche. Microsoft mira a stabilire uno “scudo informatico basato sull’intelligenza artificiale” per salvaguardare sia i clienti che le nazioni, espandendo le proprie capacità di protezione interna per un più ampio utilizzo da parte dei clienti. In risposta alla carenza globale di competenze in materia di sicurezza informatica, stimata in circa 3 milioni di persone, Microsoft prevede di sfruttare l’intelligenza artificiale, in particolare attraverso strumenti come Microsoft Security Copilot, per rilevare e rispondere alle minacce. Inoltre, Microsoft Defender for Endpoint utilizzerà metodi di rilevamento dell’intelligenza artificiale per migliorare la protezione dei dispositivi dalle minacce alla sicurezza informatica.

Fortunatamente, con l’avanzare della tecnologia, gli sviluppatori e le organizzazioni possono rivolgersi a framework consolidati e best practice rilasciati quest’anno.

A giugno, l’Open Worldwide Application Security Project (OWASP) annunciato il lancio di OWASP CycloneDX versione 1.5, un nuovo standard nel campo della distinta base (BOM) che affronta specificamente le questioni di trasparenza e conformità all’interno dell’industria del software. La recente versione espande il supporto della distinta base oltre la copertura esistente di hardware, software e servizi. L’obiettivo principale è migliorare le capacità delle organizzazioni nell’identificare e affrontare i rischi della catena di fornitura, offrendo uno strumento più completo per gestire e mitigare le potenziali vulnerabilità.

A settembre, il National Institute of Standards and Technology (NIST) rilasciato una bozza di documento che dettaglia le strategie per incorporare le misure di sicurezza della catena di fornitura del software nelle pipeline CI/CD. Nel contesto delle applicazioni cloud-native che utilizzano un’architettura di microservizi con un’infrastruttura centralizzata come una rete di servizi, il documento delinea l’allineamento di queste applicazioni con le pratiche DevSecOps.