Identity management sempre più al centro della cyber security, grazie in parte al GDPR e ad altre normative specifiche. Si va verso un modello zero trust col cloud. Anche biometria, AI e IoT security stanno evolvendo rapidamente. Ecco i trend di cyber security e cosa aspettarci in ambito di sicurezza informatica nel prossimo futuro

Nel 2019, l’attenzione alla cyber security ruoterà attorno al “modello di fiducia zero“, all’autenticazione biometrica, alla sicurezza IoT e alle tecnologie di conformità delle informazioni.

Questo in linea con le tendenze del 2018, che confermato la tendenza di aziende ed organizzazioni a prestare sempre maggiore attenzione agli ambiti della sicurezza informatica. Poiché ogni settore si adatta a minacce informatiche sempre nuove, altrettante nuove soluzioni continueranno ad emergere.

L’Artificial Intelligence continuerà certamente ad espandere la sua portata all’interno del mondo della sicurezza informatica, diventando parte integrante delle applicazioni, contribuendo a migliorare le soluzioni di Identity Management e producendo soluzioni di intelligence delle minacce più efficaci. Nel frattempo, le aziende continueranno a produrre strumenti per proteggere i propri endpoint IoT, attesi in forte crescita.

Il modello Zero Trust e il cloud

I sistemi operativi sui dispositivi degli utenti offrono più funzionalità che mai, rendendoli al contempo più vulnerabili. D’altra parte, gli utenti si aspettano di poter lavorare con qualsiasi sistema operativo, qualsiasi applicazione e su qualsiasi dispositivo. In un simile contesto, vista la crescente sofisticazione degli attacchi cyber, le organizzazioni dovranno passare ad una nuova architettura di dispositivo “a prova zero”.

Il modello “zero trust” implica la necessità di verificare l’identità di ogni utente in grado di connettersi ai sistemi o accedere ai dati, prima di concedere l’accesso. Ma la fiducia zero si è rivelata difficile da implementare. Tuttavia, è probabile che nel 2019 la fiducia digitale emergerà come il prossimo modello di sicurezza, che consenta all’IT di creare una “impronta digitale” dei propri dipendenti.
A questo proposito, molte aziende hanno già stabilito un profilo comportamentale completo di ogni utente. Il modello della fiducia digitale consentirà all’utente di accedere ad applicazioni e sistemi, a condizione che questi siano coerenti con il suo profilo.
In un momento in cui quasi ogni dispositivo è connesso ad Internet e si collega al cloud in modo non sicuro o non criptato, risultando a rischio, i fornitori di servizi di sicurezza basati su cloud inizieranno a guadagnare terreno nel mercato della sicurezza. I modelli di sicurezza del cloud “zero trust” diventeranno quindi uno standard aziendale.
I team passeranno a dare priorità alle soluzioni di sicurezza fornite dal cloud rispetto ai tradizionali prodotti basati su appliance.
Le organizzazioni sono infatti sempre più attratte dai servizi basati sul cloud, in quanto questi sono forniti su piattaforma e sono flessibili e scalabili. I sistemi di sicurezza basati su cloud sono costruiti con API aperte, ragion per cui i team di sicurezza possono integrare agevolmente le tecnologie nella piattaforma e attivare o disattivare le tecnologie di sicurezza, in base alle proprie esigenze.

L’urgenza di sicurezza basata su cloud è quindi quanto mai attuale. Poiché i fornitori offrono sempre più soluzioni di sicurezza cloud “a fiducia zero”, è probabile che queste soluzioni ottengano un’approvazione diffusa e molte delle principali aziende le adotteranno.
Il modello “zero trust” elimina l’idea che i vari attori in gioco siano persone affidabili. La sicurezza zero trust valuta continuamente il comportamento e le azioni di ogni individuo per identificare ed eliminare potenziali minacce. Ciò si ottiene attraverso una serie di fattori che determinano la liceità del comportamento di un utente sotto forma di un punteggio di rischio. Questi fattori possono includere, fra gli altri, la posizione fisica dell’utente, l’indirizzo IP e i permessi autorizzativi.

Il modello zero trust esegue delle simulazioni, calcolando il rischio dai fattori designati per generare un punteggio di rischio. Se tale score supera una certa soglia di accettabilità del rischio, l’utente può essere disconnesso dalla rete o essere invitato a soddisfare un processo di autenticazione a più fattori prima di poter continuare ad utilizzare la rete.

