La sicurezza informatica contemporanea si trova ad affrontare un panorama di minacce in continua evoluzione, dove gli attacchi si fanno sempre più sofisticati e persistenti. In questo contesto, un approccio monolitico alla protezione si rivela invariabilmente insufficiente. La difesa in profondità (Defense in Depth, DiD) emerge come paradigma strategico essenziale, fondato sul principio militare secondo cui un avversario incontra maggiore difficoltà nel superare una serie di meccanismi difensivi eterogenei piuttosto che un’unica barriera, per quanto robusta.

Cyber Defense in Depth: fondamenti concettuali

Il modello di difesa in profondità trascende la mera sovrapposizione di soluzioni tecnologiche, configurandosi come una filosofia olistica che permea l’intera architettura di sicurezza. L’origine del concetto risale alle strategie militari classiche, dove la stratificazione di barriere fisiche, come fossati e mura concentriche, amplificava l’efficacia dell’apparato difensivo. Nella sua trasposizione digitale, questo paradigma si articola attraverso l’implementazione coordinata di controlli preventivi, detective e reattivi, orchestrati in modo da proteggere sistematicamente ogni dimensione dell’ecosistema informativo.

Architettura Multilivello

Una difesa in profondità efficace si struttura attraverso diversi strati concettuali, ciascuno con peculiari obiettivi protettivi:

1. Perimetro di Rete: Costituisce la prima linea di difesa e include firewall di nuova generazione, sistemi di prevenzione delle intrusioni (IPS) e gateway sicuri. Questo livello filtra il traffico indesiderato prima che raggiunga i sistemi interni.
2. Segmentazione di Rete: Compartimentalizza l’infrastruttura attraverso VLAN e microsegmentazione, limitando il movimento laterale in caso di compromissione e contenendo l’estensione di eventuali violazioni.
3. Protezione degli Endpoint: Implementa soluzioni avanzate di rilevamento e risposta (EDR) che combinano metodi euristici e comportamentali per identificare anomalie non riconoscibili tramite firme tradizionali.
4. Autenticazione e Autorizzazione: Adotta paradigmi Zero Trust e implementa autenticazione multi-fattore (MFA), privilegiando l’identificazione contestuale e la validazione continua delle credenziali.
5. Protezione dei Dati: Applica crittografia pervasiva, sia per i dati in transito che per quelli a riposo, integrata con soluzioni di Data Loss Prevention (DLP) per prevenire l’esfiltrazione non autorizzata.
6. Monitoraggio e Analisi: Utilizza Security Information and Event Management (SIEM) potenziati da intelligenza artificiale per correlare eventi apparentemente scollegati, identificando pattern di attacco complessi.
   Risposta agli Incidenti: Predispone procedure formalizzate e automatizzate per contenere, eradicare e ripristinare i sistemi compromessi, minimizzando l’impatto operativo.

Cyber Defense in Depth: evoluzione paradigmatica

La difesa in profondità contemporanea ha subito un’evoluzione significativa rispetto alle implementazioni tradizionali. Il National Institute of Standards and Technology (NIST) ha proposto una riformulazione del paradigma attraverso il Cybersecurity Framework, che integra funzioni di identificazione, protezione, rilevamento, risposta e recupero in un modello ciclico e adattivo. Questo approccio riconosce la natura dinamica delle minacce e la necessità di un continuo riallineamento delle strategie difensive.

Parallelamente, l’European Union Agency for Cybersecurity (ENISA) ha elaborato linee guida che enfatizzano l’importanza dell’interoperabilità tra i diversi strati difensivi, sottolineando come l’efficacia complessiva del sistema dipenda non solo dalla robustezza dei singoli componenti, ma anche dalla loro coerenza architetturale.

Implementazione Strategica

L’implementazione efficace di una strategia di difesa in profondità richiede un processo metodico che comprende:

1. Valutazione del Rischio: Analisi sistematica delle minacce, vulnerabilità e potenziali impatti sugli asset critici, calibrando l’intensità delle misure protettive in base alla criticità degli asset.
2. Architettura Resiliente: Progettazione di sistemi intrinsecamente resistenti alle compromissioni, privilegiando architetture che mantengono funzionalità essenziali anche in condizioni degradate.
3. Orchestrazione dei Controlli: Coordinamento sinergico delle misure difensive per massimizzare la copertura e minimizzare le ridondanze inefficienti.
4. Automazione e Orchestrazione: Implementazione di processi automatizzati per accelerare la risposta agli incidenti, riducendo il tempo di permanenza degli attaccanti nei sistemi compromessi.
5. Formazione e Consapevolezza: Potenziamento del fattore umano attraverso programmi di sensibilizzazione continua e simulazioni di attacco controllate.

Sfide Emergenti

Il paradigma della difesa in profondità affronta sfide significative nell’era della trasformazione digitale:

• Perimetro Dissolto: L’adozione massiva del cloud computing, l’Internet of Things (IoT) e il lavoro remoto hanno dissolto i confini tradizionali del perimetro aziendale, richiedendo una ridefinizione del concetto stesso di difesa stratificata.
• Complessità Gestionale: La proliferazione di soluzioni di sicurezza eterogenee introduce complessità operativa, con potenziali vulnerabilità derivanti da configurazioni errate o incompatibilità tra sistemi.
• Sofisticazione degli Attacchi: L’emergere di minacce persistenti avanzate (APT) e campagne supportate da stati-nazione ha elevato il livello di sofisticazione degli attacchi, rendendo più ardua l’identificazione delle compromissioni.
• Equilibrio tra Sicurezza e Usabilità: L’implementazione di controlli multipli può impattare negativamente sull’esperienza utente, generando resistenza organizzativa e potenziali tentativi di elusione.

Il Modello Zero Trust e la sua Integrazione con la Difesa in Profondità

Negli ultimi anni, il modello Zero Trust è emerso come un’evoluzione significativa del concetto di sicurezza perimetrale tradizionale. A differenza degli approcci convenzionali che si basano sul principio di “fiducia ma verifica”, il paradigma Zero Trust opera secondo la filosofia di “non fidati mai, verifica sempre”. Questo approccio presuppone che nessuna entità, interna o esterna, debba essere considerata intrinsecamente affidabile.

Il modello Zero Trust si integra perfettamente con la difesa in profondità, offrendo un ulteriore strato di protezione che rafforza l’intera architettura di sicurezza. Mentre la difesa in profondità si concentra sulla creazione di barriere multiple per rallentare e contenere gli attacchi, il modello Zero Trust aggiunge un livello di scrutinio continuo che verifica costantemente l’identità e l’autorizzazione di ogni utente, dispositivo o applicazione che interagisce con le risorse aziendali.

Gli elementi chiave dell’integrazione tra Zero Trust e difesa in profondità includono:

• Autenticazione Contestuale: L’implementazione di meccanismi di autenticazione che considerano non solo le credenziali, ma anche il contesto della richiesta, come la posizione geografica, il dispositivo utilizzato e il comportamento dell’utente.
• Principio del Privilegio Minimo: L’applicazione rigorosa del principio secondo cui ogni utente o sistema deve avere accesso solo alle risorse strettamente necessarie per svolgere le proprie funzioni, limitando così l’ambito potenziale di un’eventuale compromissione.
• Segmentazione Microscopica: La suddivisione dell’infrastruttura in segmenti estremamente granulari, con policy di accesso specifiche per ciascun segmento, impedendo il movimento laterale degli attaccanti.
• Monitoraggio Continuo: L’implementazione di sistemi di monitoraggio che valutano costantemente il comportamento degli utenti e dei sistemi, identificando anomalie che potrebbero indicare una compromissione.
• Validazione dell’Integrità del Dispositivo: La verifica dello stato di salute e della configurazione di sicurezza dei dispositivi prima di consentire loro l’accesso alle risorse aziendali.

L’integrazione di questi principi Zero Trust nella strategia di difesa in profondità crea un ambiente di sicurezza più resiliente, in cui anche se un attaccante riesce a superare un livello di difesa, si trova comunque di fronte a continui controlli di autenticazione e autorizzazione che ostacolano significativamente la sua capacità di movimento e di accesso alle risorse critiche.

Cyber Deception: l’arte dell’inganno come strategia difensiva

La cyber deception (inganno informatico) rappresenta un’evoluzione sofisticata nel panorama della difesa in profondità, trasformando la postura passiva tradizionale in una strategia attiva che manipola la percezione degli attaccanti. Questo approccio si basa sul principio militare dell’inganno tattico, creando un ambiente informativo artificioso che induce l’avversario a dedicare risorse ed energie a obiettivi fittizi, rivelando al contempo le sue tecniche e intenzioni.

Evoluzione dalle Honeypot tradizionali ai sistemi di inganno avanzati

Il concetto di cyber deception ha origini nelle primitive honeypot degli anni ’90, semplici sistemi esca progettati per attirare e studiare gli attaccanti. L’evoluzione di questa tecnologia ha portato a piattaforme di inganno moderne caratterizzate da:

• Decoy Dinamici e Adattivi: Sistemi esca che si modificano automaticamente in risposta all’ambiente circostante e alle tattiche degli attaccanti, mantenendo un elevato livello di credibilità.
• Breadcrumb Strategici: Disseminazione di “briciole digitali” (credenziali false, file esca, collegamenti apparentemente legittimi) che indirizzano gli intrusi verso ambienti controllati, lontano dai sistemi reali.
• Emulazione Comportamentale: Simulazione di attività umane e automatizzate che replicano modelli comportamentali autentici, rendendo indistinguibili i sistemi esca dalle risorse legittime.
• Honeytoken e Canaries: Elementi di dati specificamente contrassegnati che, quando utilizzati o acceduti, attivano allarmi immediati, funzionando come sensori di violazione ad alta affidabilità.

