Ripubblicato con l’autorizzazione di CIO.com

Non è un segreto che le minacce informatiche siano in aumento. Il costo della criminalità informatica denunciata negli Stati Uniti è aumentato del 22% nel corso del 2023, superando i 12,5 miliardi di dollari, secondo l’Internet Crime Complaint Center dell’FBI. Un problema è rappresentato dalle vulnerabilità rimaste nel software a causa degli approcci tradizionali alla codifica e alla sicurezza. Per contrastare questi rischi, è ora in corso uno sforzo coordinato per creare software che sia secure by design. Ad esempio, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha delineato una serie di azioni che i fornitori possono intraprendere per dimostrare che stanno adottando i principi secure by design.

Ma senza standard e metriche applicabili, per i responsabili IT e della sicurezza è difficile valutare se e in che modo i fornitori stiano attuando questo approccio secure by design. Ecco alcuni passaggi che è possibile seguire.

Integrare le pratiche secure by design nelle valutazioni del rischio di sicurezza

La valutazione del rischio dei fornitori è un processo standard mediante il quale le aziende identificano e valutano i potenziali rischi associati ai prodotti e alle attività di un fornitore. I responsabili IT e della sicurezza possono utilizzare questo processo per concentrarsi sui principi e sulle pratiche secure by design, afferma Michael Riemer, Field Chief Information Security Officer di Ivanti.

“Per noi, in qualità di fornitore di software, significa assumerci la piena responsabilità dei nostri prodotti”, afferma Riemer. “Si esamina l’intera architettura della soluzione e si considera la sicurezza in tutte le aree, come progettazione dell’architettura, storage, connettività, utilizzo e così via.”

Nell’ambito della valutazione del rischio di sicurezza, le aziende dovrebbero anche valutare la possibilità di richiedere un report SOC 2 Type 2. Questo tipo di valutazione offre maggiori garanzie su come un fornitore protegge i dati e le informazioni dei clienti. Prevede un audit di cybersecurity condotto da terze parti, che valuta il funzionamento dei controlli e delle pratiche di sicurezza interne del fornitore per un periodo di tempo prolungato.

Ecco alcune domande chiave a cui ogni fornitore dovrebbe saper rispondere:

  • Con quale frequenza eseguite i penetration test?
  • Quali tipi di penetration test vengono eseguiti?
  • Eseguite sia l’analisi statica sia l’analisi dinamica del codice?

Valutare le pratiche di codifica

Le pratiche di codifica tradizionali sono sequenziali: un team lavora su un modulo, quindi lo passa al team successivo e così via. Ma questo mantiene le vulnerabilità introdotte nella base di codice, afferma Riemer. Riorganizzando i team in “pod” o gruppi, ciascuno con un security architect dedicato, le vulnerabilità possono essere eliminate fin dall’inizio. È stato un cambiamento importante per Ivanti, afferma Riemer. I fornitori dovrebbero essere in grado di dimostrare questi cambiamenti organizzativi e le nuove pratiche.

Valutare la trasparenza dell’approccio secure by design

I fornitori dovrebbero essere in grado di rendere pubblici i propri obiettivi secure by design e dimostrare che comunicano, o comunicheranno, le metriche su base regolare. I clienti dovrebbero anche poter monitorare i progressi del fornitore attraverso i suoi moduli software.

“Abbiamo definito obiettivi specifici e stabilito una baseline e delle metriche”, afferma Riemer. “Ci assumiamo la responsabilità dei nostri progressi secure by design. Queste metriche mostreranno quali moduli software abbiamo analizzato e quanto le analisi siano andate in profondità nell’identificare e correggere pratiche di codifica deboli.”

In sintesi

I leader aziendali e IT possono utilizzare i principi secure by design per valutare i progressi compiuti dai propri fornitori di software nella creazione di codice intrinsecamente più sicuro. L’approccio secure by design consente a questi leader di ridurre al minimo i rischi aziendali.