L’ultima ricerca di ServiceNow, Today’s State of Vulnerability Response: Patch Work Demands Attention ha svelato il cosiddetto “paradosso del patching”: i security team programmano di assumere più personale per la gestione delle vulnerabilità, ma non miglioreranno la propria security se non correggeranno prima i processi di patching che non funzionano. Nel prossimo anno, il personale di IT Security è destinato a una crescita di circa il 48%, senza che ciò possa avere gli effetti sperati.
Le aziende sono in difficoltà con il patching perché utilizzano processi manuali e non riescono a dare un ordine di priorità a quale vulnerabilità debba essere risolta per prima. Lo studio rivela che processi efficienti per la gestione delle vulnerabilità sono fondamentali, poiché il patching tempestivo è la tattica di maggior successo per evitare violazioni alla sicurezza.
La ricerca ha coinvolto circa 3.000 professionisti di IT Security in nove Paesi, di cui oltre 1.500 in Europa. L’obiettivo era comprendere l’efficacia dei processi e degli strumenti per rispondere alle vulnerabilità. Una procedura di vulnerability response deve, infatti, essere utilizzata dalle aziende per stabilire le priorità e correggere i difetti nel software, prima che diventi un vettore di attacco.
“Aumentare i professionisti non è sufficiente per risolvere il problema essenziale che affligge i team di security oggi”. Afferma Rodolfo Falcone, AVP Mediterranean ServiceNow. “Automatizzare i processi di routine e dare la priorità alle vulnerabilità aiuterà le organizzazioni a evitare il ‘paradosso del patching’, consentendo così ai dipendenti di concentrarsi sul lavoro fondamentale per ridurre drasticamente le possibilità di una violazione”.
Le aziende pianificano nuove assunzioni, per rispondere meglio alle vulnerabilità
I team di cybersecurity dedicano già una quantità notevole di risorse al patching. Questo numero è destinato ad aumentare:
- Le organizzazioni europee trascorrono in media 319 ore alla settimana – l’equivalente di circa otto impiegati full-time – per gestire il processo di vulnerability response
- Il 63% degli intervistati europei afferma di voler assumere più risorse dedicate al patching, nei prossimi 12 mesi
- In media, il campione europeo pianifica di assumere circa 3,8 persone dedicate alla gestione delle vulnerabilità – un aumento del 48% rispetto ai livelli di organico attuali
Assumere non risolverà il problema: i team di security si scontrano con processi inadatti
Aumentare i professionisti di cybersecurity potrebbe, però, non essere possibile. Secondo uno studio di ISACA, una no-profit globale di IT advocacy, la carenza mondiale di professionisti di cybersecurity raggiungerà i 2 milioni entro il 2019. Lo studio rivela che assumere non risolverà le sfide di vulnerability response che fronteggiano le organizzazioni europee, come mostrano i risultati locali:
- Il 53% afferma di sprecare più tempo svolgendo processi manuali, piuttosto che per risolvere le vulnerabilità
- I team di security europei hanno perso una media di 11,5 giorni per coordinare manualmente le attività di patching, tra i diversi gruppi di lavoro
- Il 65% trova difficile dare la priorità a quale vulnerabilità debba essere risolta per prima
- Il 62% sostiene che i processi manuali siano di ostacolo nella gestione delle vulnerabilità
- Il 56% afferma che gli hacker stanno superando le aziende, grazie a tecnologie come il machine learning e l’intelligenza artificiale
- Il volume di attacchi cyber è aumentato del 16% lo scorso anno, la gravità del 22%
“La maggior parte delle violazioni di dati accade a causa di un patching fallimentare, tuttavia molte organizzazioni si trovano in difficoltà con le norme di base del patching”. Prosegue Rodolfo Falcone. “Gli attaccanti sono armati con le tecnologie più innovative e i team di security rimarranno in svantaggio, se non modificano il proprio approccio”.
Identificare e risolvere velocemente le vulnerabilità, riduce significativamente il rischio di violazione
Le organizzazioni che sono state violate si scontrano con processi di vulnerability response sbagliati, rispetto alle organizzazioni che non sono state attaccate:
- Il 48% delle aziende europee ha sperimentato una violazione di dati negli ultimi due anni
- La maggioranza delle aziende, colpite da una violazione in Europa (54%), sostiene di essere stata violata a causa di una vulnerabilità per cui una patch era già disponibile
- Il 32% dei professionisti di sicurezza europei era consapevole di essere vulnerabile, prima di venire attaccato
- Le organizzazioni europee che hanno evitato violazioni, si danno un voto più alto del 29% sull’abilità di mettere una patch rapidamente, rispetto alle aziende che sono state violate
- Il 40% delle vittime di violazione ammette di non scansionare i sistemi in cerca di vulnerabilità
I processi inadatti possono essere superati
Ecco cinque raccomandazioni chiave per offrire alle organizzazioni un piano di azione pragmatico che migliori la loro security:
- Fare un inventario oggettivo delle capacità di risposta alle vulnerabilità
- Accelerare il time-to-benefit, affrontando prima i problemi più facilmente risolvibili
- Riguadagnare il tempo perso in coordinamento, eliminando le barriere di dati tra sicurezza e IT
- Definire e ottimizzare i processi di vulnerability response end-to-end e automatizzare il più possibile
- Trattenere i professionisti validi, concentrandosi sulla cultura aziendale e l’ambiente
