La frequenza, la gravità e la sofisticazione delle minacce informatiche sembra destinata a una crescita continua e inesorabile. Secondo l’ultimo rapporto Clusit, il numero degli attacchi rilevati a livello mondiale nel 2023 è aumentato del 12% rispetto al 2022. Gli incidenti gravi analizzati sono stati 2.779, a livello mensile invece si registra una media di 232. L’Italia è nel mirino: ha raccolto l’11% degli attacchi gravi globali, ovvero 310, in crescita del 65% rispetto all'anno precedente.
Lo scenario a tinte fosche non lascia ben sperare e si evidenzia la necessità di nuovi approcci alla cybersecurity, più consistenti, strutturati e adatti agli ambienti IT moderni, distribuiti e senza perimetro. Intervenire a incidente avvenuto è troppo rischioso, inefficace e costoso: occorre ripensare le strategie di difesa. La sicurezza deve essere una caratteristica intrinseca di qualsiasi risorsa informativa.
Chi opera nel settore IT in qualsiasi azienda ha ormai sentito parlare di “security by design”. Se finora qualcuno l’ha considerata una semplice locuzione per sottolineare l’importanza di prendere in considerazione gli aspetti di cybersecurity nella gestione delle infrastrutture digitali, si è sbagliato di grosso.
Il concetto di security by design è qualcosa che va ben oltre una semplice dichiarazione di principio e rappresenta una vera rivoluzione sia a livello di processi, sia a livello di gestione della Information Technology.
Cosa si intende con “security by design”? L’espressione indica un approccio allo sviluppo software e hardware che considera la sicurezza un elemento prioritario, al pari dei requisiti funzionali, su cui bisogna ragionare già dalle fasi iniziali di analisi e progettazione.
Il concetto segna un cambio netto di prospettiva, visto che tradizionalmente la security viene tenuta in considerazione solo a progetto concluso, mentre la metodologia “by design” permette di creare prodotti intrinsecamente sicuri.
Nei processi di sviluppo e progettazione, difatti, la sicurezza informatica è sempre stata considerata come una sorta di “brutto anatroccolo”. Difatti, la verifica di eventuali problemi di sicurezza è sempre stata relegata al termine dei processi: nella migliore delle ipotesi la verifica veniva fatta al termine della progettazione o sviluppo; nella peggiore, si lasciava al tempo il compito di far emergere eventuali problematiche.
I risultati li abbiamo sotto gli occhi: trascurare la sicurezza in fase di sviluppo e progettazione, oltre ad aprire vere praterie agli attacchi dei criminali informatici, ha innescato una continua rincorsa ad aggiornamenti e modifiche di software e dispositivi, con il continuo rischio di incompatibilità e di una crescita esponenziale dei costi.
L’avvento della logica legata alla security by design porta quindi a un enorme salto di qualità, che rende molto più semplice la gestione dei servizi IT.
Scendendo nel dettaglio dell’approccio security by design, si possono individuare i seguenti principi costituenti, così sintetizzabili.
L’approccio security by design copre l’intero ciclo di vita del software e coinvolge diversi stakeholder, sia lato fornitura (dal board aziendale agli sviluppatori fino ai tecnici della sicurezza) sia lato utente (dalle figure manageriali agli utenti di business fino alla squadra di incident response).
Gli step del processo possono essere così sintetizzati.
Per implementare correttamente l’approccio security by design bisognerebbe seguire una serie di buone pratiche, tra cui:
Sono molteplici i benefici legati all’implementazione dell’approccio security by design.
Uno dei settori destinati a ottenere i maggiori vantaggi dalla logica della security by design è quello dell'Internet of Things (IoT), che negli ultimi anni ha pagato il prezzo più caro a causa della scarsa attenzione alla cyber security.
I continui allarmi legati ai cyber attacchi rivolti ai dispositivi IoT (dai dispositivi casalinghi “smart” a quelli implementati in ambito industriale) sono infatti il frutto di una sciagurata corsa alla produzione che ha completamente trascurato l’aspetto della sicurezza.
I primi casi di malware dedicati agli IoT, per esempio, hanno potuto sfruttare come vettore d’attacco l’uso di credenziali predefinite per l’accesso in remoto ai loro sistemi di controllo. I produttori, infatti, non si erano preoccupati di implementare un sistema che obbligasse gli utenti a modificarle e, in qualche caso, avevano addirittura inserito delle backdoor (teoricamente dedicate agli aggiornamenti in remoto) che consentivano di violare con estrema facilità i dispositivi.
Solo in seguito, i criminali si sono dovuti “accontentare” di sfruttare vulnerabilità più complesse da sfruttare, potendo in ogni caso fare affidamento su una superficie d’attacco estremamente ampia.
Il regolamento europeo 2016/679, meglio conosciuto come GDPR, include un articolo, il numero 25, che contempla esplicitamente il riferimento al security by design, che nell’edizione italiana viene definito come segue: “Protezione dei dati fin dalla progettazione”. Una forma diretta, chiara, che pone in evidenza la necessità di progettare soluzioni, software e servizi che tutelino già a livello concettuale la privacy degli utenti.
Gli accorgimenti e le best practice di sviluppo per raggiungere l’obiettivo del security by design consentono di proteggere il dato tout court. Occorre tenere a mente che la GDPR è un regolamento e come tale pone obblighi precisi, che vanno soddisfatti per non incorrere in ammende che possono arrivare a 20 milioni di euro o al 4% del fatturato.
In quest’ottica, l'approccio security by design diventa un passaggio obbligato per lo sviluppo di qualsiasi servizio che possa gestire delle informazioni personali.
Che si tratti del firmware di un dispositivo IoT o di un software dedicato all’erogazione di servizi aziendali, quello che viene richiesto oggi è di applicare la logica della security by design attraverso l’adozione di un processo definito DevSecOps. Il neologismo vuole indicare come, oltre agli sviluppatori (Dev) e a chi si occupa della parte di operations (Ops) sia necessario coinvolgere da subito anche i responsabili dei test di sicurezza (Sec).
La procedura, in pratica, prevede che i controlli di cyber security vengano effettuati già in corso di sviluppo del software, attraverso un continuo confronto tra sviluppatori e analisti. L’obiettivo è quello di raggiungere un migliore livello di sicurezza e ottimizzare il processo. Più in generale, però, il concetto della security by design si può applicare a qualsiasi ambito IT, per esempio quando si affronta la pianificazione di reti e servizi digitali.
In questa declinazione, anche se non siamo di fronte a una vera e propria fase di sviluppo, la collaborazione con gli esperti di sicurezza consente di adottare da subito una strategia orientata alla protezione dei dati e all’integrità dei servizi. Oltre a consentire di implementare strumenti di protezione più efficaci, l’adozione della filosofia security by design abbatte i costi per la sicurezza e riduce drasticamente il rischio di incidenti.