Crescita della sicurezza biometrica

Vedremo una crescita continua anche dei servizi biometrici. Si prevede che la spesa in capitale di rischio nel mercato dei sistemi biometrici aumenterà notevolmente nel 2019. In gran parte associata al riconoscimento del volto e delle impronte digitali, la biometria è in aumento da almeno il 2013, quando il lancio di TouchID ha messo la tecnologia nelle mani di tutti gli utenti di iPhone.
Finora, l’adozione di tecnologie biometriche è stata rallentata da preoccupazioni culturali ed etiche, legate all’istituzione di un database biometrico nazionale. La biometria è infatti un concetto che può intimorire, perché in grado di collegare la vita reale dell’individuo e la sua identità a dei record digitali e ad account online. Di conseguenza, molte persone sono inizialmente riluttanti a rivelare le proprie impronte digitali o ad accettare l’idea che il loro aspetto sia tracciato tramite una scansione di riconoscimento facciale. Tendenzialmente, solo quando la tecnologia incorpora l’innovazione e quando l’esperienza dell’utente ne viene significativamente e inevitabilmente influenzata, le resistenze tendono a scomparire. Una volta che gli individui si rendono conto che stanno già utilizzando questi strumenti, lo stigma indotto dal panico si dissipa in fretta.
Negli ultimi tempi, si è così affermato un uso diffuso della biometria del riconoscimento facciale, come quella utilizzata da Snapchat e Instagram. Un altro degli esempi più semplici e più diffusi di sicurezza biometrica è l’uso di FaceID e scansioni di impronte digitali per l’accesso all’iPhone.

I dati biometrici sono ora ampiamente utilizzati anche nelle applicazioni di infrastrutture critiche. Gli aeroporti, ad esempio, utilizzano la biometria per facilitare un processo di imbarco più veloce e gli ospedali adottano la biometria per la cura del paziente e come precauzione di sicurezza HIPAA.
Questa regolare esposizione alla biometria porterà presumibilmente ad una maggiore accettazione e all’adozione culturale della stessa come standard di sicurezza. Se ciò avverrà, i dati biometrici continueranno a diventare un bene sempre più prezioso anche per i cyber criminali. Del resto, se si pensa a modalità di protezione dell’identità, le conversazioni tendono a concentrarsi su due tecnologie: la blockchain e la biometria. La biometria comportamentale, in particolare, ricava la sua logica dai modelli comportamentali dell’individuo e si sta rivelando una soluzione particolarmente intuitiva.

Le aziende useranno strumenti biometrici perché, di fatto, aumentano significativamente l’efficacia delle pratiche di sicurezza. A mano a mano che i finanziamenti continueranno a canalizzare risorse per i fornitori di tecnologie biometriche, l’esperienza dell’utente non potrà che migliorare e, contemporaneamente, le remore associate all’uso di impronte digitali o di scansioni facciali si disperderanno velocemente.

Evoluzione della sicurezza IoT

Anche il mercato IoT è in piena espansione, al punto che l’esplosione degli endpoint e delle offerte IoT ha già superato il numero di prodotti di sicurezza IoT presenti sul mercato. Di conseguenza, è probabile che il numero degli incidenti di sicurezza IoT aumenti notevolmente nel 2019.
Certamente, come consumatori, amiamo l’Internet of Things: alimenta le nostre case intelligenti, i nostri tracker fitness e i nostri assistenti vocali. Ma i dispositivi IoT sono notoriamente insicuri, spesso con difetti trascurati che possono portare a violazioni inaspettate di informazioni sensibili.
Le aziende hanno realizzato una versione “intelligente” di praticamente tutto ciò che si può pensare, ma molti di questi prodotti hanno falle evidenti in materia di sicurezza.
Mentre l’innovazione IoT continua a fiorire, sempre più dispositivi IoT continueranno quindi ad essere coinvolti in attacchi DDoS nel 2019. Router e fotocamere si sono rivelati finora i principali tipi di dispositivi IoT coinvolti in tali attacchi. Questo perché un gran numero di router e webcam sono stati prodotti senza l’applicazione di misure di sicurezza sufficienti.
Abbiamo tutte le ragioni per credere che gli attacchi che sfruttano l’IoT diventeranno più diversificati in futuro. Man mano che il numero di tecnologie IoT sul posto di lavoro aumenterà a discapito delle risorse IT convenzionali, crescerà il rischio che questi dispositivi vengano utilizzati come punti di ingresso da parte di malintenzionati per compromettere dati aziendali. Diverse violazioni saranno direttamente legate alla tecnologia IoT installata. Evidentemente, il potere dei criminali informatici aumenterà tanto più quanto maggiore si rivelerà il numero di endpoint non protetti.
Esistono alcune tecnologie che possono aiutare a proteggere le aziende dagli attacchi, ma, fino a quando i professionisti della sicurezza non saranno in grado di determinare e risolvere il problema sottostante degli endpoint non protetti e proseguirà d’altro canto la crescita sproporzionata degli endpoint vulnerabili in assenza di efficaci soluzioni di sicurezza, la frequenza e la scala degli attacchi aumenteranno.