Integrazione con l’Intelligenza Artificiale

L’innovazione più significativa nella cyber deception contemporanea è l’incorporazione di algoritmi di intelligenza artificiale che potenziano le capacità di inganno:

• Deployment Automatizzato: Algoritmi che analizzano continuamente l’infrastruttura e posizionano automaticamente le trappole nei punti più strategici dell’ambiente.
• Analisi Comportamentale: Sistemi che studiano in tempo reale come gli attaccanti interagiscono con le esca, adattando dinamicamente le risposte per massimizzare l’engagement e raccogliere intelligence preziosa.
• Personalizzazione Contestuale: Creazione di scenari di inganno specificamente calibrati sul profilo dell’attaccante, aumentando la probabilità che cadano nella trappola.
• Rilevamento delle Anomalie: Monitoraggio continuo per identificare comportamenti insoliti che potrebbero indicare tentativi di eludere o identificare i meccanismi di inganno.

Valore strategico nella Difesa in Profondità

La cyber deception si integra perfettamente nel framework di difesa in profondità, offrendo vantaggi distintivi:

1. Rilevamento Precoce: Intercetta gli attaccanti nelle fasi iniziali del kill chain, prima che possano raggiungere sistemi critici, riducendo drasticamente il tempo di permanenza e il potenziale impatto.
2. Intelligence Tattica: Fornisce osservazioni dirette sulle tecniche, tattiche e procedure (TTP) degli avversari, consentendo di rafforzare proattivamente le difese contro minacce specifiche.
3. Economia dell’Attacco Alterata: Aumenta significativamente il costo operativo per gli attaccanti, costringendoli a investire risorse considerevoli per distinguere tra obiettivi reali e fittizi.
4. Riduzione dei Falsi Positivi: A differenza dei tradizionali sistemi di rilevamento, gli allarmi generati dalle tecnologie di inganno hanno un’elevata affidabilità, essendo innescati solo da comportamenti esplicitamente malevoli.
5. Difesa Attiva Non Aggressiva: Consente un approccio proattivo alla sicurezza senza ricorrere a contromisure offensive che potrebbero sollevare questioni legali o etiche.

La cyber deception rappresenta quindi un elemento essenziale nella moderna architettura di difesa in profondità, trasformando ogni intrusione in un’opportunità per apprendere, adattarsi e rafforzare la postura di sicurezza complessiva dell’organizzazione.

Prospettive Future

L’evoluzione futura della difesa in profondità si orienta verso paradigmi emergenti:

1. Sicurezza Adattiva: Implementazione di sistemi difensivi che si riconfigurino dinamicamente in risposta all’evoluzione del contesto operativo e delle minacce rilevate.
2. Deception Technology: Integrazione di honeypot avanzati e sistemi di inganno che distraggono e rallentano gli attaccanti, fornendo contemporaneamente intelligence sulle loro tattiche.
3. Resilienza by Design: Incorporazione di principi di resilienza nella progettazione iniziale dei sistemi, privilegiando architetture intrinsecamente sicure rispetto a soluzioni sovrapposte successivamente.
4. Approccio Zero Trust Evoluto: Superamento del modello perimetrale tradizionale verso un paradigma in cui nessuna entità è implicitamente fidata, e ogni accesso richiede validazione continua basata sul contesto.
5. Automatizzazione Cognitiva: Impiego di sistemi di intelligenza artificiale avanzata per l’identificazione proattiva di vulnerabilità e la risposta automatizzata agli incidenti, riducendo i tempi di reazione e migliorando l’efficacia della risposta.
6. Quantum-Safe Security: Preparazione per l’era del quantum computing attraverso l’implementazione di algoritmi crittografici resistenti agli attacchi quantistici, garantendo la sicurezza delle informazioni anche di fronte a capacità computazionali esponenzialmente superiori.
7. Security Mesh Architecture: Adozione di un’architettura di sicurezza distribuita che consente di applicare policy coerenti attraverso ambienti eterogenei, facilitando la protezione di ecosistemi digitali complessi e multicloud.
8. Compliance Integrata: Incorporazione nativa di requisiti normativi nei controlli di sicurezza, semplificando la conformità e riducendo il carico amministrativo associato alla governance.
9. Threat Hunting Proattivo: Implementazione di strategie di ricerca attiva delle minacce che anticipano le mosse degli attaccanti, identificando indicatori di compromissione prima che si manifestino danni tangibili.
10. Orchestrazione Security-as-Code: Definizione e gestione dell’infrastruttura di sicurezza attraverso codice versionabile e testabile, migliorando l’agilità e la ripetibilità delle implementazioni difensive.

Conclusioni

La difesa in profondità rimane un paradigma fondamentale nella sicurezza informatica contemporanea, ma richiede un’interpretazione evolutiva che trascenda la mera stratificazione tecnologica. Un’implementazione efficace deve integrare dimensioni tecnologiche, procedurali e umane in un sistema coeso e adattivo, capace di rispondere alle minacce emergenti con resilienza e proattività.

La convergenza tra difesa in profondità, Zero Trust e tecnologie di cyber deception rappresenta la frontiera più avanzata nella protezione degli ambienti digitali. Questa triade strategica offre un approccio complessivo che non solo aumenta significativamente la difficoltà per gli attaccanti, ma trasforma ogni tentativo di intrusione in un’opportunità di apprendimento e rafforzamento.

In un contesto in cui la domanda non è più se un’organizzazione subirà un attacco, ma quando questo avverrà, questo approccio integrato rappresenta non solo uno scudo contro le minacce attuali, ma un framework evolutivo per anticipare e contrastare le sfide future. La sua efficacia risiede non tanto nell’impermeabilità assoluta, quanto nella capacità di trasformare il compromesso da evento catastrofico a incidente gestibile, preservando la continuità operativa anche di fronte ad attacchi sofisticati e persistenti.

L’adozione di questa strategia richiede un cambio di paradigma nella concezione stessa della sicurezza, passando da un modello statico e reattivo a uno dinamico e anticipatorio, dove la resilienza diventa il principio guida e la capacità di adattamento la metrica fondamentale di successo. Le organizzazioni che abbracceranno questa visione saranno meglio equipaggiate per navigare il panorama di minacce in continua evoluzione che caratterizza l’era digitale contemporanea.

Bibliografia:

https://www.ictsecuritymagazine.com/articoli/cyber-defense-in-depth/

https://www.securitymagazine.com/blogs/14-security-blog/post/101615-what-every-business-needs-to-know-about-multi-factor-authentication

Mag 12, 2025 Marina Londei Approfondimenti, Gestione dati, In evidenza, Minacce, Minacce, News, RSS 0

---

Stando all’ultimo report sulle minacce al settore sanitario di Netskope Threat Labs, i lavoratori del settore caricano regolarmente dati sensibili su siti web e piattaforme cloud non approvati.

Sono in particolare le applicazioni di intelligenza artificiale quelle coinvolte in queste violazioni, prime fra tutte ChatGPT e Gemini. Secondo l’analisi di Netskope, l’81% delle violazioni delle policy sui dati nelle organizzazioni sanitarie nell’ultimo anno ha riguardato dati sanitari regolamentati, ovvero protetti da normative locali, nazionali e internazionali, contenenti informazioni mediche e cliniche sensibili.

Password, chiavi di accesso, codice sorgente e proprietà intellettuale rappresentano invece il restante 19% delle violazioni. La maggior parte di esse è stata provocata dalla condivisione dei dati su account personali di OneDrive o Google Drive. 

Violazioni di dati sensibili nel settore sanitario: il pericolo dell’IA

I tool di intelligenza artificiale sono diventati molto diffusi anche nel settore sanitario: secondo il report di Netskope, l’88% delle organizzazioni integra applicazioni di IA in cloud. La quasi totalità delle realtà che sfruttano questi strumenti usa i dati degli utenti per l’addestramento.

Anche se l’IA porta molti benefici al settore sanitario, la condivisione di dati sensibili aumenta il rischio di violazioni. Se si considera che il 44% degli incidenti registrati coinvolge dati regolamentati, è facile comprendere l’impatto dei comportamenti errati degli operatori. Il report di Netskope evidenzia a tal proposito che più di due utenti di genAI su tre nel settore sanitario inviano dati sensibili ai propri account personali durante l’orario di lavoro, ostacolando la visibilità dei team di sicurezza.

“Le applicazioni di intelligenza artificiale generativa offrono soluzioni innovative, ma introducono anche nuovi vettori per potenziali violazioni dei dati, soprattutto in ambienti ad alta pressione e criticità come quello sanitario, dove il personale e i professionisti devono spesso operare con rapidità e agilità. Le organizzazioni sanitarie devono bilanciare i benefici della genAI con l’adozione di misure di sicurezza e protezione dei dati per mitigare tali rischi” ha commentato Gianpietro Cutolo, Cloud Threat Researcher presso Netskope Threat Labs.

Mitigare il rischio di violazione

Per ridurre il rischio di violazioni, soprattutto quelle legate alla condivisione di dati sensibili su strumenti di IA, le organizzazioni del settore sanitario dovrebbero innanzitutto implementare politiche di DLP (Data Loss Prevention – Prevenzione della perdita di dati) per monitorare l’accesso alle applicazioni di GenAI e definire il tipo di dati che può essere condiviso con esse. Oggi la percentuale di realtà sanitarie che hanno adottato politiche DLP è salita al 54% dal 31% dell’anno scorso.

È essenziale inoltre implementare applicazioni di IA generativa approvate dall’organizzazione, in modo che i team di sicurezza abbiano un maggior controllo su di esse e si riduca il rischio di “shadow AI”.  Infine, occorre affidarsi a strumenti di formazione in tempo reale per gli utenti che siano in grado anche di avvisarli quando stanno compiendo azioni rischiose.

