di Elisa Gariboldi, componente delle Women For Security

Quando si parla di cybersecurity, l'attenzione si concentra quasi sempre sugli attacchi. Ransomware, nuove varianti di malware, vulnerabilità zero-day e minacce alimentate dall'intelligenza artificiale occupano costantemente le prime pagine e alimentano il dibattito. Molte violazioni, però, non iniziano con un attacco sofisticato, ma con qualcosa di molto più semplice: sistemi, applicazioni o dati esposti involontariamente su Internet.

Quando una violazione non nasce da un attacco

Un caso emblematico è quello che ha coinvolto recentemente il retailer statunitense Express. Una vulnerabilità dell'applicazione consentiva a utenti non autorizzati di accedere alle pagine di conferma degli ordini semplicemente modificando il numero dell'ordine presente nell'URL. Le informazioni rese accessibili comprendevano dati personali, recapiti, cronologia degli acquisti e informazioni parziali sulle carte di pagamento. Alcune di queste pagine erano persino indicizzate dai motori di ricerca, rendendole ancora più facili da individuare.

Ciò che rende episodi come questo particolarmente significativi è che non richiedono competenze tecniche eccezionali né strumenti di attacco sofisticati. Se una risorsa sensibile è già pubblicamente accessibile, l'attaccante non deve aggirare sistemi di difesa complessi: deve semplicemente trovarla. Sempre più spesso, quindi, una violazione nasce non tanto da una difesa inefficace, quanto dalla mancata consapevolezza di ciò che è realmente esposto verso l'esterno.

Una superficie di attacco sempre più difficile da governare

Negli ultimi anni la superficie di attacco delle organizzazioni è cresciuta in modo esponenziale. La diffusione del cloud, delle applicazioni SaaS, degli ambienti ibridi, delle API, del lavoro da remoto e delle integrazioni con partner e fornitori ha reso le aziende più agili e competitive, ma ha anche moltiplicato il numero di asset potenzialmente raggiungibili da Internet.

Nella maggior parte dei casi non si tratta di errori dovuti a negligenza. È piuttosto il risultato della crescente complessità degli ecosistemi digitali. Una regola del firewall introdotta per un progetto temporaneo che non viene più rimossa, un accesso concesso a un fornitore che rimane attivo oltre la durata della collaborazione, un'applicazione cloud implementata rapidamente ma mai inclusa nei processi di verifica della sicurezza o un sistema legacy che continua a rimanere online per evitare possibili interruzioni operative sono situazioni comuni in molte organizzazioni. Presi singolarmente sembrano dettagli marginali; nel tempo, però, contribuiscono ad ampliare una superficie di attacco sempre più difficile da conoscere e governare.

A rendere questo scenario ancora più complesso è oggi l'intelligenza artificiale. Se fino a pochi anni fa individuare sistemi vulnerabili richiedeva tempo, esperienza e attività manuali di ricognizione, oggi strumenti basati sull'AI sono in grado di analizzare enormi quantità di asset esposti, identificare servizi accessibili da Internet, correlare automaticamente versioni software e vulnerabilità note e stabilire quali bersagli presentino il maggiore interesse. Attività che in passato richiedevano giorni o settimane possono essere completate in pochi secondi e ripetute in modo continuo.

Questo significa che il tempo a disposizione delle organizzazioni per individuare e correggere un'esposizione si riduce drasticamente. Un'applicazione dimenticata, un servizio di accesso remoto rimasto attivo o un sistema non aggiornato possono essere scoperti molto più rapidamente rispetto al passato. Se l'intelligenza artificiale sta abbattendo i costi e i tempi della fase di ricognizione per gli attaccanti, diventa fondamentale ridurre al minimo ciò che può essere individuato.

In questo contesto cambia anche il significato stesso della visibilità. Per anni la cybersecurity si è concentrata principalmente su prevenzione, rilevamento e risposta agli incidenti, dando quasi per scontato che le organizzazioni conoscessero perfettamente gli asset da proteggere. Oggi questa assunzione non è più valida. Non è possibile proteggere ciò che non si sa di possedere, né valutare correttamente il rischio se manca una visione aggiornata di ciò che è realmente esposto verso l'esterno.

La visibilità come nuovo controllo di sicurezza

Mantenere un inventario costantemente aggiornato degli asset pubblicamente accessibili, verificare in modo continuo quali servizi siano effettivamente raggiungibili da Internet e rimuovere ciò che non risponde più a una reale esigenza di business rappresentano attività che consentono di ridurre il rischio prima ancora che un attacco possa concretizzarsi.

È proprio in questa evoluzione che cambia anche il ruolo dell'intero ecosistema della cybersecurity. Le organizzazioni chiedono sempre meno ai propri partner tecnologici di intervenire soltanto quando si verifica un incidente e sempre più di contribuire a comprendere il rischio, gestire la complessità e mantenere sotto controllo l'esposizione nel tempo. Anche per i Managed Service Provider questo significa evolvere da un approccio prevalentemente operativo, basato sul monitoraggio e sulla risposta agli eventi, a un modello in cui la governance continua della superficie di attacco diventa parte integrante del servizio offerto.

Si tratta, in fondo, di un cambiamento di prospettiva. L'obiettivo non è soltanto rafforzare le difese, ma ridurre le opportunità a disposizione degli attaccanti. Ogni servizio esposto dovrebbe rispondere a una precisa esigenza di business; ogni configurazione temporanea dovrebbe essere riesaminata; ogni accesso esterno dovrebbe essere verificato periodicamente per assicurarsi che sia ancora necessario. La gestione dell'esposizione non può più essere considerata un'attività occasionale da svolgere durante un audit, ma deve diventare un processo continuo di governance.

La prossima violazione potrebbe non nascere da una vulnerabilità zero-day o da un sofisticato attacco costruito con l'intelligenza artificiale. Potrebbe iniziare da un sistema dimenticato, da un'applicazione lasciata online oltre il necessario o da un'eccezione temporanea che, con il tempo, è diventata la normalità.

In uno scenario in cui l'intelligenza artificiale rende sempre più semplice individuare ciò che è esposto, la vera sfida per le organizzazioni è sviluppare una cultura della sicurezza fondata sulla conoscenza del proprio patrimonio digitale e sulla capacità di governarlo nel tempo. La capacità di reagire a un attacco conta tanto quanto la capacità di evitare che quel bersaglio sia visibile fin dall'inizio.