“Il panorama delle minacce informatiche è in continua evoluzione. Sia i responsabili politici che i professionisti devono avere accesso a informazioni aggiornate e accurate sull’attuale panorama delle minacce, supportate dall’intelligence sulle minacce. Per rispondere a questa esigenza, dal 2012 viene pubblicato annualmente il panorama delle minacce ENISA . Questi rapporti si basano su dati pubblicamente disponibili e forniscono una visione indipendente delle minacce osservate, degli agenti di minaccia, delle tendenze delle minacce e dei vettori di attacco.
ENISA ha istituito un gruppo di lavoro ad hoc sui paesaggi delle minacce informatiche al fine di interagire con un’ampia gamma di parti interessate e ricevere consulenza per la progettazione, l’aggiornamento e la revisione della metodologia necessaria per disegnare il panorama delle minacce informatiche, compreso l’ENISA Threat Landscape annuale. L’Agenzia fornisce analisi delle minacce su una serie di tecnologie e sfide emergenti, inclusi i recenti scenari di minacce sull’intelligenza artificiale e il 5G.
In tema di attacchi alla supply chain, ENISA ha pubblicato nel 2012 (e aggiornato nel 2015) il Supply Chain Integrity Report che individua la natura di tali minacce ed esamina le possibili strategie per contrastarle.
Il rapporto rivela che un’organizzazione potrebbe essere vulnerabile a un attacco alla catena di approvvigionamento anche quando le proprie difese sono abbastanza buone. Gli aggressori esplorano nuove potenziali autostrade per infiltrarsi nelle organizzazioni prendendo di mira i loro fornitori. Inoltre, con il potenziale quasi illimitato dell’impatto degli attacchi alla catena di approvvigionamento su numerosi clienti, questi tipi di attacchi stanno diventando sempre più comuni.
Al fine di compromettere i clienti mirati, gli aggressori si sono concentrati sul codice dei fornitori in circa il 66% degli incidenti segnalati . Ciò dimostra che le organizzazioni dovrebbero concentrare i propri sforzi sulla convalida del codice e del software di terze parti prima di utilizzarli per assicurarsi che non siano stati manomessi o manipolati.
Per circa il 58% degli incidenti della catena di approvvigionamento analizzati, i beni dei clienti presi di mira erano principalmente i dati dei clienti , inclusi i dati di identificazione personale (PII) e la proprietà intellettuale.
Per il 66% degli attacchi di filiera analizzata, i fornitori non sapevano , o non sono riusciti a fornire report su come sono stati compromessi . Tuttavia, meno del 9% dei clienti compromessi tramite attacchi alla catena di approvvigionamento non sapeva come si fossero verificati gli attacchi. Ciò evidenzia il divario in termini di maturità nella segnalazione degli incidenti di sicurezza informatica tra fornitori e utenti finali.
Le raccomandazioni, in poche parole:
Applicare le buone pratiche e impegnarsi in azioni coordinate a livello dell’UE.
L’impatto degli attacchi sui fornitori può avere conseguenze di vasta portata a causa delle crescenti interdipendenze e complessità delle tecniche utilizzate. Al di là dei danni alle organizzazioni colpite e a terzi, c’è un motivo di preoccupazione più profondo quando le informazioni classificate vengono esfiltrate e la sicurezza nazionale è in gioco o quando potrebbero emergere conseguenze di natura geopolitica.
In questo ambiente complesso per le catene di approvvigionamento, stabilire buone pratiche e partecipare ad azioni coordinate a livello dell’UE sono entrambi importanti per sostenere tutti gli Stati membri nello sviluppo di capacità simili, per raggiungere un livello comune di sicurezza .
Il rapporto emette un ampio numero di raccomandazioni per i clienti per gestire il rischio di sicurezza informatica della catena di approvvigionamento e per gestire il rapporto con i fornitori.
Le raccomandazioni per i clienti includono:
- identificare e documentare fornitori e prestatori di servizi;
- definire i criteri di rischio per i diversi tipi di fornitori e servizi come le dipendenze da fornitore e cliente, dipendenze critiche da software, singoli punti di errore;
- monitoraggio dei rischi e delle minacce della catena di approvvigionamento;
- gestire i fornitori durante l’intero ciclo di vita di un prodotto o servizio, comprese le procedure per gestire prodotti o componenti a fine vita;
- classificazione dei beni e delle informazioni condivise con o accessibili ai fornitori e definizione delle relative procedure per l’accesso e la gestione degli stessi.
Il Report suggerisce anche possibili azioni per garantire che lo sviluppo di prodotti e servizi sia conforme alle pratiche di sicurezza. Si consiglia ai fornitori di implementare le buone pratiche per la gestione delle vulnerabilità e delle patch, ad esempio.
Le raccomandazioni per i fornitori includono:
- garantire che l’infrastruttura utilizzata per progettare, sviluppare, produrre e fornire prodotti, componenti e servizi segua le pratiche di sicurezza informatica;
- implementare un processo di sviluppo, manutenzione e supporto del prodotto che sia coerente con i processi di sviluppo del prodotto comunemente accettati;
- monitoraggio delle vulnerabilità di sicurezza segnalate da fonti interne ed esterne che includono componenti di terze parti utilizzati;
- mantenere un inventario delle risorse che include informazioni rilevanti per la patch.”
https://www.enisa.europa.eu/publications/threat-landscape-for-supply-chain-attacks