Con la crescita dell’IoT contestuale all’introduzione del 5G, le aziende avranno poi sempre più bisogno di investire sia nella tecnologia che nella formazione dei dipendentiper prepararsi al panorama delle minacce di prossima generazione. Il 5G, infatti, darà origine a nuove minacce e fornirà ai cyber criminali nuove opportunità per attuare attacchi che abbiamo visto crescere nel corso degli anni, con maggiore forza ed impatto.
Una volta violate le informazioni sensibili dei propri clienti, le aziende rischiano impatti finanziari notevoli dovuti all’erosione della fiducia dei consumatori.
Ecco perché è prevedibile e auspicabile che i leader aziendali inizino a riconoscere che la sicurezza informatica va allineata agli obiettivi aziendali generali e ne tengano conto in ogni fase del percorso di trasformazione digitale dell’organizzazione. La sicurezza informatica sarà vista sempre più come un fattore abilitante del business e si prevede una più stretta collaborazione a tutti i livelli organizzativi.

Crescita dei servizi di conformità alle normative di protezione dati

La pressione della conformità nelle organizzazioni è cresciuta nell’ultimo anno con l’introduzione del Regolamento Generale sulla Protezione dei Dati (GDPR) in Europa e dello schema di notifica di violazione dei dati (NDB) in Australia. Dopo che la regolamentazione in materia di riservatezza dei dati è stata portata in primo piano in tutti i paesi europei, tutto il contesto normativo globale diventerà sempre più impegnativo, dal momento che i regolatori e i governi di tutto il mondo continueranno a cercare di implementare una migliore protezione dei dati, come è stato fatto in Europa col GDPR. Ad esempio, è auspicabile che una legislazione specifica in materia di protezione dei dati, simile al GDPR, sia proposta anche negli Stati Uniti, al di là della California, che ha continuato ad innovare la legge sulla privacy dei dati con il “California Consumer Privacy Act (CCPA)” del 2018, forse la più dura legge sulla privacy dei dati nel Paese.

Gestire la privacy sarà la nuova normalità, come proteggere i dati o pagare le tasse. La privacy continuerà su un percorso simile all’evoluzione della sicurezza informatica. Il numero di violazioni e incidenti relativi alla privacy continuerà infatti a salire. Molte organizzazioni trattano il GDPR come un progetto, con una finalità limitata, ma la conformità è un esercizio continuo che richiede la stessa concentrazione e vigilanza di sicurezza o imposte.
La legislazione sulla protezione dei dati continuerà inoltre ad influenzare le aspettative della società in materia di sicurezza. I consumatori hanno sempre avuto a cuore la protezione dei propri dati, ma, con una nuova legislazione che ne ridefinisce il panorama, sono diventati più attivi nel richiedere che i propri dati siano trattati con rispetto e che i loro usi siano mantenuti visibili e chiari. La pressione che queste nuove aspettative della società eserciteranno non potrà essere sottovalutata, in quanto la sicurezza e la gestione dei dati sono ora viste come un fattore critico di successo. Conseguentemente, il mercato della conformità al GDPR, svolto come servizio alle imprese (fra software di protezione dei dati e software di analisi dei rischi di sicurezza), è atteso in aumento nel 2019.
D’altra parte, le massicce violazioni delle istituzioni finanziarie hanno portato a una richiesta collettiva di regolamentazione delle informazioni personali. Questi regolamenti costituiscono sicuramente un ottimo approccio, ma rappresentano anche un nuovo problema per le imprese. Le aziende devono adottare rapidamente più regolamenti internazionali in modo da tenere il passo con le aspettative dei consumatori circa la gestione delle loro informazioni personali. Peraltro, le organizzazioni, molte delle quali hanno risorse IT e di sicurezza limitate, dovranno capire come adattarsi per garantire la conformità a queste nuove normative, pur continuando a gestire le operazioni quotidiane.

La valutazione continua del rischio costituirà un aspetto fondamentale. Di conseguenza, ci si aspetta che la conformità a questi regolamenti giochi un ruolo sempre più importante nel modo in cui le organizzazioni gestiscono il loro profilo di rischio nel 2019. In caso di implementazione di una nuova applicazione o tecnologia, le aziende dovranno considerare attentamente la loro postura di rischio e, per affrontare queste sfide, avranno bisogno di soluzioni di gestione dei dati che siano automatizzate, basate su AI e orientate ai risultati, se sperano di implementare forti politiche di riservatezza dei dati, senza sacrifici in termini di produttività o agilità.