“Nel settore sanitario, la rapida adozione delle applicazioni di intelligenza artificiale generativa e l’uso crescente delle piattaforme cloud hanno reso ancora più urgente la protezione dei dati sanitari regolamentati. Man mano che la genAI viene integrata nei flussi di lavoro clinici e operativi, le organizzazioni stanno accelerando l’implementazione di controlli come le politiche DLP e il blocco delle applicazioni per ridurre i rischi. Le organizzazioni sanitarie stanno facendo progressi, ma sarà fondamentale mantenere l’attenzione su soluzioni sicure e approvate a livello aziendale, per garantire che i dati restino protetti in questo scenario in continua evoluzione” ha concluso Cutolo.

---

---

---

https://www.securityinfo.it/2025/05/12/settore-sanitario-gli-operatori-caricano-dati-sensibili-in-cloud-e-nelle-app-di-ia/?utm_source=rss&utm_medium=rss&utm_campaign=settore-sanitario-gli-operatori-caricano-dati-sensibili-in-cloud-e-nelle-app-di-ia

Mag 12, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Malware, Minacce, News, Phishing, RSS, Scenario, Tecnologia, Vulnerabilità 0

---

Il CERT-AGID ha registrato un’attività particolarmente vivace nello scenario italiano durante l’ultima settimana, con un totale di 77 campagne malevole monitorate e analizzate.

Di queste, 34 erano rivolte a obiettivi italiani, mentre le restanti 43, sebbene più generiche, hanno comunque avuto un impatto sul nostro territorio.

Come di consueto, il CERT ha condiviso con gli enti accreditati un set aggiornato di indicatori di compromissione (IoC), ben 981 in tutto, utili per il rilevamento e la mitigazione delle minacce.

I temi della settimana

In totale sono stati 18 i temi sfruttati questa settimana dai cybercriminali per mettere in atto campagne malevole nel nostro Paese.

Tra i temi più ricorrenti, immancabilmente troviamo il Banking, particolarmente presente nelle campagne mirate all’Italia.

In questo caso, è stato usato per diffondere malware come SuperCardX (veicolato sia via PEC che via SMS), Copybara, distribuito attraverso SMS e email, e Remcos, propagato esclusivamente via posta elettronica.

Lo stesso tema è stato anche sfruttato per cinque campagne di phishing via PEC, indirizzate agli utenti di Findomestic, BPER e Intesa Sanpaolo. A livello generico, è stato individuato un singolo caso in cui è stato utilizzato per distribuire XWorm via email.

Molto utilizzato anche il tema Ordine, che ha fatto da copertura a undici campagne generiche diffuse via email. In questo caso, i malware associati sono stati diversi: FormBook, Remcos, MassLogger, AgentTesla, AsyncRat e VIPKeylogger.

Anche il tema delle Multe è tornato in auge, questa volta in sette campagne italiane mirate di phishing via email, tutte indirizzate agli utenti di PagoPA. I messaggi fraudolenti fingevano di notificare sanzioni amministrative, cercando di indurre la vittima a cliccare su link dannosi.

Infine, il tema Undelivered, legato alla mancata consegna di messaggi o spedizioni, è stato impiegato in quattro campagne di phishing generiche, veicolate via email, con l’obiettivo di carpire le credenziali di accesso a servizi webmail e pannelli cPanel.

Tutti gli altri temi riscontrati nel corso della settimana sono stati impiegati in campagne più isolate ma comunque rilevanti, sia per la diffusione di malware che per il phishing mirato.

Tra gli eventi di maggiore rilievo segnalati questa settimana dal CERT-AGID figura una campagna di phishing particolarmente insidiosa rivolta agli utenti SPID.

I criminali hanno utilizzato in modo fraudolento il nome e il logo dell’Agenzia per l’Italia Digitale (AgID), appoggiandosi a un dominio ingannevole (agidgov[.]com) che nulla ha a che fare con l’ente ufficiale.

L’obiettivo della truffa è sottrarre credenziali SPID, copie dei documenti di identità e persino video di riconoscimento realizzati seguendo istruzioni fornite dal sito contraffatto. Un attacco che dimostra quanto sofisticati e mirati stiano diventando i tentativi di frode digitale, soprattutto quando puntano a sistemi chiave per l’identità digitale come lo SPID.

Sempre in settimana, il CERT ha intercettato una nuova ondata di campagne malevole che sfruttano MintsLoader, un loader basato su PowerShell, per distribuire Stealc, un malware classificato come information stealer e attivo in modalità Malware-as-a-Service (MaaS) dal gennaio 2023.

L’infezione inizia con email provenienti da caselle PEC compromesse, contenenti link che portano a file JavaScript offuscati. Grazie alla collaborazione con i gestori dei servizi PEC, sono già state avviate azioni di contrasto.

Proseguono inoltre le campagne di phishing che abusano del marchio PagoPA. In questi casi, le vittime ricevono email ingannevoli che simulano richieste di pagamento per presunte multe stradali.

Oltre a tentare di sottrarre dati personali, l’obiettivo è ottenere i dettagli delle carte di credito degli utenti.

Malware della settimana

Nel corso della settimana sono state osservate 13 diverse famiglie di malware attive sul territorio italiano, a conferma di un panorama minaccioso ampio e variegato, in cui i criminali informatici sfruttano una molteplicità di vettori e formati per aggirare le difese degli utenti e delle organizzazioni.

Tra i malware più attivi figura Remcos, protagonista di una campagna italiana a tema “Banking”, veicolata tramite email contenenti allegati compressi in formato GZ.

Lo stesso malware è stato individuato anche in nove campagne generiche, distribuite con pretesti legati a prenotazioni, ordini, preventivi, listini prezzi e consegne. In questi casi, gli allegati malevoli assumevano diverse estensioni, tra cui LZH, DOC, DOCX, RAR e ARJ.

Anche FormBook si è distinto per la sua persistenza, con quattro campagne generiche associate a temi commerciali come ordini, pagamenti e prezzi. La distribuzione è avvenuta attraverso email con allegati compressi nei formati 7Z, LHA e RAR.

Stessa dinamica anche per AgentTesla, rilevato in tre campagne generiche a tema preventivo, ordine e prezzi. In questo caso, i file allegati erano immagini disco nei formati ISO e IMG.

È tornato a colpire anche MassLogger, osservato in tre campagne generiche distribuite via email. I messaggi simulavano aggiornamenti, richieste di pagamento e ordini, allegando file GZ e RAR.

Tre campagne distinte sono state inoltre attribuite a VipKeylogger, malware diffuso via email con messaggi che fingevano ordini commerciali e che contenevano file ISO, ZIP e Z.

Di rilievo anche Copybara, protagonista di due campagne italiane focalizzate sul tema “Banking”, distribuite tramite SMS. Lo stesso vettore è stato sfruttato anche per veicolare SuperCardX, malware coinvolto in due campagne italiane veicolate sia via SMS che via PEC.

Altre minacce rilevate includono AsyncRat, attivo in due campagne generiche relative a ordini e prenotazioni, diffuse tramite email con allegati compressi in formato Z; Grandoreiro, presente in una campagna a tema documenti con allegati ZIP; e Lumma, coinvolto in un’unica campagna generica, sempre a tema documenti e distribuita via email.

Phishing della settimana

Nel corso della settimana, sono stati 18 i brand presi di mira nelle campagne di phishing rilevate dal CERT-AGID.

Tra i più sfruttati spicca PagoPA, che continua a essere uno dei bersagli preferiti, probabilmente a causa della diffusione capillare del sistema e della confusione che può generare in merito a notifiche e richieste di pagamento.

Altamente rappresentate anche le campagne a tema Aruba, spesso utilizzate per colpire professionisti e aziende che fanno affidamento sui suoi servizi di posta elettronica certificata (PEC) e hosting.

I messaggi ingannevoli cercano di convincere l’utente a cliccare su link malevoli, mascherati da avvisi di rinnovo o segnalazioni di problemi tecnici.

Infine, prosegue la tendenza legata alle campagne di phishing generico su Webmail, che mirano a rubare le credenziali di accesso agli account di posta elettronica, indipendentemente dal provider.

Formati e canali di diffusione

La varietà di tecniche e strumenti utilizzati dai gruppi cybercriminali trova riscontro anche nei formati dei file impiegati per diffondere malware.

Nell’ultima settimana, il CERT-AGID ha rilevato ben 15 tipologie diverse di file malevoli, segno della creatività e dell’adattabilità degli attori minacciosi.

Come spesso accade, i formati compressi si confermano i più gettonati. I file RAR sono stati utilizzati in 7 campagne, consolidando la loro posizione come vettore preferito. Quasi a sorpresa, seguono i file APK, tipici delle installazioni Android, coinvolti in 5 campagne, probabilmente indirizzate a dispositivi mobili.

Tra gli altri formati più ricorrenti si segnalano i file ISO e DOC, entrambi presenti in 4 campagne. I file ZIP sono comparsi in 3 episodi, mentre Z e GZ sono stati rilevati in 2 campagne ciascuno.

Chiudono l’elenco i formati meno utilizzati, comparsi in un singolo caso: EXE, LZH, 7Z, PDF, ARJ, LHA, JS e IMG.

Anche i canali di diffusione delle minacce confermano tendenze già osservate. L’email ordinaria resta il vettore privilegiato, con 62 campagne veicolate tramite posta elettronica tradizionale. Ma non manca l’uso della PEC, coinvolta in 8 episodi.

