Capire la sicurezza informatica

Lavorare nella sicurezza informatica è frustrante, in particolare se lavori nella sicurezza delle applicazioni o nella sicurezza del cloud. Nonostante tutto il duro lavoro nel tentativo di proteggere i nostri sistemi, ci vengono costantemente ricordate le nostre carenze di sicurezza da storie di più violazioni dei dati, più attacchi informatici come ransomware e perdite crescenti da sistemi non sicuri. Perché la sicurezza informatica è così difficile?

La mia prima risposta a questa domanda è: gli attaccanti devono avere successo solo una volta, i difensori devono avere successo sempre. Quindi, quando commettiamo un errore solo una volta, creiamo molteplici opportunità per gli hacker di sfruttare le nostre debolezze. Il phishing ne è un buon esempio. Basta una sola persona per cadere vittima di un attacco di phishing e l'intera organizzazione viene compromessa.

La mia seconda risposta a questa domanda è: i nostri sistemi sono molto complessi, il che li rende molto difficili da proteggere. Oltre alle complessità tecniche dei nostri sistemi, ci sono anche livelli di complessità socioculturale. Individui e gruppi vengono con i propri valori e idee di 'buone pratiche' che sono in conflitto con quelli di altri individui e gruppi e con le culture dell'organizzazione.

Una terza risposta a questa domanda è: lo sviluppo del software è un settore relativamente nuovo. È volatile e crea incertezza su come costruire sistemi sicuri fornendo valore ai clienti e rimanendo redditizi. C'è un flusso costante di nuove tecnologie che sembrano pretendere di risolvere una pletora di problemi di sicurezza che le organizzazioni devono affrontare. Rispetto ad altri settori, come l'edilizia, la sanità e i trasporti, lo sviluppo del software non è così maturo.

A mio parere, dobbiamo capire cos'è la sicurezza informatica e cosa può imparare dalle industrie più mature. Le nostre idee su cosa sia la sicurezza informatica rientrano in una nozione molto semplice o proteggere la riservatezza dei dati, mantenere l' integrità dei dati e garantire che i dati siano disponibili solo a coloro che hanno un motivo legittimo per accedervi quando ne hanno bisogno. La chiamiamo la triade della CIA. L'apparente semplicità di questo acronimo offusca la complessità richiesta per rendere sicuri i nostri sistemi.

Per alcuni, la sicurezza è una componente della qualità. Se integriamo la qualità nei nostri sistemi, implicitamente creiamo sicurezza in essi. Ma misurare la qualità e quindi la sicurezza non è cosa da poco. Un altro modo di guardare alla sicurezza è attraverso la lente della sicurezza: manteniamo i dati "al sicuro" pur mantenendo un posto "sicuro" all'interno delle nostre organizzazioni per i dati e le persone responsabili del "benessere" dei dati (come lo sviluppo e le operazioni ingegneri, analisti di dati e utenti di sistemi). Con questo in mente, c'è un argomento secondo cui la sicurezza informatica dovrebbe imparare dalla ricerca che è stata condotta nel corso di molti anni sulla qualità e la sicurezza dei prodotti e dei servizi forniti dall'industria.

Ad esempio, Toyota ha investito molto nella qualità, diventando un'organizzazione che apprende, senza paura di sfidare le attuali tradizioni di costruzione di automobili e sviluppare auto di alta qualità a prezzi accessibili che soddisfino le esigenze dei propri clienti. Toyota ha sfidato il vecchio paradigma delle auto prodotte in serie in grandi lotti di stili simili come metodo per ridurre i costi. Invece, si sono concentrati su qualità e varietà, richiedendo nuovi paradigmi, nuove tecnologie e nuovi standard di sicurezza e conformità per realizzarlo. Allo stesso modo, la sicurezza è una priorità di molti settori, tra cui la produzione e il funzionamento di aeromobili, l'energia nucleare, l'estrazione mineraria e il volo spaziale. In questi settori, i sistemi critici non possono tollerare una riduzione della conformità alla sicurezza o della qualità.

La ricerca che è andata in qualità e sicurezza da parte delle istituzioni accademiche è immensa. Eppure c'è stata pochissima ricerca accademica sulla sicurezza informatica in confronto. La mia ricerca di documenti accademici sulla sicurezza informatica mi suggerisce che ci deve essere molta più ricerca su alcune delle pratiche che diamo per scontate nella sicurezza informatica. Spesso, la nozione di ricerca di un'organizzazione si basa su ricerche di mercato e ricerche quantitative che sembrano convalidare la necessità di utilizzare una particolare pratica di sicurezza piuttosto che un'altra. La gestione delle vulnerabilità diventa un normale modo di lavorare: immagina di saltare su un aereo perché il capitano dica "stiamo aspettando che il responsabile dei difetti salga a bordo per gestire i difetti su questo aereo durante il volo". Ma questo è ciò che accade con la sicurezza informatica: ci aspettiamo che i nostri clienti accettino i rischi che corriamo con i loro dati. Quando gli sviluppatori scoprono più problemi dopo aver eseguito una scansione di sicurezza dell'applicazione, normalizzano il processo accettando che non tutti possono essere risolti e quindi i loro prodotti rimangono vulnerabili. Diane Vaughn ha definito questa "normalizzazione della devianza" in seguito alla sua ricerca sul disastro dello Space Shuttle Challenger in cui un componente difettoso è stato lasciato al suo posto perché il guasto era accettabile.

Quindi, come possiamo comprendere la sicurezza informatica? Suppongo che dovremmo esaminare la ricerca in altri settori della sicurezza e della qualità per trovare parallelismi con l'industria della sicurezza informatica. Le organizzazioni dovrebbero incoraggiare e collaborare con le istituzioni accademiche per svolgere più ricerca sulla sicurezza informatica, in particolare la ricerca che sfida i paradigmi attuali, che ci consente di far avanzare nuovi modi di lavorare con teorie comprovate. Non riusciremo mai a comprendere appieno la sicurezza informatica, in quanto non possiamo assolutamente comprendere la qualità e la sicurezza. Ci saranno sempre congetture e teorie che sfidano o fanno avanzare la prassi corrente. A mio parere, l'industria della sicurezza informatica sembra fare affidamento su paradigmi esistenti senza comprenderne veramente l'efficacia nel rendere le organizzazioni più sicure. Comprendere la sicurezza informatica significa sfidare questa norma.