Le previsioni per il futuro sono sempre complicate, ma quando si tratta di sicurezza informatica, ci sono alcune cose che ci aspettiamo di vedere nel 2023.

Ma prima, una rapida rassegna delle previsioni che abbiamo fatto l'anno scorso :

• ✅ Fizzle NFT: una vittima della svendita di criptovalute
• ✅ Il metaverso svanisce: una vittima di miliardari con più soldi che buon senso
• ✅ Il Web 3.0 fallisce: una vittima della svendita di criptovalute
• ✅ Inflazione e carenza di chip (più della prima che della seconda)
• ✅ Auto elettriche sempre più diversificate su strada
• ◐ WFH diventa un miscuglio di risultati permanenti
• ◐ AppSec focus: un miscuglio di risultati
• ❌ Acquisizione HTTP/3 — miss: l'adozione è rimasta stabile al 25% dei siti web
• ❌ Il decollo delle app local first/privacy-first — purtroppo non si è concretizzato, anche se per essere onesti abbiamo detto che sarebbe successo nei prossimi anni

L'IA generativa ha abilitato una nuova classe di software in grado di produrre testo, immagini e codice. Sul fronte del codice, ChatGPT ha già mostrato grandi promesse nel generare exploit per le vulnerabilità, il che è molto preoccupante.

Creare exploit funzionanti è stato tradizionalmente un compito che richiede notevoli competenze e abilità. Se si tengono da parte gli attacchi allo stato-nazione da parte di hacker professionisti che lavorano per l'apparato di sicurezza nazionale del proprio paese, la maggior parte degli hack utilizza exploit sviluppati e resi pubblici da altri, di solito dopo che il fornitore del software ha avuto l'opportunità di correggere un exploit .

Gli hacker che utilizzano questi exploit già pronti ma non hanno le capacità per produrne di propri sono spesso chiamati script kiddies e rappresentano la maggior parte degli aggressori su Internet. E mentre spesso hanno successo, per la maggior parte, solo mantenere i sistemi patchati e aggiornati fermerà gli attacchi di script kiddie.

Ora, con gli strumenti di intelligenza artificiale a loro disposizione, molti di questi aggressori poco qualificati saranno in grado di attaccare oltre il loro livello di abilità. In altre parole, preparati ad attacchi più sofisticati e zero-day provenienti da masse di aggressori meno sofisticati.

E mentre molti prevedono che anche la difesa informatica trarrà vantaggio da queste scoperte dell'IA, soluzioni come questa probabilmente rimarranno un po' indietro rispetto agli aggressori. E non cambia davvero i problemi associati alla differenziazione del traffico di rete o delle operazioni di sistema "buone" da quelle "cattive".

2. Decollano le sanzioni per violazione dei dati

Il GDPR è in vigore dal 2018 e ha finalmente trovato il suo fondamento:

• Sanzioni GDPR 2018-2020: 253 milioni di euro
• Sanzioni GDPR 2021-2022: € 2,1 miliardi (⬆8x)

E poi ci sono le leggi statali sulla privacy. L'ultima legge della California, CPRA, e la nuova legge sulla privacy della Virginia, CDPA, entreranno entrambe in vigore il 1° gennaio 2023.

Come abbiamo visto con il GDPR, possono essere necessari alcuni anni prima che le forze dell'ordine sulla privacy aumentino, ma prevediamo multe elevate per le aziende che subiranno violazioni nel 2023. Meglio mettere in ordine quella casa prima di allora.

3. Ripercussioni della guerra in Ucraina: attacchi digitali all'approvvigionamento energetico

Gli hacker russi hanno ripetutamente colpito l'Ucraina per un decennio utilizzando un'ampia gamma di attacchi, compresi quelli che saltano il divario dal digitale al fisico per causare interruzioni di corrente e altro ancora.

Gli hacker russi si sono concentrati sulla guerra, ma le sanzioni contro la Russia stanno crescendo nel dolore. La Russia vuole che queste sanzioni si allentino e per questo ha bisogno che i paesi soffrano per i prezzi dell'energia.

Fai attenzione agli attacchi contro infrastrutture critiche come reti, gasdotti e compagnie di navigazione nel 2023 non solo in Ucraina, ma in tutta Europa e negli Stati Uniti Questi saranno probabilmente accompagnati da rinnovate campagne di disinformazione con l'obiettivo di provocare disordini ed estremismo nei paesi democratici che aggiungono pressione ai politici per trovare soluzioni all'impennata dei costi energetici.

4. Progresso post-quantistico, ma ancora nessun cambiamento importante

La competizione di crittografia post-quantistica ospitata dal NIST ha fatto le sue selezioni iniziali per i nuovi standard crittografici nel 2022, ma queste selezioni non sono ancora state finalizzate.

Una volta finalizzato, ci sarà un'incredibile spinta per aggiornare l'infrastruttura crittografica per supportare i nuovi standard, e questo richiederà molto tempo e denaro.