Infine, sono stati segnalati 7 casi di diffusione tramite SMS, modalità sempre più diffusa grazie alla sua capacità di colpire direttamente gli utenti mobile con messaggi brevi ma incisivi, spesso presentati come notifiche urgenti o comunicazioni bancarie.

---

---

---

https://www.securityinfo.it/2025/05/12/cert-agid-4-9-maggio-utenti-spid-sotto-attacco-campagne-mintsloader/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-4-9-maggio-utenti-spid-sotto-attacco-campagne-mintsloader

Nel panorama contemporaneo della cybersecurity, caratterizzato da minacce sempre più sofisticate e supply chain sempre più complesse, il Software Bill of Materials (SBOM) emerge come architettura epistemica fondamentale, capace di trasformare la conoscenza componenziale in resilienza sistemica attraverso meccanismi di trasparenza strutturata e verificabilità algoritmica.

Prolegomeni: genealogia della trasparenza nel dominio digitale

La concezione di trasparenza come canone epistemico nella sicurezza informatica costituisce un fenomeno relativamente recente nella storia dell’informatica. Se negli albori dell’era computazionale l’attenzione era focalizzata primariamente sulla funzionalità, nella contemporaneità assistiamo ad una metamorfosi paradigmatica in cui la conoscibilità delle strutture interne del software assurge a principio fondante delle architetture securitarie.

Il Software Bill of Materials (SBOM) emerge in questo contesto quale manifestazione concreta di un cambiamento epistemologico: dall’opacità funzionale del software – concepito quale “black box” valutabile esclusivamente attraverso i comportamenti osservabili – alla trasparenza strutturale, in cui la conoscenza granulare della composizione interna diviene prerequisito per qualsiasi valutazione di sicurezza. Tale trasformazione non è meramente tecnica, ma riflette un mutamento ontologico nella concettualizzazione stessa del software, non più entità monolitica ma ecosistema complesso di interdipendenze articolate.

L’Architettura concettuale dello SBOM: dimensioni ontologiche e strutturali

Lo SBOM rappresenta la formalizzazione tecno-epistemica di un principio fondamentale: la trasparenza come propedeutica alla sicurezza. Attraverso la metafora della “distinta base” mutuata dall’industria manifatturiera, l’SBOM si configura come inventario sistematico e strutturato di ogni elemento costitutivo di un prodotto software, delineando un’articolata cartografia delle interdipendenze architetturali.

La morfologia strutturale degli SBOM si articola attraverso tre dimensioni fondamentali: l’architettura informativa, l’automatizzazione generativa e i processi operativi. L’architettura informativa si materializza attraverso campi dati standardizzati che costituiscono l’ossatura semantica dell’SBOM:

• Indicatori identitari del fornitore: Entità che origina o mantiene il componente;
• Nomenclatura del componente: Designazione ufficiale assegnata dal fornitore:
• Identificativo versionistico: Specificatore di variazione incrementale;
• Identificatori univoci supplementari: Designatori addizionali come CPE, SWID o PURL;
• Relazioni di dipendenza: Mappatura topologica delle interdipendenze gerarchiche;
• Metadati di attestazione: Autore e timestamp dell’istanziazione dell’SBOM.

La dimensione dell’automatizzazione si concretizza attraverso formati standardizzati che garantiscono l’interoperabilità semantica e l’integrazione nei processi di sviluppo softwaretico. Tre paradigmi di standardizzazione hanno acquisito prominenza nel panorama contemporaneo:

SPDX (Software Package Data Exchange)

SPDX, elaborato sotto l’egida della Linux Foundation e formalizzato come standard ISO/IEC 5962:2021, implementa un’ontologia semantica estensiva per la descrizione dei metadati, con particolare enfasi sulle informazioni relative alle licenze. La sua architettura informativa consente una granularità descrittiva che si estende dal singolo frammento di codice fino all’intero ecosistema software, supportando così analisi di conformità multilivello.

La formalizzazione di SPDX attraverso il processo ISO ha conferito a questo standard una legittimazione istituzionale che ne ha accelerato l’adozione in contesti enterprise dove i requisiti di compliance normativa costituiscono fattori determinanti. La grammatica descrittiva di SPDX, articolata attraverso sintassi RDF/XML, JSON o YAML, supporta la rappresentazione di relazioni gerarchiche complesse tra componenti, consentendo la modellazione di dipendenze transitive multilivello.

CycloneDX

Concepito originariamente dall’OWASP Foundation e successivamente elevato a standard Ecma International (ECMA-424), CycloneDX si distingue per la sua focalizzazione architettonica sulle dimensioni securitarie. La sua struttura semantica integra nativamente meccanismi di risk assessment e vulnerability tracking, configurandosi come ponte epistemico tra la dimensione inventariale e quella securitaria.

CycloneDX implementa un modello di dati che trascende la mera enumerazione dei componenti, estendendosi alla rappresentazione di servizi API, dipendenze dinamiche e vulnerabilità, configurandosi così come framework olistico per la security supply chain. La sua adozione è particolarmente significativa in contesti caratterizzati da cicli di sviluppo agili e in settori industriali dove la gestione dinamica delle vulnerabilità costituisce imperativo categorico.

SWID (Software Identification Tags)

Standardizzato come ISO/IEC 19770-2:2015, SWID propone un’architettura XML per l’identificazione univoca delle entità software. Il suo paradigma concettuale è incentrato sul ciclo di vita del software, con tag che vengono associati al punto di installazione e rimossi durante la disinstallazione, creando così un mapping diretto tra la presenza di un tag e l’esistenza del software corrispondente.

SWID si distingue per la sua integrazione con i paradigmi di gestione degli asset informatici, collocandosi all’interno dell’ecosistema ISO/IEC 19770 per l’IT Asset Management. La sua relativa semplicità strutturale lo rende particolarmente adatto a contesti dove la priorità è l’inventariazione software piuttosto che l’analisi approfondita delle vulnerabilità.

Epistemologia della sicurezza: SBOM come vettore di resilienza sistemica

L’implementazione degli SBOM trascende la mera dimensione tecnica per configurarsi come paradigma epistemologico nella conceptualizzazione della sicurezza informatica. La rilevanza securitaria degli SBOM si manifesta attraverso molteplici dimensioni:

Gestione Proattiva delle Vulnerabilità

Nell’ecosistema contemporaneo, caratterizzato da un’accelerazione esponenziale nella scoperta di vulnerabilità, la capacità di identificare tempestivamente i componenti vulnerabili all’interno delle proprie infrastrutture costituisce elemento differenziale nella postura di sicurezza organizzativa. L’SBOM abilita un modello di sicurezza predittivo anziché reattivo, consentendo la mappatura automatizzata tra componenti software e database di vulnerabilità.

La CISA (Cybersecurity and Infrastructure Security Agency) ha sottolineato come “gli SBOM abilitano un modello di risposta agli incidenti basato su consapevolezza situazionale amplificata” Cisa, riducendo significativamente il tempo medio di identificazione delle vulnerabilità e, conseguentemente, comprimendo la finestra di esposizione. Questo cambio paradigmatico dalla sicurezza reattiva alla sicurezza predittiva rappresenta una delle dimensioni più trasformative dell’implementazione degli SBOM.

Mitigazione del rischio Supply-Chain

Gli attacchi alla catena di approvvigionamento software rappresentano una delle vettorialità di attacco più insidiose nell’attuale panorama delle minacce cibernetiche. L’incidente SolarWinds del 2020 ha esemplificato drammaticamente la vulnerabilità sistemica derivante dall’opacità delle dipendenze software, evidenziando la necessità di meccanismi strutturati di trasparenza.

L’SBOM, attraverso la delineazione cartografica delle interdipendenze tra componenti, consente l’individuazione precoce di potenziali infiltrazioni nella catena di fornitura. La trasparenza diviene così meccanismo di difesa: rendendo visibili le relazioni tra componenti, si abilita la rilevazione di anomalie e l’identificazione di elementi potenzialmente compromessi.

Compliance normativa e conformità regolamentare

Il panorama regolamentare relativo alla sicurezza informatica ha subito una significativa evoluzione negli ultimi anni, con l’emergere di framework normativi che pongono enfasi crescente sulla trasparenza della software supply chain. L’Executive Order 14028 “Improving the Nation’s Cybersecurity” emanato dall’amministrazione Biden nel maggio 2021 ha istituzionalizzato gli SBOM nel contesto governativo statunitense, mentre iniziative analoghe si stanno sviluppando nel contesto europeo con il Cyber Resilience Act.

L’Ordine Esecutivo 14028 definisce l’SBOM come “formal record containing the details and supply chain relationships of various components used in building software,” NIST sottolineando l’analogia con le etichette degli ingredienti alimentari. Questa formalizzazione normativa ha accelerato l’adozione degli SBOM, traslando un concetto tecnico nella dimensione della compliance regolamentare.

Nel contesto europeo, il Cyber Resilience Act proposto dalla Commissione Europea incorpora elementi di trasparenza della catena di fornitura software, prefigurando un’armonizzazione transatlantica nell’approccio regolamentare alla sicurezza software.

Implementazione pragmatica: sfide e metodologie

L’operazionalizzazione degli SBOM nel ciclo di sviluppo software presenta sfide non triviali che trascendono la mera dimensione tecnica per abbracciare aspetti organizzativi, procedurali e culturali.

Complessità ecosistemica

L’articolazione complessa delle dipendenze transitive nel software contemporaneo genera SBOM potenzialmente mastodontici, caratterizzati da intricati reticoli di interdipendenze multilivello. Questa complessità pone sfide significative nella generazione, manutenzione e interpretazione degli SBOM, richiedendo strategie sofisticate di gestione dell’informazione.

