Schivare il disastro: come un database dei “quasi incidenti” potrebbe rivoluzionare la trasparenza nella cybersecurity

È lo spavento di sicurezza che non finisce mai sui giornali: un’email di phishing ha quasi ingannato un dipendente, ma una fortunata regola del firewall o un secondo sguardo ha bloccato l’attacco sul nascere. L’azienda, sollevata, va avanti in silenzio. Ma se questi “quasi incidenti” - gli attacchi informatici che per poco non sono riusciti - venissero tracciati in modo sistematico, anonimizzati e condivisi? Alla conferenza RSAC di quest’anno a San Francisco, esperti del settore hanno sostenuto che raccogliere e analizzare i quasi incidenti potrebbe essere la svolta di cui la cybersecurity ha bisogno per stare davanti agli attaccanti e, finalmente, favorire una cultura di vera trasparenza.

Il segreto sporco della cybersecurity non sono solo le violazioni di cui leggete - sono le migliaia di volte in cui il disastro è stato evitato per un soffio e poi dimenticato. Secondo Wendy Nather (1Password) e Bob Lord (hacklore.org), quel silenzio sta costando caro alle organizzazioni. “Un quasi incidente è qualsiasi cosa che stava per accadere, che ti fa dire: ‘wow, se non fosse stato per quella cosa, sarebbe andata davvero male’”, ha spiegato Nather. Eppure, invece di analizzare questi casi sfiorati, la maggior parte delle aziende tira un sospiro di sollievo e va avanti, perdendo una cruciale occasione di apprendimento.

Perché succede? La risposta sta in un mix tossico di cultura della colpa, timore normativo e perenne ricerca di un capro espiatorio nell’errore umano. Quando qualcosa va storto - o quasi va storto - il primo istinto è puntare il dito, di solito contro un dipendente che ha cliccato il link sbagliato o ha riutilizzato una password. Ma, come osserva Lord, questa mentalità manca il punto. “Ogni volta che sei tentato di dare la colpa a qualcuno per un quasi incidente, è un segnale che dovresti guardare più a fondo nel sistema, non nella persona.” In altre parole, l’errore umano dovrebbe essere l’inizio dell’indagine, non la conclusione.

Gli esperti propongono un cambiamento radicale: creare un database volontario e anonimo per segnalare i quasi incidenti, simile a come l’industria aeronautica traccia i casi sfiorati. Aggregando e anonimizzando i dati, le organizzazioni potrebbero condividere cosa stava per accadere, cosa l’ha fermato e quali controlli hanno fatto la differenza - senza esporsi a colpe o sanzioni regolatorie. Un database del genere potrebbe rivelare schemi, mettere in luce debolezze sistemiche e fornire a regolatori e difensori l’intelligence necessaria per prevenire la prossima grande violazione.

In modo cruciale, questo approccio richiede un nuovo tipo di trasparenza - uno che valorizzi la franchezza più della conformità e tratti i quasi incidenti come elementi che rafforzano la fiducia, non come ammissioni di debolezza. “La fiducia nasce tra individui, non tra organizzazioni”, ha sottolineato Nather. Storie reali, condivise in sicurezza, potrebbero trasformare la capacità del settore di imparare e adattarsi, facendo sì che ogni caso sfiorato conti.

Man mano che le minacce informatiche crescono in complessità e frequenza, la differenza tra catastrofe e normalità operativa è spesso sottilissima. Facendo luce sui quasi incidenti, la comunità della cybersecurity potrebbe finalmente andare oltre la paura e il rimpallo di colpe - e verso difese più intelligenti e resilienti. Il settore farà un passo avanti e condividerà i suoi segreti prima che il prossimo caso sfiorato diventi una catastrofe?

WIKICROOK

• Near Miss: Un near miss è quando un attacco informatico quasi riesce ma viene fermato prima di causare danni, mettendo in evidenza vulnerabilità e opportunità per migliorare la sicurezza.
• Threat Intelligence: La threat intelligence è l’insieme di informazioni sulle minacce informatiche che aiuta le organizzazioni ad anticipare, identificare e difendersi da potenziali attacchi cyber.
• Indicatori di compromissione (IOCs): Gli indicatori di compromissione (IoC) sono indizi come nomi di file, IP o frammenti di codice che aiutano a rilevare se un sistema informatico è stato violato.
• Ransomware: Il ransomware è un software malevolo che cifra o blocca i dati, chiedendo un pagamento alle vittime per ripristinare l’accesso ai propri file o sistemi.
• Autenticazione multifattore (MFA): L’autenticazione multifattore (MFA) è un metodo di sicurezza che richiede agli utenti di fornire due o più prove di identità prima di accedere a un account.