Per ora, tuttavia, il NIST sta raccogliendo feedback dalla comunità e poi produrrà bozze di standard che consentano o addirittura richiedano l'uso di questi nuovi algoritmi.

Tali bozze avranno quindi bisogno di tempo per commenti e revisioni pubbliche prima di essere ufficialmente benedette e pronte per l'adozione. Con ogni probabilità, vedremo progressi significativi nel 2023, ma nessuna esercitazione antincendio nella crittografia fino al 2024.

5. Sovranità dei dati e caos multi-cloud

Molte aziende stanno ancora lavorando per passare dall'on-premise al cloud, ma per coloro che sono già nel cloud, il passo successivo scoraggiante è il mondo multi-cloud frammentato guidato dalle leggi sulla sovranità dei dati. La sfiducia tra i paesi ha portato alla necessità di conservare i dati sui cittadini entro i confini del paese o della regione in cui il cittadino vive.

Quando si tratta di Europa, gli Stati Uniti non sono attualmente un'entità fidata perché le leggi negli Stati Uniti consentono al governo di produrre citazioni in giudizio segrete per imporre informazioni in caso di sospetto spionaggio.

C'è una proposta di nuovo accordo sullo scudo per la privacy tra Stati Uniti e UE che sembra morto all'arrivo senza progressi dal suo annuncio la scorsa estate. Ma anche se dovesse passare, sarà sfidato e ritenuto carente, ancora una volta, a meno che gli Stati Uniti non cambino le loro leggi per proteggere meglio la privacy dei cittadini e dei non cittadini, il che sembra improbabile.

Le conseguenze di questo spostamento multi-cloud saranno duplici:

1. Un aumento della complessità porta a più configurazioni errate e di conseguenza a più violazioni. Nota: secondo Trend Micro, oggi il 70% delle violazioni nel cloud è dovuto a configurazioni errate ; questo non farà che peggiorare.
2. Un aumento dell'adozione di misure tecniche , e in particolare della crittografia, per mantenere i dati privati ​​e per mantenere il controllo dei dati, tramite le chiavi che li crittografano, fuori dalla giurisdizione di governi non fidati.

Gli attacchi alla supply chain che iniettano codice dannoso nelle dipendenze del software e compromettono tutte le app che li utilizzano direttamente o indirettamente sono stati un grosso problema negli ultimi due anni (si pensi a SolarWinds e Log4j).

L'approccio consensuale per risolvere questo problema è stato quello di creare distinte base software (SBOM) per tutto il software utilizzato. Questi SBOM elencano tutte le dipendenze dirette e indirette di un determinato software.

Questo è stato paragonato a mettere i dati nutrizionali sul lato della confezione del cibo, ma in pratica non è neanche lontanamente utile. Qualcuno deve valutare tutte quelle migliaia di dipendenze per determinare quali rappresentano rischi accettabili e quali no. E se una dipendenza è inaccettabile, l'azienda smette di utilizzare il software a monte di essa? L'azienda reimplementa la funzionalità della libreria stessa? Per l'open source, quali criteri dovrebbero essere utilizzati per l'affidabilità?

La triste verità è che è un'enorme quantità di lavoro per ingerire e valutare SBOM ed è un lavoro di diversi ordini di grandezza in più per porre rimedio a qualsiasi cosa considerata un problema.

Le SBOM sono un buon primo passo verso potenziali futuri sistemi di punteggio che aiutano le aziende a comprendere il rischio intrinseco nel software che utilizzano, ma nel frattempo, le aziende troveranno le SBOM come un buco senza fondo di tempo e denaro con un piccolo aumento pratico della sicurezza come risultato .

Pronostici bonus

• L'anno dello Yubikey: i token hardware sono un modo migliore per gestire il multifattore e con Apple e Google che li integrano in nuovi telefoni e con altri approcci multifattoriali che falliscono di fronte agli attacchi di fatica e all'ingegneria sociale, le aziende inizieranno distribuzione di token hardware a una parte maggiore della forza lavoro e in particolare a coloro che hanno accesso a informazioni sensibili. L'hype train "senza password" aiuterà anche questo.
• L'implosione di Web3 continua: le startup che costruiscono app Web3 avranno difficoltà a raccogliere fondi o ottenere entrate sufficienti dagli utenti per mantenere i propri dipendenti occupati. Vedremo un massiccio calo dei progetti attivi e delle startup man mano che gli incentivi monetari svaniscono e gli altri aspetti negativi del Web3 (complessità, scarse prestazioni, registri pubblici, basi di criptovaluta) diventano più evidenti.

• L'entusiasmo per lo "zero trust" svanisce: un numero sufficiente di aziende ha tentato di implementare il tanto pubblicizzato modello di sicurezza della "rete zero trust" e ha scoperto che le soluzioni non sono all'altezza delle promesse e che la complessità e la gestione sono più costose del previsto. La diffidenza dell'acquirente porterà a molto meno marketing attorno a questo concetto, anche se è fondamentalmente una buona idea che le organizzazioni dovrebbero ancora sforzarsi di raggiungere.