Aziende e ricercatori di sicurezza collaborano per identificare le vulnerabilità software
Veracode ha rilasciato i risultati di uno studio globale sul tema della divulgazione delle vulnerabilità software, denominato “Exploring Coordinated Disclosure“, che analizza comportamenti, politiche e aspettative associate alle modalità in cui organizzazioni e ricercatori di sicurezza esterni collaborano in caso di identificazione di vulnerabilità.
Dallo studio emerge che oggi le aziende di software e i ricercatori di sicurezza sono quasi universalmente d’accordo nel pensare che rivelare le vulnerabilità per migliorare la sicurezza software rappresenti un vantaggio per tutti. Il 90% dei rispondenti, infatti, ha confermato che la divulgazione di vulnerabilità “ha universalmente lo scopo più ampio di migliorare il modo in cui il software viene sviluppato, utilizzato e corretto”. Riconoscere che le vulnerabilità non affrontate determinino l’enorme rischio di conseguenze negative per gli interessi di imprese, consumatori e persino per la stabilità economica globale, rappresenta un punto di svolta nell’industria software.
“L’allineamento che lo studio rivela è molto positivo”, ha affermato Chris Wysopal, Chief Technology Officer and co-founder di Veracode. “La sfida, tuttavia, è che le politiche di divulgazione delle vulnerabilità sono estremamente incoerenti. Se i ricercatori non sono sicuri di come procedere quando rilevano una vulnerabilità, le organizzazioni rimangono esposte a minacce della sicurezza, dando ai criminali la possibilità di sfruttare queste vulnerabilità. Sebbene oggi disponiamo di strumenti e processi per trovare e ridurre il numero di bug nel software durante il processo di sviluppo ogni giorno vengono scoperte nuove vulnerabilità. Una solida politica di divulgazione rappresenta un elemento chiave indispensabile della strategia di sicurezza di un’organizzazione e consente ai ricercatori di lavorare con l’azienda stessa per ridurne l’esposizione. Una buona politica di divulgazione delle vulnerabilità definirà le procedure per lavorare con i ricercatori di sicurezza esterni, stabilirà le aspettative su tempistiche e risultati fissi, oltre a individuare i difetti e correggere i software prima che vengano distribuiti.”
Le divulgazioni di vulnerabilità non richieste avvengono regolarmente. L’indagine ha rilevato che negli ultimi 12 mesi oltre un terzo delle aziende ha ricevuto un report di divulgazione delle vulnerabilità non richiesto. Ciò rappresenta un’opportunità per collaborare con la parte che si occupa della segnalazione per correggere le vulnerabilità e quindi divulgarle, migliorando così la sicurezza generale. Per le organizzazioni che hanno ricevuto un rapporto di vulnerabilità non richiesto, il 90% delle vulnerabilità sono state divulgate in modo coordinato tra i ricercatori di sicurezza e l’azienda. Questa è la prova di un cambiamento significativo nella mentalità a dimostrazione che lavorare in modo collaborativo è l’approccio più efficace per raggiungere la trasparenza e migliorare la sicurezza.
I ricercatori di sicurezza sono motivati dal bene comune. Lo studio mostra che i ricercatori di sicurezza sono generalmente ragionevoli e motivati dal desiderio di migliorare la sicurezza per il bene comune. Il 57% dei ricercatori si aspetta che gli venga comunicato quando una vulnerabilità è stata riparata, mentre il 47% si aspetta aggiornamenti regolari sulla correzione e il 37% si aspetta di convalidare la correzione. Solo il 18% degli intervistati si aspetta di essere pagato e il 16% si aspetta il riconoscimento della propria scoperta.
Le aziende collaboreranno per risolvere i problemi. In modo promettente, tre aziende su quattro dichiarano di disporre di un metodo consolidato per ricevere un report da un ricercatore di sicurezza e il 71% degli sviluppatori ritiene che i ricercatori di sicurezza dovrebbero essere in grado di eseguire test non richiesti. Ciò potrebbe sembrare un controsenso poiché gli sviluppatori sarebbero maggiormente colpiti dall’interruzione del flusso di lavoro per effettuare una correzione di emergenza. Tuttavia i dati mostrano che gli sviluppatori vedono la divulgazione coordinata come parte del loro processo di sviluppo sicuro, si aspettano che il proprio lavoro venga testato al di fuori dell’organizzazione e sono pronti per rispondere ai problemi identificati.
Non sempre le aspettative dei ricercatori di sicurezza in merito ai tempi di riparazione sono realistiche. I dati mostrano che dopo aver segnalato una vulnerabilità il 65% dei ricercatori di sicurezza si aspetta una correzione in meno di 60 giorni. Questo lasso temporale potrebbe essere troppo impellente e persino irrealistico se confrontato con il report più recente Veracode State of Software Security Volume 9, che ha rilevato che oltre il 70% di tutte le falle rimane per un mese dopo la scoperta. Per tre mesi quasi il 55%. Inoltre, dallo studio emerge che le organizzazioni sono impegnate a correggere e divulgare in modo responsabile le falle e, contestualmente, devono avere un tempo ragionevole per farlo.
