Nel 2023, i dipartimenti di sicurezza devono lavorare in modo più mirato nella gestione delle vulnerabilità e nella sicurezza della catena di approvvigionamento. Questo è un risultato centrale dello studio "State of Security Preparedness 2023" pubblicato dal provider di sicurezza Ivanti.
A differenza dei loro colleghi internazionali, il grado di maturità dei dipartimenti di sicurezza tedeschi è solo mediocre. Ciò è particolarmente evidente nelle questioni business-critical come la gestione dei punti deboli e nella formazione sulla sicurezza per i partner commerciali nella catena di distribuzione dell'azienda.
Le squadre di sicurezza tedesche devono recuperare il ritardo
Secondo lo studio Ivanti, il grado di maturità dei dipartimenti di sicurezza IT tedeschi è significativamente inferiore rispetto ai vicini paesi europei e mondiali. Solo il 19% degli intervistati giudica il proprio team avanzato e collaudato quando si tratta di rispettare le normative, le politiche e le procedure di sicurezza nazionali e globali. In Inghilterra, Francia e nella media internazionale, circa il 30% delle aziende si trova a questo livello di difesa più elevato. Secondo la loro stessa valutazione, la maggior parte dei team di sicurezza tedeschi (36%) si trova solo a un "livello intermedio" su questa questione.
Autovalutazione debole confermata
Questa autovalutazione è supportata dai metodi utilizzati dai team IT per valutare i propri programmi informatici. La qualità di questi metodi può servire da indicatore della fondatezza dei programmi impostati e attuati. I modelli di maturità della sicurezza informatica svolgono solo un ruolo minore in Germania rispetto alla media internazionale. Solo 1/3 delle aziende in questo paese lavora con questi modelli - in tutto il mondo è 2/3. La situazione è simile quando si tratta di valutare il rischio a cui sono esposti i dati finanziari rilevanti. 1/3 degli specialisti di sicurezza tedeschi intervistati determina la propria posizione di sicurezza sulla base di una valutazione del rischio dei dati finanziari (FinDRA). Tuttavia, quasi il doppio dei loro colleghi lavora su questa metrica nel Regno Unito e negli Stati Uniti (61%, 62%).
La capacità di un'organizzazione di determinare con precisione il proprio livello di sicurezza dipende non da ultimo dalla conoscenza dei sistemi e delle soluzioni utilizzate in azienda. Anche da questo punto di vista cala moderatamente l'autovalutazione dei security manager tedeschi. La maggior parte di loro (54%) ha solo una panoramica moderata delle proprie risorse e solo il 15% monitora continuamente gli utenti, i dispositivi, le applicazioni e i servizi connessi alla rete aziendale.
Gestione delle vulnerabilità: vorresti correggere tutto?
“I risultati del nostro studio mostrano che i professionisti della sicurezza tedeschi vogliono chiudere quasi tutte le vulnerabilità con priorità o priorità alta. Tale atteggiamento corrisponde al comprensibile desiderio di chiudere il maggior numero possibile di varchi potenziali. Tuttavia, questo difficilmente può essere realizzato nel normale funzionamento di un dipartimento IT con le risorse disponibili dei team", afferma Johannes Carl, Expert Manager PreSales - UEM & Security. “L'enorme numero di vulnerabilità aperte rende quasi impossibile erigere un muro protettivo completo attorno a un'azienda. È molto più efficace dare la priorità alla chiusura di quelle vulnerabilità che rappresentano un rischio reale per la singola azienda".
Lo studio Ivanti mostra che questa conoscenza non si è ancora sufficientemente diffusa tra i team di sicurezza in Germania. La metà degli esperti di sicurezza (48%) dà la priorità alle vulnerabilità strategiche che sono direttamente rilevanti per la propria azienda: un buon valore in un confronto internazionale. Tuttavia, è evidente che è incluso un numero sproporzionatamente elevato di punti deboli.
Indipendentemente dal fatto che si tratti di vulnerabilità elencate nell'NVD (National Vulnerability Database), attualmente sfruttate o identificate dal team stesso, la maggior parte dei professionisti della sicurezza tedeschi assegna loro la massima urgenza. A livello internazionale, c'è molta più differenziazione su questa questione. Uno dei motivi di questa valutazione potrebbe risiedere nel fatto che il 40% degli intervistati non utilizza un metodo specifico per dare priorità alle vulnerabilità o, se disponibile, non è documentato separatamente. Ciò rende difficile per i team applicare regole coerenti per la gestione delle vulnerabilità basata sul rischio.
Attacchi alla supply chain a colpo d'occhio, ma sotto controllo?
Anche la valutazione dei potenziali vettori di attacco consente un'analisi interessante. Il 40% dei professionisti della sicurezza tedeschi vede solo un livello moderato di minaccia negli attacchi alla e attraverso la catena di distribuzione. Dato l'aumento di questo tipo di attacco nell'ultimo anno, una tale valutazione è piuttosto sorprendente. Tuttavia, ciò che è interessante è anche l'affermazione di quasi un intervistato su due (48%) di essere molto ben preparato per un attacco alla catena di approvvigionamento.
Ciò coincide con l'elevata capacità dei dipartimenti IT tedeschi in un confronto tra paesi di poter revocare l'accesso a società terze con breve preavviso. Il 51% è in grado di farlo in un giorno. Un'altra affermazione è molto più critica: solo poco più di uno specialista di sicurezza su due in Germania (57%) obbliga anche i partner della catena di approvvigionamento a sottoporsi a una formazione obbligatoria sulla sicurezza informatica. Il valore medio per tutti i paesi è del 67%.
sfondo dello studio
Per lo studio "State of Security Preparedness 2023", nell'ottobre 2022 sono stati intervistati oltre 6.500 dirigenti, esperti di sicurezza informatica e impiegati in tutto il mondo. L'obiettivo del sondaggio, condotto da Ravn Research, è capire come i professionisti IT aziendali percepiscono le minacce alla sicurezza di oggi e come le organizzazioni si stanno preparando per minacce ancora sconosciute in futuro.
Altro su Ivanti.com
A proposito di Ivanti La forza dell'IT unificato. Ivanti collega l'IT con le operazioni di sicurezza aziendale per governare e proteggere meglio il posto di lavoro digitale. Identifichiamo le risorse IT su PC, dispositivi mobili, infrastrutture virtualizzate o nel data center, indipendentemente dal fatto che siano on-premise o nel cloud. Ivanti migliora l'erogazione dei servizi IT e riduce i rischi aziendali grazie a competenze e processi automatizzati. Utilizzando le moderne tecnologie nel magazzino e lungo l'intera catena di fornitura, Ivanti aiuta le aziende a migliorare la loro capacità di consegna, senza cambiare i sistemi di back-end.