Secure by Design: la sicurezza informatica come fondamento

Secure by Design è una filosofia di sviluppo software che considera la sicurezza come un requisito fondamentale, anziché un’aggiunta successiva.

Invece di costruire prima un prodotto e aggiungere in seguito correzioni di sicurezza, Secure by Design richiede che le considerazioni sulla sicurezza siano integrate in ogni fase del ciclo di sviluppo — dall’architettura e progettazione fino alla codifica, ai test, al deployment e alla manutenzione.

L’idea di fondo è semplice: se si costruisce qualcosa in modo sicuro fin dalle basi, gli utenti sono protetti per impostazione predefinita, e non solo quando sanno attivare le giuste configurazioni o quando le vulnerabilità vengono corrette a posteriori.

In termini pratici, questo significa adottare alcuni principi fondamentali di sicurezza:

• Principio del privilegio minimo: garantisce che processi, agenti — inclusi quelli basati su AI — container e servizi di sistema abbiano solo i permessi strettamente necessari.
• Configurazioni sicure di default: assicurano che i prodotti vengano distribuiti con le impostazioni più sicure già attive.
• Difesa in profondità: prevede più livelli di sicurezza, in modo che un singolo punto di failure non diventi critico.
• Inoltre, le organizzazioni possono rafforzare la resilienza eliminando intere classi di vulnerabilità attraverso linguaggi, framework e modelli di progettazione più sicuri.

Perché è stato introdotto l’approccio Secure by Design?

Per decenni, molti protagonisti del settore tecnologico hanno operato secondo il modello “rilascia velocemente, correggi dopo”. Una conseguenza di questo approccio è che la cybersecurity viene spesso percepita come un centro di costo — qualcosa che rallenta i rilasci e frustra gli sviluppatori.

Gli effetti sono evidenti: vulnerabilità continue, patch urgenti rilasciate in fretta e violazioni che costano miliardi alle aziende, esponendo i dati personali di centinaia di milioni di persone.

Le vulnerabilità di Ivanti Connect Secure, l’exploit Log4Shell in una libreria open source diffusissima e le falle di MOVEit Transfer hanno dimostrato che un approccio reattivo alla sicurezza non riesce a tenere il passo con avversari determinati.

Per affrontare questo squilibrio, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti — insieme a partner internazionali — ha pubblicato nel 2023 linee guida formali su Secure by Design, invitando i produttori di tecnologia ad assumersi la responsabilità della sicurezza dei propri clienti.

Secondo questi principi, l’onere della sicurezza deve ricadere sui fornitori che sviluppano i prodotti, non sugli utenti finali che li utilizzano. Questo implica ripensare le priorità tra velocità e nuove funzionalità, trattando la sicurezza come un requisito progettuale centrale e non come un’aggiunta.

Il cambiamento sposta l’attenzione dal colpevolizzare gli utenti che non aggiornano tempestivamente al responsabilizzare i produttori nel fornire prodotti sicuri fin dal primo giorno — anche a costo di rallentare lo sviluppo o riprogettare approcci legacy per ridurre i rischi sistemici.

Perché Secure by Design è cruciale per le soluzioni di cybersecurity

È un promemoria importante: anche gli strumenti di sicurezza possono diventare un punto di ingresso per un attacco. E accade con una frequenza preoccupante.

Questo evidenzia una debolezza critica: una volta esposto un dispositivo perimetrale, gli attaccanti continuano a colpirlo finché non è completamente messo in sicurezza. Firewall e sistemi edge possono rimanere vulnerabili anche dopo la disponibilità di una patch.

Secondo un’analisi degli incidenti gestiti da Sophos, il tempo medio tra la pubblicazione di una patch e lo sfruttamento della vulnerabilità è di 322 giorni — quasi un anno di opportunità per gli attaccanti. I vendor non possono quindi dare per scontato che gli utenti aggiornino subito.

Il problema della posizione privilegiata

Gli strumenti di cybersecurity operano nelle parti più sensibili dell’infrastruttura aziendale:

• gli agenti EDR hanno accesso a livello kernel
• le piattaforme SIEM raccolgono log da tutti i sistemi
• i provider di identità gestiscono gli accessi
• i firewall proteggono il perimetro tra reti fidate e non fidate

Quando questi prodotti si trovano al centro delle difese, hanno una responsabilità ancora maggiore nel rispettare i principi Secure by Design.

Una vulnerabilità in un prodotto di sicurezza non espone solo quel prodotto, ma tutto ciò che protegge. Se un attaccante compromette un agente EDR, ottiene il controllo dell’endpoint. Se sfrutta una vulnerabilità in una VPN, ottiene un accesso diretto oltre ogni barriera perimetrale.

Cosa succede quando il principio del Secure by Design viene ignorato?

Le conseguenze sono ben note:

• Costi di violazione in crescita: correggere vulnerabilità dopo il rilascio è molto più costoso
• Perdita di fiducia: clienti e partner perdono fiducia, con danni reputazionali duraturi
• Rischi normativi: regolamenti sempre più stringenti, come il Cyber Resilience Act europeo
• Rischi per la sicurezza nazionale: infrastrutture critiche esposte ad attacchi statali o ransomware
• Affaticamento da patch: ciclo continuo di vulnerabilità e aggiornamenti che consuma risorse

L’impegno di Sophos per il Secure by Design

L’8 maggio 2024, Sophos è stata tra le prime aziende ad aderire all’iniziativa Secure by Design della CISA, basata su sette pilastri:

• autenticazione multi-fattore
• eliminazione delle password di default
• riduzione delle vulnerabilità
• gestione delle patch
• policy di disclosure
• gestione dei CVE
• evidenze di intrusione

In linea con i valori di trasparenza, l’azienda pubblica i propri impegni e i progressi raggiunti.

Ad esempio, la versione v22 di Sophos Firewall introduce:

• funzione Health Check contro errori di configurazione
• nuova architettura containerizzata più sicura
• monitoraggio in tempo reale con XDR Linux Sensor
• aggiornamenti firmware cifrati e certificati

Queste innovazioni migliorano visibilità, logging e capacità di difesa, adeguandose anche alle linee guida del National Cyber Security Centre del Regno Unito.

La strada da seguire

Il Secure by Design non elimina tutte le vulnerabilità, né sostituisce la necessità di vigilanza continua. Tuttavia, è diventato un pilastro fondamentale della cybersecurity per ridurre la superficie di attacco.

La domanda non è più se sia una buona idea.
Ma quanto velocemente verrà adottato.