I bug bounty non sono una panacea. Secondo la ricerca sebbene i programmi di bug bounty siano al centro dell’attenzione quando si parla di divulgazione, sembra che in realtà il richiamo di un giorno di paga non stia guidando il grosso delle divulgazioni. Infatti, quasi la metà (47%) delle organizzazioni ha implementato programmi di bug bounty, ma solo il 19% delle segnalazioni di vulnerabilità proviene da questi. Sebbene possano far parte di una strategia di sicurezza globale i bug bounty si rivelano spesso inefficienti e costosi. Dato che la maggior parte dei ricercatori di sicurezza è principalmente motivata dal vedere riparata una vulnerabilità piuttosto che dal denaro, le aziende dovrebbero considerare di concentrare le proprie risorse limitate sullo sviluppo di un software sicuro che trova le vulnerabilità all’interno del ciclo di vita dello sviluppo del software.
Al fine di raccogliere dati rilevanti per questo report, 451 Research ha condotto un’indagine commissionata da Veracode – che si è svolta da dicembre 2018 a gennaio 2019 – utilizzando un campione rappresentativo di 1.000 intervistati in una vasta gamma di settori e organizzazioni di diverse dimensioni negli Stati Uniti, in Germania, Francia, Italia e Regno Unito. I rispondenti ricoprivano ruoli aziendali in ambiti diversi, tra cui lo sviluppo di applicazioni, sicurezza dell’infrastruttura e delle informazioni, nonché consulenti di sicurezza, valutatori di vulnerabilità di terze parti o tester di penetrazione e ricercatori indipendenti sulla sicurezza. Per partecipare agli intervistati era richiesto un livello di familiarità con i modelli di divulgazione delle vulnerabilità medio-alto.
Contenuti correlati
-
Il 20% dei produttori utilizza la sicurezza di rete come prima linea di difesa contro gli attacchi informatici
Secondo un recente sondaggio condotto dalla società di ricerche ABI Research sullo stato della tecnologia nel settore manifatturiero, i produttori hanno individuato la sicurezza OT della rete come principale ambito di investimento per quanto concerne la sicurezza...
-
Dall’università al mondo del lavoro: come colmare il divario di competenze nella sicurezza informatica
Con l’intensificarsi delle minacce informatiche, la sicurezza del software è diventata una priorità per le aziende. È sorprendente notare che oltre il 70% delle organizzazioni è vittima di un crescente accumulo di debiti di sicurezza, con quasi...
-
Black-out digitale: le fabbriche italiane nel mirino dei criminali informatici?
Consideriamo uno scenario plausibile: un attacco ransomware compromette i sistemi OT di un’azienda manifatturiera, crittografando i sistemi di controllo di robot e macchine utensili. L’impatto? Linee di produzione bloccate, interruzione delle attività e richieste di riscatto milionarie....
-
Ransomware, Kaspersky registra +20% di attacchi ai sistemi industriali
Kaspersky ha pubblicato il report Q2 2024 sulla cybersecurity degli Industrial Control Systems (ICS), rivelando un aumento del 20% degli attacchi ransomware rispetto al trimestre precedente. Il report sottolinea la crescente minaccia ai settori delle infrastrutture critiche...
-
Nuovo firewall industriale SNi10 da Stormshield per la tutela delle infrastrutture OT
Stormshield, esperto europeo nel mercato della cybersecurity, annuncia il suo nuovo firewall SNi10. Questo nuovo dispositivo completa la famiglia delle soluzioni Stormshield ad alte prestazioni per la tutela delle infrastrutture OT e risponde alle specifiche esigenze di...
-
Security Summit, in 200 a Verona per fare il punto sulla cybersecurity
Si è conclusa con successo la 13a edizione di Security Summit Verona, il convegno organizzato da Clusit, Associazione Italiana per la Sicurezza Informatica, con Astrea, agenzia di comunicazione ed eventi specializzata nel settore della sicurezza informatica: oltre 200...
-
La cybersecurity Cisco entra nell’ospedale Santobono Pausilipon di Napoli
La cybersecurity di Cisco entra nell’Azienda Ospedaliera di Rilievo Nazionale Santobono Pausilipon (AORN), unica Azienda Ospedaliera pediatrica del Sud Italia, nonché uno dei principali poli nazionali di riferimento nell’assistenza per infanti, sia nel settore dell’emergenza-urgenza che dell’alta...
-
CAD per progettazione elettrica, SDProget presenta SPAC Automazione 2025
SDProget Industrial Software presenta SPAC Automazione 2025, la nuova e rinnovata versione del CAD professionale per la progettazione elettrica per l’automazione industriale. SPAC Automazione 2025 rende progettazione elettrica più potente e intuitiva, rispondendo alle nuove sfide di...
-
Wibu-Systems guiderà tour esclusivi a SPS 2024, mostrando CodeMeter in azione
Wibu-Systems ospiterà tour guidati esclusivi ad SPS 2024, l’evento principe nel campo dell’automazione, che si terrà a Norimberga, Germania, dal 12 al 14 novembre 2024. Tra gli innovatori ivi riuniti, Wibu-Systems dimostrerà come la sua tecnologia di...
-
A SPS 2024 Moxa dimostra come garantire un’automazione di fabbrica e di processo semplice e sicura
Moxa Europe presenterà alla fiera SPS 2024, in programma dal 12 al 14 novembre 2024 a Norimberga (D), presso lo stand in partnership con Profibus User Organization (PI-Profibus&Profinet International), al padiglione 5, stand 210, tutti i suoi...