La NTIA (National Telecommunications and Information Administration) ha elaborato linee guida specifiche per affrontare la complessità ecosistemica, introducendo il concetto di “known unknowns” – l’esplicitazione formale delle aree di incompletezza informativa nell’SBOM. Il report “The Minimum Elements For a Software Bill of Materials (SBOM)” pubblicato dalla NTIA specifica che “per istanze in cui il grafo completo delle dipendenze non è enumerato nell’SBOM, l’autore deve identificare esplicitamente i ‘known unknowns’” Doc, stabilendo così un principio di trasparenza epistemica anche rispetto alle lacune informative.

Automazione generativa

L’integrazione degli SBOM nelle pipeline CI/CD (Continuous Integration/Continuous Delivery) costituisce prerequisito fondamentale per garantire l’accuratezza e l’aggiornamento continuo dell’inventario software. Questo richiede strumenti automatizzati che analizzino le dipendenze software in tempo reale, generando o aggiornando gli SBOM ad ogni modifica significativa del codebase.

L’ecosistema di strumentazione per la generazione automatizzata di SBOM ha conosciuto un’espansione significativa negli ultimi anni, con l’emergere di tool specializzati per diversi ecosistemi di sviluppo. Strumenti come CycloneDX Generator, SPDX Tool, Syft e Anchore hanno implementato algoritmi sofisticati per l’analisi delle dipendenze e la generazione automatica di SBOM conformi agli standard principali.

Granularità semantica

La definizione del livello ottimale di dettaglio nell’SBOM rappresenta un equilibrio delicato tra completezza informativa e utilizzabilità pragmatica. Un SBOM eccessivamente dettagliato può risultare ingestibile e difficilmente processabile, mentre un’eccessiva semplificazione rischia di omettere informazioni critiche per la valutazione delle vulnerabilità.

La NTIA raccomanda un approccio modulato alla granularità, specificando come elemento minimo l’inclusione di tutte le dipendenze dirette (primary components) con sufficiente dettaglio per consentire l’identificazione ricorsiva delle dipendenze transitive. Questo approccio pragmatico bilancia la necessità di completezza informativa con considerazioni di utilizzabilità operativa.

Casistica applicativa: implementazioni reali e impatti misurabili

Le implementazioni concrete degli SBOM in organizzazioni reali hanno dimostrato impatti significativi sulla postura di sicurezza e sull’efficienza operativa.

Caso studio: settore sanitario

Nel contesto sanitario, dove dispositivi medici software-defined hanno criticità elevata per la sicurezza dei pazienti, l’adozione degli SBOM ha modificato radicalmente la gestione delle vulnerabilità. Un’importante struttura ospedaliera americana ha implementato un sistema di gestione delle vulnerabilità basato su SBOM per i propri dispositivi medici, riducendo del 78% il tempo medio di identificazione delle vulnerabilità critiche e migliorando la capacità di risposta agli incidenti di sicurezza.

Il Healthcare Proof of Concept, coordinato dalla NTIA, ha dimostrato la fattibilità dell’implementazione degli SBOM anche in contesti caratterizzati da elevata complessità regolamentare e tecnica, stabilendo un precedente significativo per l’adozione in settori critici.

Caso studio: settore finanziario

Un’importante istituzione finanziaria globale ha integrato gli SBOM nei propri processi di valutazione del rischio fornitore, richiedendo SBOM certificati per tutte le acquisizioni software strategiche. Questa implementazione ha consentito l’identificazione preventiva di vulnerabilità critiche in componenti di terze parti, evitando potenziali compromissioni e riducendo significativamente il rischio complessivo della supply chain software.

L’integrazione degli SBOM nei processi di procurement ha inoltre abilitato una valutazione comparativa oggettiva tra diversi fornitori basata su metriche quantitative di sicurezza, promuovendo così pratiche virtuose nell’ecosistema dei fornitori.

Dimensione internazionale: convergenze e divergenze regolamentari

Sebbene l’Executive Order 14028 costituisca il riferimento normativo più noto nell’ambito degli SBOM, il panorama internazionale presenta una pluralità di iniziative con diversi gradi di maturazione.

Contesto europeo

L’Unione Europea, attraverso il proposto Cyber Resilience Act, sta sviluppando un framework regolamentare che incorpora elementi di trasparenza della software supply chain analogamente all’approccio statunitense. L’ENISA (European Union Agency for Cybersecurity) ha pubblicato linee guida sulla sicurezza della supply chain che enfatizzano l’importanza della trasparenza componenziale, prefigurando un’armonizzazione regolamentare transatlantica.

Parallelamente, il BSI tedesco (Bundesamt für Sicherheit in der Informationstechnik) ha sviluppato linee guida tecniche per l’implementazione degli SBOM nel contesto dell’approvvigionamento software governativo, stabilendo requisiti minimi allineati ma non identici a quelli del NTIA.

Contesto asiatico

Giappone e Corea del Sud hanno sviluppato iniziative analoghe, con particolare enfasi sull’integrazione degli SBOM nei processi di certificazione di sicurezza per settori critici. Il METI giapponese (Ministry of Economy, Trade and Industry) ha pubblicato linee guida per la sicurezza della supply chain software che includono specifiche raccomandazioni sull’implementazione degli SBOM.

Armonizzazione globale

L’emergere di standard internazionali come ISO/IEC 5962:2021 (SPDX) e ECMA-424 (CycloneDX) rappresenta un significativo passo verso l’armonizzazione globale delle pratiche di trasparenza software. Questi standard, sviluppati attraverso processi collettivi aperti con partecipazione internazionale, stanno gradualmente convergendo verso un framework comune che trascende le specificità regionali.

Prospettive future e direttrici evolutive

Il paradigma SBOM evidenzia traiettorie evolutive significative che prefigurano un’ulteriore espansione del suo ruolo nell’ecosistema della sicurezza informatica.

Integrazione con Framework VEX (Vulnerability Exploitability eXchange)

L’evoluzione più immediata degli SBOM è rappresentata dalla loro integrazione con meccanismi di valutazione dell’esposizione alle vulnerabilità. Il VEX (Vulnerability Exploitability eXchange) emerge come complemento naturale dell’SBOM, consentendo ai fornitori di comunicare informazioni contestuali sull’effettiva esposizione alle vulnerabilità identificate nei componenti.

Il VEX, implementato come profilo del Common Security Advisory Framework (CSAF), arricchisce il potenziale analitico degli SBOM consentendo valutazioni di rischio contestualizzate: una vulnerabilità presente in un componente potrebbe non essere sfruttabile nel contesto specifico dell’implementazione, riducendo così i falsi positivi e consentendo una priorizzazione più efficace delle attività di remediation.

SBOM dinamici e monitoraggio continuo

L’evoluzione verso SBOM dinamici, capaci di riflettere in tempo reale le modifiche all’architettura software, rappresenta la frontiera innovativa del settore. Questi SBOM “viventi” si integrano con sistemi di monitoraggio continuo che identificano nuove vulnerabilità o cambiamenti nella postura di sicurezza complessiva.

L’integrazione degli SBOM con tecnologie emergenti come Continuous Assurance e Runtime Application Self-Protection (RASP) prefigura un paradigma di sicurezza adattiva in cui la trasparenza componenziale alimenta meccanismi di protezione dinamica.

Standardizzazione e interoperabilità avanzata

L’emergere di metastandard e ontologie unificate promette di risolvere le attuali frammentazioni dell’ecosistema SBOM. Iniziative come l’Open Source Security Foundation (OpenSSF) stanno promuovendo l’armonizzazione dei formati SBOM e lo sviluppo di toolchain interoperabili che consentano l’integrazione seamless degli SBOM nei processi di sviluppo e security operations.

La standardizzazione delle API per lo scambio di dati SBOM tra sistemi eterogenei costituisce un’altra area di evoluzione significativa, con l’emergere di protocolli come MUD (Manufacturer Usage Description) e OpenC2 specificatamente adattati per la comunicazione efficiente dei dati SBOM.

Espansione verso nuovi domini: intelligenza artificiale e SaaS

L’espansione del paradigma SBOM verso nuovi domini tecnologici rappresenta un’ulteriore direttrice evolutiva. Nel contesto dell’Intelligenza Artificiale, l’AI-BOM emerge come estensione concettuale degli SBOM tradizionali, catalogando non solo componenti software ma anche modelli, dataset di addestramento e parametri algoritmici, consentendo così una valutazione olistica del rischio associato ai sistemi AI.

Parallelamente, il SaaS-BOM estende il concetto di trasparenza componenziale agli ambienti cloud, catalogando non solo componenti software ma anche servizi API, dipendenze dinamiche e configurazioni infrastrutturali, abilitando così una comprensione più profonda dell’architettura di sicurezza dei servizi cloud-based.

Epilogo: verso un’epistemologia della trasparenza digitale

Il Software Bill of Materials trascende la dimensione meramente tecnica per configurarsi come paradigma epistemologico nella sicurezza informatica contemporanea. La sua adozione sistematica prefigura un ecosistema software caratterizzato da trasparenza strutturale, accountability diffusa e resilienza sistemica.

In un contesto di minacce cibernetiche in continua evoluzione, gli SBOM incarnano il principio fondamentale secondo cui la conoscenza granulare costituisce il fondamento irrinunciabile di qualsiasi strategia securitaria efficace. La trasparenza non è semplicemente una pratica tecnica, ma un principio architettonico che ridefinisce la relazione tra sviluppatori, operatori e utilizzatori del software, creando un ecosistema basato sulla visibilità reciproca e sulla comprensione condivisa dei rischi.

La traiettoria evolutiva degli SBOM prefigura non solo innovazioni tecniche, ma un cambiamento paradigmatico nella concezione stessa della sicurezza: dalla sicurezza come proprietà emergente di sistemi opachi alla sicurezza come attributo intrinseco di sistemi trasparenti, misurabili e verificabili. Questa è l’essenza dell’epistemologia della trasparenza digitale che gli SBOM incarnano e promuovono.

