Smetti di sprecare il budget IT per le minacce sbagliate

Un sondaggio di Black Hat mostra che le maggiori preoccupazioni dei professionisti della sicurezza – attacchi mirati, phishing e perdite accidentali dei dati – non hanno lo stesso “peso” nei budget delle attività IT. Alla conferenza di Black Hat, un sondaggio tra i professionisti della sicurezza presenti ha rivelato che le loro tre principali preoccupazioni erano schemi di phishing, social engineering e perdite accidentali dei dati da parte degli utenti finali. Ciò non si riflette nel modo in cui questi stessi professionisti della sicurezza utilizzano il loro tempo, né nei loro budget IT.

Gli autori del Black Hat Attendee Survey hanno scritto che i risultati indicano che “la maggior parte delle aziende non sta usando il proprio tempo, il budget e le risorse del personale per i problemi che la maggior parte degli esperti di sicurezza considerano le maggiori minacce”. Black Hat ha condotto il sondaggio durante la conferenza USA del luglio 2015 ; UBM Tech ha gestito la programmazione e l’analisi. Dei 460 partecipanti, il 61% ha una designazione di lavoro a tempo pieno, il 25% ricopre un ruolo di primo piano nella sicurezza delle imprese e il 47% lavora in organizzazioni con 5.000 o più dipendenti. Nota: per alcune risposte, i partecipanti al sondaggio potrebbero scegliere più di una risposta.

Le seguenti minacce sono state le maggiori preoccupazioni per i partecipanti:

• Attacchi sofisticati mirati direttamente all’organizzazione (57%)
• Phishing, exploit dei social network o altre forme di ingegneria sociale (46%)
• Perdite accidentali di dati da parte di utenti finali che non seguono le politiche di sicurezza (21%)
• Malware polimorfico che sfugge alle difese basate sulla firma (20%)
• Spionaggio o sorveglianza da parte di governi o concorrenti stranieri (20%)
• Vulnerabilità della sicurezza introdotte dal team di sviluppo delle applicazioni (20%)

Le disparità tra problemi di sicurezza e budget IT

Quando Black Hat ha chiesto ai professionisti della sicurezza cosa occupa la maggior parte del loro tempo ogni giorno, molti hanno detto:

• Vulnerabilità della sicurezza introdotte dal mio team di sviluppo delle applicazioni (35%)
• Vulnerabilità della sicurezza introdotte mediante l’acquisto di applicazioni o sistemi standard (33%)
• Phishing, exploit dei social network o altre forme di ingegneria sociale (31%)
• Errori interni o attacchi esterni che causano la perdita di conformità della mia organizzazione con i requisiti di settore o normativi (30%)
• Perdite accidentali di dati da parte di utenti finali che non seguono la politica di sicurezza (26%)
• Attacchi sofisticati mirati direttamente all’organizzazione (20%)
• Malware polimorfico che sfugge alle difese basate sulla firma (14%)

La preoccupazione numero uno – gli attacchi mirati – è al sesto posto tra le richieste di tempo giornaliere. La seconda preoccupazione – ingegneria sociale – è scesa al terzo posto, e la terza preoccupazione – perdite accidentali – era quinta.

Preoccupazioni di sicurezza rispetto al budget IT

Solo il 26% ha dichiarato che gli attacchi mirati assorbono la maggior parte delle loro spese per la sicurezza IT, pari a perdite accidentali, la terza preoccupazione originale. La seconda preoccupazione principale, l’ingegneria sociale, era qui al quinto posto. Non sorprende che la conformità fosse al terzo posto per le priorità di budget, sapendo che l’accento è posto su gestioni e consigli di amministrazione.

Ecco le selezioni di budget:

• Perdite accidentali di dati da parte di utenti finali che non seguono la politica di sicurezza (26%)Attacchi sofisticati mirati direttamente all’organizzazione (26%)
• Errori interni o attacchi esterni che causano la perdita della conformità della mia organizzazione con i requisiti di settore o normativi (25%)
• Vulnerabilità della sicurezza introdotte mediante l’acquisto di applicazioni o sistemi standard (23%)
• Phishing, exploit dei social network o altre forme di ingegneria sociale (22%)
• Vulnerabilità della sicurezza introdotte dal mio team di sviluppo delle applicazioni (21%)
• Malware polimorfico che sfugge alle difese basate sulla firma (15%)

La sicurezza nel prossimo futuro

I professionisti della sicurezza presenti hanno affermato, prevedibilmente, che l’Internet of Things (IoT) era la principale preoccupazione che si aspettano tra due anni, con attacchi mirati al secondo posto. Gli autori del sondaggio hanno sottolineato che l’IoT non era né una priorità di bilancio né una parte importante alla quale dedicare tempo.

Ecco le sette principali preoccupazioni future:

• Attacchi digitali su dispositivi e sistemi non informatici: l’IoT (36%)
• Attacchi sofisticati mirati direttamente all’organizzazione (33%)
• Spionaggio o sorveglianza da parte di governi o concorrenti stranieri (26%)
• Attacchi o exploit su servizi cloud, applicazioni o sistemi di archiviazione utilizzati dalla mia organizzazione (24%)
• Attacchi o exploit introdotti nell’organizzazione tramite dispositivi mobili (22%)
• Malware polimorfico che sfugge alle difese basate sulla firma (22%)
• Phishing, exploit dei social network o altre forme di ingegneria sociale (22%)

Il 73% dei partecipanti alla conferenza ritiene che dovrà affrontare un “compromesso significativo” nel prossimo anno. Alla domanda su quale fosse il collegamento più debole nella sicurezza IT aziendale (in altre parole, il punto di ingresso più probabile), gli intervistati hanno dichiarato:

• Utenti finali che violano la politica di sicurezza e sono troppo facilmente ingannati dagli attacchi di ingegneria sociale (33%)
• Una mancanza di architettura e pianificazione della sicurezza globale che vada oltre la “lotta antincendio” (20%)
• Vulnerabilità dei dispositivi mobili (9%)
• Servizi cloud e vulnerabilità delle applicazioni cloud (7%)
• Prodotti di sicurezza basati su firma che non sono in grado di riconoscere minacce nuove e zero-day (7%)
• Vulnerabilità nei software sviluppati internamente (6%)

Personale, copertura mediatica e punti di vista gestionale

Anche il personale, con la corrispondente capacità di contrattaccare, è nelle menti dei professionisti della sicurezza. Solo il 27% degli intervistati ritiene di avere abbastanza personale di sicurezza. Il 51% ha dichiarato di poter utilizzare “un po ‘più di aiuto” e il 22% ha dichiarato che il numero di dipendenti è inadeguato.

È interessante notare che i professionisti della sicurezza della conferenza hanno ritenuto che le opinioni della direzione e dei media fossero diverse dalle loro.

Il 41% ha dichiarato che i media hanno esagerato i problemi della sorveglianza del governo americano.
Il 27% ritiene che vi sia troppa copertura di hacktivisti e attacchi informatici politici.
Il 26% ha dichiarato che il social engineering e il phishing non ottengono una copertura sufficiente nei media e negli eventi del settore.
Per quanto riguarda le opinioni della direzione, i partecipanti hanno affermato che la loro leadership ha una maggiore preoccupazione per gli addetti ai lavori malevoli (29% contro 17%, rispettivamente). Hanno anche affermato che la gestione aveva preoccupazioni significative ma inferiori per gli attacchi mirati (44%) e l’ingegneria sociale (29%).