Il mercato in crescita dell’analisi dei rischi per la privacy e la sicurezza dei dati può fornire alle aziende gli strumenti di cui hanno bisogno per soddisfare la conformità ai nuovi regolamenti. Del resto, per le piccole imprese, assumere e formare nuovo personale può richiedere molto tempo e denaro. Molte delle attività relative alla conformità possono però essere automatizzate o ottimizzate tramite soluzioni software auto-gestite. Sebbene la formazione di tutti i dipendenti in materia di sicurezza appare imprescindibile, quella rivolta a nuovo personale al solo scopo di padroneggiare tali software potrà invece essere evitata. Ecco perché le aziende opteranno con buona probabilità per tecnologie e soluzioni software in grado di indirizzare agilmente la compliance al GDPR. Questa tendenza continuerà a crescere e a diventare un mercato a pieno titolo.

Crescita della formazione nella cyber security

Poiché la minaccia di attacchi informatici e tentativi malevoli aumenterà, il 2019 sarà un anno chiave per riqualificare la forza lavoro ed educare nuovi talenti.

La sicurezza dovrebbe essere al centro di qualsiasi iniziativa di trasformazione digitale, incorporata nel design delle tecnologie. Il codice dovrebbe essere sicuro, così come la progettazione e i processi. Nel 2018, la sicurezza informatica è stata più ampiamente accettata come priorità da trattare e gli alti dirigenti sono diventati più consapevoli del suo impatto sul raggiungimento degli obiettivi aziendali e sulla protezione del marchio. Guardando al prossimo futuro, le aziende continueranno ad inserire risorse con esperienza nella cyber security. D’altra parte, non sorprende che siamo attualmente in un enorme deficit di talenti qualificati nella sicurezza informatica. Nel 2019, vedremo un approccio più moderno al reclutamento e alla fidelizzazione della forza lavoro della cyber security, per colmare questo vuoto e creare più diversità. Si assisterà probabilmente ad un aumento dei programmi di apprendistato, formazione più diversificata e finanziamenti per contribuire a colmare il grande bisogno che il settore ha oggi.
L’efficacia dei programmi di cyber security si affiderà sempre più ai CISO e alla loro capacità di collaborare con il consiglio di amministrazione e comunicare le esigenze di sicurezza. I CISO in grado di comunicare una strategia chiara e un piano misurabile avranno un maggiore sostegno, nonché finanziamenti per iniziative chiave.

Conclusioni

In conclusione, l’evoluzione degli strumenti di autenticazione, l’accettazione diffusa di misure di sicurezza biometriche, il maggior rischio di incidenti legati alla sicurezza IoT e l’aumento dei fornitori di servizi di sicurezza cloud-based sono solo alcune delle tendenze attuali legate alla cyber security, ma rappresentano al meglio i cambiamenti complessivi del mercato nel prossimo futuro. Gli aspetti legati alla sicurezza informatica stanno diventando una necessità sempre più stringente per le aziende.
La domanda di fornitori di servizi di sicurezza gestiti a prezzi accessibili aumenterà drasticamente a causa di un aumento degli attacchi alle piccole e medie imprese a seguito della monetizzazione di ransomware, da parte di organizzazioni criminali. Le piccole organizzazioni si stanno finalmente rendendo conto che devono essere preparate come le grandi, nel campo della sicurezza informatica. Gli hacker traggono infatti vantaggio da organizzazioni più piccole, che spesso alimentano le catene di approvvigionamento di grandi aziende, perché in genere hanno vulnerabilità di sicurezza che possono essere sfruttate più facilmente rispetto a società “mirate” più strutturate.
Poiché la sicurezza non è stata ancora ben integrata in industrie affermate come le utility o nel mondo della sanità, questi settori costituiranno un obiettivo facile per gli aggressori. Il rischio è che, sebbene la loro vulnerabilità sia stata ben documentata, l’industria non prenda seriamente in considerazione la minaccia fino a quando non si verificherà un evento significativo.

Il controllo del rischio diventerà dunque un argomento estremamente critico sia per il settore pubblico che per quello privato. Grandi organizzazioni hanno già subito ingenti perdite a causa delle decisioni prese senza un’efficace gestione del rischio aziendale. I dati costituiscono una risorsa, ma l’adeguamento alle normative riguardanti la loro protezione è un costo da tenere in conto e, in tal senso, il prossimo anno vedremo l’ambiente normativo diventare ancora più complesso attorno alla governance dei dati, che vedrà l’Enterprise Risk Management affermarsi come una priorità per il top management delle società.