Bibliografia:

https://www.ictsecuritymagazine.com/articoli/software-bill-of-materials/

In un contesto digitale in continua evoluzione, caratterizzato dall’esplosione dei dati, e dalla crescente sofisticazione delle minacce, la sicurezza informatica non può più essere concepita come un progetto isolato o come un insieme statico di policy da aggiornare saltuariamente. I rischi di cybersecurity esistono in ogni fase del ciclo di vita di un dispositivo, dalle fasi di produzione, distribuzione, implementazione e messa in servizio, fino alla disattivazione. Diventa, invece, imprescindibile adottare un approccio ciclico, capace di integrare la gestione della sicurezza in un processo costante di miglioramento e adattamento.

Governare la sicurezza attraverso cicli ricorsivi consente non solo di rispondere efficacemente alle minacce emergenti, ma anche di anticiparle, costruendo un’infrastruttura resiliente e adattiva. Il cuore di questa filosofia risiede nella capacità di pianificare, agire e correggere costantemente le strategie di sicurezza, secondo principi ormai consolidati in ambito organizzativo e qualitativo.

Il ciclo PDCA (Plan-Do-Check-Act) nella gestione della governance della sicurezza informatica

Il ciclo PDCA rappresenta uno dei modelli più efficaci per strutturare un sistema di governance della sicurezza informatica dinamico e reattivo. Il ciclo di Deming (PDCA, Plan-Do-Check-Act, Pianificare-Fare-Verificare-Agire) è un metodo di gestione utilizzato per il controllo e il miglioramento continuo dei processi e dei prodotti. Nato nell’ambito del Total Quality Management, questo approccio ha trovato una naturale applicazione anche nella gestione della sicurezza.

Questo modello si basa sull’idea che il raggiungimento dei più elevati standard di qualità richieda una continua interazione tra le fasi di ricerca, progettazione, test, produzione e commercializzazione. Nell’ambito dei sistemi di gestione, la sua implementazione risulta ancora più naturale: il metodo, infatti, si integra armoniosamente con il normale ciclo operativo dei sistemi, senza introdurre complessità aggiuntive e, anzi, contribuendo a valorizzarli in maniera semplice ed efficace.

Nella fase di pianificazione (Plan), si analizzano i rischi, si individuano le vulnerabilità più critiche e si stabiliscono obiettivi concreti e misurabili per la sicurezza. Pianificare non significa soltanto elencare controlli tecnici da implementare, ma anche definire strategie di lungo periodo, politiche di compliance normativa e piani di formazione per il personale. È un momento in cui l’analisi del contesto interno ed esterno diventa fondamentale per determinare priorità e allocazione delle risorse.

La fase di attuazione (Do) traduce le strategie in azioni concrete: implementazione di firewall, sistemi di protezione endpoint, soluzioni SIEM, configurazione di backup sicuri e procedure operative di sicurezza. L’esecuzione non si limita alla tecnologia; coinvolge anche la gestione delle identità e degli accessi, la sensibilizzazione degli utenti e l’applicazione delle policy aziendali nella pratica quotidiana.

Successivamente, attraverso la fase di verifica (Check), si misura l’efficacia degli interventi adottati. Questa fase implica il monitoraggio ininterrotto degli eventi di sicurezza, l’analisi dei log, lo svolgimento di audit interni e la conduzione di simulazioni di incidenti per testare la reattività dei sistemi e del personale. Verificare consente di comprendere se le soluzioni implementate rispondono efficacemente alle minacce reali o se occorrono correttivi.

Infine, nella fase di azione (Act), si introducono modifiche correttive e migliorative sulla base delle evidenze raccolte. In questa fase si aggiornano le policy, si ridefiniscono gli standard, si migliorano i sistemi di rilevazione e risposta e si pianificano nuove iniziative di formazione. Il ciclo si chiude, per riaprirsi immediatamente in un’ottica di miglioramento progressivo.

Strategie di governance della sicurezza informatica e valutazione dei rischi

I sistemi di gestione della sicurezza, ispirati a un modello ricorsivo che richiama il ciclo di Deming, sono strutturati con l’obiettivo di promuovere un costante miglioramento delle condizioni di lavoro. Questi sistemi si articolano, generalmente, attraverso alcune componenti fondamentali.

In primo luogo, viene elaborata una politica aziendale che orienta le decisioni in materia di sicurezza e salute sul lavoro (SSL), definendo gli obiettivi strategici principali. Segue una scrupolosa valutazione dei rischi associati all’ambiente di lavoro, alla quale si collega una pianificazione dettagliata delle attività preventive e protettive da adottare.

Vengono poi stabiliti obiettivi specifici, supportati da un programma operativo volto alla loro concreta attuazione. Contestualmente, si definisce una struttura organizzativa chiara, con ruoli, compiti e responsabilità affidati a personale adeguatamente formato e competente.

Un ulteriore elemento essenziale è rappresentato dalla predisposizione di procedure operative, mirate a gestire le attività che presentano particolari rischi per la sicurezza. Il successo del sistema dipende anche dal coinvolgimento costante dei lavoratori e dei loro rappresentanti, ai quali viene riconosciuto un ruolo attivo.

La fase di controllo prevede il monitoraggio regolare dell’intero sistema, attraverso verifiche ispettive e audit periodici, per valutare il grado di efficacia delle misure adottate. Infine, viene promossa una revisione sistematica dell’intero modello gestionale, allo scopo di correggere eventuali criticità e individuare nuove opportunità di miglioramento.

Applicare il ciclo PDCA alla governance della sicurezza informatica consente alle organizzazioni di non cristallizzarsi su procedure obsolete, ma di mantenere un’attenzione costante sull’efficacia e l’attualità dei propri presidi difensivi.

Valutazione continua delle politiche di sicurezza IT

Uno dei pilastri dell’approccio ciclico è la consapevolezza che le politiche di sicurezza IT non possono essere statiche. Le policy definite in fase di avvio di un progetto o di una nuova infrastruttura tecnologica rischiano di diventare rapidamente obsolete se non sottoposte a una costante attività di revisione critica. Ancora, va detto che le fasi del ciclo PDCA, iterative, sono vitali per controllare e migliorare processi e prodotti in modo costante.

La valutazione continua delle politiche di sicurezza impone un’analisi sistematica della loro adeguatezza rispetto a tre vettori principali di cambiamento: l’evoluzione tecnologica, i mutamenti organizzativi e il contesto normativo.

Sul versante tecnologico, l’adozione di architetture cloud, l’integrazione di dispositivi IoT e la pervasività del lavoro da remoto rappresentano esempi concreti di fattori che impongono un ripensamento strutturale delle policy esistenti. Una policy di sicurezza pensata per una rete aziendale chiusa potrebbe risultare del tutto inefficace in un ambiente distribuito su più cloud provider, in cui i confini perimetrali risultano sfumati e i dispositivi di accesso sono molteplici e diversificati.

Dal punto di vista organizzativo, ristrutturazioni aziendali, fusioni, nuove strategie di business o l’introduzione di modelli di lavoro ibridi richiedono aggiornamenti tempestivi delle politiche di sicurezza, pena il rischio di esposizioni incontrollate o lacune procedurali.

Un aspetto critico troppo spesso sottovalutato riguarda la comprensione e la concreta applicazione delle norme da parte del personale.

A questo scopo, strumenti come i test di awareness periodici, i simulatori di phishing, le sessioni di formazione continua e gli audit di conformità interni risultano fondamentali. Essi consentono di misurare il livello di consapevolezza degli utenti, di individuare aree di debolezza e di correggere comportamenti non conformi prima che questi si traducano in violazioni di sicurezza reali.

Parallelamente, l’analisi dei report di incidenti e degli eventi anomali fornisce un feedback oggettivo sull’efficacia operativa delle policy: la frequenza, il tipo e l’impatto degli incidenti possono infatti rivelare criticità non emerse nella fase di progettazione normativa.

Un ulteriore livello di complessità nella valutazione continua delle politiche di sicurezza è rappresentato dal contesto normativo. In particolare, l’introduzione di normative come il GDPR (General Data Protection Regulation), la direttiva europea NIS2 sulla sicurezza delle reti e dei sistemi informativi, e le specifiche regolamentazioni settoriali nel campo sanitario e finanziario, impone un approccio ancora più rigoroso e proattivo.

Non basta infatti adeguare le policy sulla base delle best practice: è necessario anticipare i requisiti di compliance, integrando tempestivamente nel proprio framework di governance tutti gli aggiornamenti normativi rilevanti. Questo richiede una costante attività di monitoraggio regolatorio, una collaborazione stretta tra le funzioni IT e legali, e una capacità di adattamento rapido dei sistemi di gestione.

Possiamo concludere affermando che l’adozione di un processo circolare e metodico di revisione delle politiche di sicurezza genera una serie di benefici strategici:

• Miglioramento della resilienza: le organizzazioni si dotano di un sistema capace di evolvere insieme alle minacce, riducendo il rischio di incidenti critici.
• Ottimizzazione della compliance: il rischio di non conformità normativa e di conseguenti sanzioni viene drasticamente ridotto.
• Aumento della cultura aziendale della sicurezza: la sicurezza viene percepita non come un obbligo imposto, ma come una responsabilità condivisa e interiorizzata a tutti i livelli.
• Protezione della reputazione: una governance della sicurezza dinamica e trasparente rafforza la fiducia di clienti, partner e investitori.

