Sviluppo delle capacità di cyber difesa, un test interessante

Il fatto che il tempo di risposta agli attacchi cyber sia la chiave per una difesa efficace è ormai noto. Più tempo passa fra la detection di un attacco e la sua risoluzione, più i danni saranno ampi e difficili da rimediare. La domanda che bisognerebbe porsi è quindi: quanto sono pronti e reattivi i team aziendali a gestire nuove minacce?

La risposta non è confortante, almeno stando ai dati pubblicati da Immersive Labs, che nel suo Cyber Workforce Benchmark report ha analizzato le conoscenze, le competenze e la capacità cognitive di valutazione dei team di information security, application security e gestione delle crisi di oltre 2.100 aziende negli ultimi 18 mesi.

Le simulazioni condotte con la piattaforma proprietaria di Immersive Labs su 35.000 persone dei team di information security all'interno di 400 grandi aziende rivela che ci vogliono in media più di tre mesi (96 giorni) per sviluppare le conoscenze, le skill e le capacità di valutazione necessarie per difendersi da una nuova minaccia. I settori che reagiscono più lentamente sono manifacturing e trasporti, con una media di oltre quattro mesi (137 giorni).

Questi tempi contrastano fortemente con le tempistiche ottimali, che dovrebbero teoricamente rientrare nelle 48 ore successive all’allarme su una nuova minaccia. Unica eccezione alle tempistiche indicate sopra è quella di Log4j, per la quale i team di sicurezza informatica si sono effettivamente mossi in due giorni.

Una parte del problema è il focus. Sempre secondo i dati del report, i team di information security danno priorità allo sviluppo di conoscenze e competenze sui threat actor di alto profilo come UNC2452, Fin7, Hafnium e Darkside. Un altro ordine di problemi riguarda la preparazione alla gestione degli incidenti, che varia molto in base al settore in cui opera l’azienda. Quelle che conducono più esercitazioni sono le imprese di tecnologia e di servizi finanziari, che risultano meglio preparate. Molto peggio sono le infrastrutture nazionali critiche.

Altro capitolo interessante è quello del ransomware, che tutte le aziende temono. Ci si aspetterebbe che tutti i team conoscano bene come comportarsi davanti a un attacco di questo tipo. Invece nelle simulazioni solo l'83% delle aziende coinvolte non ha pagato il riscatto. Il 18% dei team governativi di gestione delle crisi ha pagato, contravvenendo alle linee guida ufficiali.