Adattamento alle nuove minacce nella governance della sicurezza informatica

La gestione della sicurezza informatica non può prescindere dalla capacità di adattarsi rapidamente a un panorama di minacce in continua evoluzione. Gli attaccanti sviluppano tecniche sempre più avanzate: dagli attacchi ransomware-as-a-service alle minacce avanzate persistenti (APT), dai malware polimorfici ai nuovi vettori di attacco sui sistemi di intelligenza artificiale.

In questo scenario, adottare un approccio ciclico significa anche essere costantemente aggiornati sulle nuove vulnerabilità scoperte e sulle tecniche emergenti. L’integrazione di strumenti di threat intelligence all’interno della strategia di governance è oggi un requisito imprescindibile per ottenere una visione aggiornata del rischio.

In un processo ricorsivo, i dati di threat intelligence alimentano le fasi di pianificazione e verifica del modello PDCA, consentendo una continua riallocazione delle risorse di sicurezza sulle minacce realmente rilevanti per il contesto specifico dell’organizzazione.

Altrettanto centrale è la capacità di individuare e correggere tempestivamente le vulnerabilità esistenti all’interno dell’infrastruttura. Una gestione efficace delle vulnerabilità non può basarsi su interventi occasionali o su analisi una tantum. Deve essere fondata su:

• vulnerability assessment periodici, che esplorano l’intero ecosistema IT e OT;
• patch management strutturato, con processi agili e trasparenti per l’applicazione degli aggiornamenti;
• prioritizzazione basata sul rischio, sfruttando metriche come il CVSS (Common Vulnerability Scoring System), ma anche considerando il contesto specifico di esposizione e impatto operativo.

In questa ottica, l’automazione gioca un ruolo fondamentale: sistemi di vulnerability scanning integrati nei pipeline CI/CD, soluzioni di patching automatico, e dashboard di risk-based prioritization permettono di trasformare un’attività reattiva in un processo continuo e scalabile.

L’adattamento, tuttavia, non riguarda solo la tecnologia. Il fattore umano continua a rappresentare l’anello debole della catena della sicurezza. Phishing, ingegneria sociale, frodi BEC (Business E-mail Compromise) e attacchi su misura puntano a sfruttare comportamenti prevedibili, abitudini consolidate o semplici errori umani.

Per questo motivo, ogni strategia di sicurezza deve includere programmi di formazione e awareness personalizzati, aggiornati e, soprattutto, ciclici. Non basta un corso annuale di compliance: servono simulazioni reali, test non annunciati, coinvolgimento attivo e feedback continui per trasformare la consapevolezza in prassi operative.

La cultura della sicurezza, infatti, si costruisce solo nel tempo e attraverso un impegno costante, che coinvolge tutti i livelli aziendali.

In un processo ricorsivo e orientato al miglioramento costante, gli incidenti di sicurezza non rappresentano solo eventi da contenere, ma opportunità preziose di apprendimento e rafforzamento.

L’analisi post-mortem (o post-incident analysis), condotta attraverso strumenti di forensic analysis e root cause analysis, consente di:

• identificare i punti di ingresso e le vulnerabilità sfruttate;
• mappare le lacune nelle policy o nei controlli esistenti;
• riformulare processi, procedure e meccanismi di monitoraggio;
• aggiornare tempestivamente il framework di governance.

In questo modo, ogni attacco respinto o subìto alimenta un circolo virtuoso di resilienza progressiva, in cui l’organizzazione diventa progressivamente più capace di fronteggiare anche scenari imprevisti.

Coinvolgimento del top management nel ciclo di governance della sicurezza informatica

Perché la strategia a ciclo continuo alla sicurezza informatica sia veramente efficace, è imprescindibile il coinvolgimento diretto del top management. La governance della sicurezza non può essere delegata esclusivamente alle funzioni IT, ma deve diventare una responsabilità condivisa a livello di direzione strategica. I manager prendono decisioni operative di routine e gestiscono tutto il lavoro amministrativo che fa funzionare le operazioni.

Il management è praticamente il collegamento tra la corporate governance e i dirigenti di livello inferiore. Uno dei compiti fondamentali del management è tradurre e trasmettere in modo efficace le direttive e le aspettative espresse dal Consiglio di amministrazione ai livelli operativi dell’organizzazione.

Per farlo, i dirigenti hanno il compito di declinare tali aspettative in obiettivi concreti, sia di breve che di lungo periodo, assicurandosi che vengano implementati coerentemente lungo tutta la catena operativa fino alla loro piena realizzazione.

Sebbene spetti al Consiglio di amministrazione definire le linee guida e le politiche aziendali, è il management a detenere la responsabilità della loro attuazione operativa e del controllo sull’adesione da parte dei dipendenti.

Per assolvere efficacemente a questo compito, i manager devono possedere un insieme di competenze specifiche e distintive, che differiscono in modo sostanziale da quelle richieste ai membri del consiglio.

Il supporto del top management si traduce in diversi ambiti concreti: la definizione di una chiara vision di cybersecurity, l’allocazione di budget adeguati, la promozione di una cultura della sicurezza che permei tutta l’organizzazione. È fondamentale che il Consiglio di amministrazione o i comitati di gestione ricevano regolarmente report dettagliati sullo stato della sicurezza, sui principali rischi individuati e sulle misure adottate.

La presenza di figure apicali dedicate, come il Chief Information Security Officer (CISO), che riportano direttamente al top management, rappresenta una best practice sempre più consolidata. Tali figure fungono da trait d’union tra gli aspetti tecnici della sicurezza e la strategia aziendale complessiva, facilitando l’integrazione della cybersecurity negli obiettivi di business.

Inoltre, il coinvolgimento dei vertici è cruciale nei momenti di crisi. In caso di violazioni o incidenti gravi, il top management deve essere pronto a partecipare attivamente alla gestione della crisi, coordinando la comunicazione interna ed esterna e assumendo decisioni rapide ed efficaci.

Tutte le organizzazioni necessitano sia di funzioni di governance che di gestione e spetta a ciascuna singola organizzazione garantire che entrambe le funzioni siano attive.

In un ciclo di governance maturo, i leader aziendali non sono meri destinatari di report, ma partecipano attivamente alla definizione e revisione delle strategie di sicurezza, contribuendo a creare un ambiente organizzativo resiliente e reattivo.

Conclusioni

Adottare un approccio ciclico alla governance della sicurezza informatica non è più una scelta facoltativa, ma una necessità strategica per ogni organizzazione che voglia prosperare in un ecosistema digitale complesso e in continua evoluzione.

Attraverso l’applicazione rigorosa del ciclo PDCA, la valutazione continua delle politiche di sicurezza, l’adattamento dinamico alle nuove minacce e il coinvolgimento attivo del top management, è possibile costruire un sistema di difesa resiliente, capace non solo di resistere agli attacchi, ma anche di evolversi e migliorare nel tempo.

La sicurezza, in quest’ottica, non è un traguardo, ma un percorso di crescita continua che richiede attenzione, competenza e leadership a ogni livello organizzativo.

https://www.ictsecuritymagazine.com/notizie/governance-della-sicurezza-informatica/

Mag 09, 2025 Giancarlo Calzetta Attacchi, Hacking, News, RSS 0

---

Il gruppo ransomware LockBit ha subito una compromissione significativa della propria infrastruttura, con la pubblicazione di dati sensibili che rivelano dettagli sulle operazioni interne e le negoziazioni con le vittime.

Il 7 maggio 2025, i pannelli di controllo degli affiliati del gruppo ransomware LockBit sono stati defacciati. Chi cercava di raggiungerli trovava una pagina con il messaggio “Don’t do crime CRIME IS BAD xoxo from Prague” e un link per scaricare un dump del database MySQL esfiltrato. Questo dump, denominato “paneldb_dump.zip”, contiene venti tabelle con informazioni dettagliate sulle operazioni del gruppo, inclusi indirizzi Bitcoin, configurazioni dei payload e registri delle chat con le vittime .(BleepingComputer)

Cosa c’è nel database

Il database esposto rivela 59.975 indirizzi Bitcoin unici, presumibilmente utilizzati per ricevere pagamenti di riscatto. La tabella ‘builds’ elenca i payload generati dagli affiliati, con dettagli come chiavi pubbliche e, in alcuni casi, i nomi delle aziende colpite. La tabella ‘builds_configurations’ fornisce informazioni sulle configurazioni specifiche di ciascun payload, come l’esclusione di server ESXi o determinati tipi di file da criptare. Particolarmente rilevante è la tabella ‘chats’, che contiene 4.442 messaggi di negoziazione tra LockBit e le vittime, datati dal 19 dicembre al 29 aprile .

Implicazioni per la sicurezza informatica

La compromissione di LockBit rappresenta un colpo significativo per il gruppo. L’esposizione delle sue operazioni interne rende potenzialmente più semplice l’identificazione degli affiliati. Molti esperti di sicurezza considerano questa violazione come un’opportunità per le forze dell’ordine e le organizzazioni di sicurezza informatica di analizzare le tattiche, tecniche e procedure (TTP) del gruppo, migliorando le strategie di difesa contro attacchi ransomware simili.

Dal canto suo, il gruppo attaccato ha ammesso la compromissione, ma ostenta sicurezza. Sulla sua pagina è apparso un messaggio in cui ammettono di esser caduti, ma anche di potersi rialzare facilmente, cosa che sembra abbiano fatto. Del resto, non è la prima volta che la infrastruttura di Lockbit viene attaccata e messa fuorigioco. L’ultima volta era stata addirittura oggetto di una operazione dell’FBI che sembrava aver smantellato tutto, solo per vederli ricomparire dopo pochi giorni di nuovo in piena attività.

---

---

---

https://www.securityinfo.it/2025/05/09/lockbit-hackerato-infrastruttura-compromessa-ma-il-gruppo-non-si-arrende/?utm_source=rss&utm_medium=rss&utm_campaign=lockbit-hackerato-infrastruttura-compromessa-ma-il-gruppo-non-si-arrende

Mag 09, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

Qualche giorno fa i ricercatori di Aikido hanno individuato un attacco supply chain contro rand-user-agent, un package npm della compagnia WebScraping API che contra circa 45.000 download settimanali.

Il package, nonostante sia deprecato, viene ancora usato da molti utenti per generare stringhe user-agent randomiche, usate per effettuare il web scraping, automatizzare test e condurre analisi di sicurezza. Durante l’esecuzione di una pipeline, il sistema di analisi automatizzata di Aikido ha segnalato rand-user-agent come pacchetto sospetto; in particolare, ha evidenziato la presenza di codice malevolo nel file dist/index.js.

Il codice malevolo non è immediatamente visibile da una semplice occhiata al file: gli attaccanti hanno offuscato il codice in modo che si potesse visualizzare solo scrollando la barra di navigazione orizzontalmente.

Il codice, nascosto tramite molteplici livelli di offuscamento, appartiene a un trojan ad accesso remoto (RAT) in grado di connettersi a un server C2 tramite socket.io-client ed esfiltrare file con axios.

Il RAT ha anche una feature molto particolare progettata per sistemi Windows gli permette di eseguire binari malevoli spacciandosi per un tool Python. Lo script appende un percorso particolare alla variabile d’ambiente PATH prima di eseguire qualsiasi comando shell. “Iniettando questo percorso all’inizio di PATH, qualsiasi comando che si affida a eseguibili environment-resolved (python, pip, ec…) può essere compromesso senza che l’utente se ne accora. Questo è particolarmente efficace sui sistemi dove ci si aspetta che Python sia già presente“.

Sembra che il codice malevolo sia presente da 7 mesi sul repository, a partire dalla versione 2.0.80. Dopo di essa, sono state rilasciate altre cinque versioni e tutte contenevano il payload del RAT. Attualmente su npm le versioni malevole non sono più disponibili ed è possibile scaricare l’ultimo aggiornamento in sicurezza. Nel caso in precedenza si fosse usata una delle versioni compromesse, è importante eseguire una scansione completa del proprio dispositivo per individuare l’eventuale presenza del trojan. 

---

---

---

https://www.securityinfo.it/2025/05/09/npm-attacco-supply-chain-compromesso-un-package-con-45-000-download-settimanali/?utm_source=rss&utm_medium=rss&utm_campaign=npm-attacco-supply-chain-compromesso-un-package-con-45-000-download-settimanali

In un’epoca caratterizzata dall’ubiquità di dispositivi interconnessi e dall’evoluzione esponenziale delle minacce informatiche, il paradigma della Security by Design (SbD) emerge non già come mera opzione progettuale bensì come imperativo categorico nell’ecosistema digitale contemporaneo. Questo principio architettonico presuppone l’incorporazione di meccanismi di sicurezza ab initio nel ciclo di sviluppo dei sistemi informativi, contrapposto all’approccio reattivo che ha storicamente dominato l’implementazione delle misure di protezione digitale.

Il presente elaborato si propone di analizzare la genesi concettuale, i principi fondanti e le implicazioni pragmatiche della Security by Design, esaminandone l’evoluzione epistemologica e le metodologie applicative nel contesto delle sfide socio-tecniche attuali.

Genesi concettuale e fondamenti epistemologici

Il costrutto teorico della Security by Design affonda le proprie radici nei principi della progettazione sistemica resiliente, articolata inizialmente da Saltzer e Schroeder nel loro seminale contributo “The Protection of Information in Computer Systems” (1975), ove delinearono otto principi cardinali per la sicurezza informatica, tra cui l’economia del meccanismo, la protezione predefinita e il privilegio minimo. Questi assiomi costituiscono il substrato concettuale dell’architettura SbD contemporanea.

L’evoluzione del paradigma si è cristallizzata ulteriormente attraverso le pubblicazioni del National Institute of Standards and Technology (NIST), in particolare con la Special Publication 800-160 “Systems Security Engineering” che ha codificato un framework metasistematico per l’integrazione dei requisiti di sicurezza nell’intero ciclo di vita dell’ingegneria dei sistemi.

Principi architettonici e metodologie applicative

L’implementazione efficace della Security by Design si articola attraverso principi architettonici distintivi che ne modulano l’applicazione pragmatica:

1. Analisi olistica dei requisiti di sicurezza

Il processo inizia con una identificazione granulare e una categorizzazione tassonomica dei requisiti di sicurezza, analizzando il sistema attraverso una prospettiva socio-tecnica che contempli non solo le vulnerabilità tecniche ma anche le implicazioni organizzative, normative e comportamentali. Come evidenziato dalla ricerca di Sindre e Opdahl sull’analisi dei requisiti orientata all’abuso, questa fase richiede una decostruzione sistematica delle potenziali violazioni delle proprietà di sicurezza.

2. Modellazione delle minacce come processo iterativo

La modellazione delle minacce costituisce il nucleo epistemico della SbD, configurandosi come processo euristico che identifica, quantifica e prioritizza i potenziali vettori di attacco. Metodologie come STRIDE (Microsoft), PASTA (Process for Attack Simulation and Threat Analysis) e OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) forniscono framework strutturati per questa analisi.

Il NIST Framework for Improving Critical Infrastructure Cybersecurity articola questo processo come un continuum dinamico che attraversa le fasi di identificazione, protezione, rilevamento, risposta e recupero, enfatizzando la natura ciclica della gestione del rischio.

3. Principio di difesa stratificata

L’implementazione di controlli di sicurezza multipli, eterogenei e ridondanti costituisce un pilastro fondamentale dell’approccio SbD. Questa strategia, denominata “defense-in-depth”, presuppone che la compromissione di un singolo strato difensivo non comprometta l’integrità complessiva del sistema. La ricerca empirica condotta dall’European Union Agency for Cybersecurity (ENISA) ha dimostrato come l’articolazione di controlli difensivi stratificati incrementi significativamente il costo computazionale e operativo degli attacchi, rendendo economicamente inefficiente la perpetrazione di violazioni.

4. Minimizzazione della superficie di attacco

La riduzione della superficie di attacco attraverso l’eliminazione di funzionalità superflue, la decomposizione modulare e l’implementazione del principio del privilegio minimo costituisce un’ulteriore dimensione strategica della SbD. La ricerca di McGraw sull’ingegneria della sicurezza del software evidenzia come la complessità sistemica sia direttamente proporzionale alla vulnerabilità potenziale, suggerendo che l’astrazione architetturale e la semplificazione funzionale rappresentino strategie efficaci di mitigazione del rischio.

5. Verifica formale e testing automatizzato

L’integrazione di metodologie di verifica formale e testing automatizzato consente la validazione rigorosa dei requisiti di sicurezza. Tecniche come l’analisi statica del codice, il fuzzing, il penetration testing e l’analisi dinamica costituiscono strumenti essenziali per l’identificazione proattiva delle vulnerabilità. La ricerca di Schneider sulla verifica automatizzata delle proprietà di sicurezza ha dimostrato l’efficacia di queste metodologie nell’individuazione di violazioni sottili dei principi di sicurezza.

Evoluzione normativa e standardizzazione

Il paradigma della Security by Design ha trovato progressiva codificazione in framework normativi e standard internazionali che ne hanno amplificato l’adozione sistemica:

• ISO/IEC 27001 e 27034: Definiscono rispettivamente i requisiti per i sistemi di gestione della sicurezza delle informazioni e le linee guida per la sicurezza delle applicazioni.
• NIST Cybersecurity Framework: Fornisce linee guida per la gestione e la riduzione del rischio di sicurezza informatica attraverso l’organizzazione e la descrizione di attività di cybersecurity.
• Regolamento Generale sulla Protezione dei Dati (GDPR): Introduce esplicitamente il concetto di “privacy by design and by default” che rappresenta una declinazione specifica della SbD nel dominio della protezione dei dati personali.
• Cybersecurity Act dell’Unione Europea: Stabilisce un quadro di certificazione della cybersecurity a livello europeo che incorpora principi di SbD nei requisiti di certificazione.

Sfide implementative contemporanee

Nonostante la solidità concettuale e l’evidenza empirica a supporto dell’efficacia della SbD, permangono sfide significative nella sua implementazione pragmatica:

1. Complessità socio-tecnica

La crescente interconnessione tra sistemi eterogenei e l’espansione dell’Internet delle Cose (IoT) amplificano la complessità socio-tecnica, rendendo ardua l’implementazione di controlli di sicurezza comprensivi. La ricerca di Ross Anderson sulla “Economics of Security” evidenzia come gli incentivi disallineati tra stakeholder rappresentino un ostacolo significativo all’adozione sistemica della SbD.

2. Evoluzione accelerata delle minacce

L’evoluzione rapida e sofisticata delle tecniche di attacco, inclusi gli approcci basati sull’intelligenza artificiale e sul machine learning, richiede un adattamento continuo dei modelli di minaccia. La ricerca condotta dal MITRE ATT&CK Framework documenta l’espansione tassonomica delle tattiche, tecniche e procedure utilizzate dagli attori malevoli.

3. Vincoli economici e temporali

Le pressioni competitive e i vincoli temporali nel ciclo di sviluppo possono indurre a compromessi pragmatici che sacrificano l’integrità dell’approccio SbD. L’analisi costo-beneficio della sicurezza, esplorata da Gordon e Loeb, suggerisce l’esistenza di un punto di ottimizzazione oltre il quale ulteriori investimenti in sicurezza producono rendimenti marginali decrescenti.

Prospettive future: Verso un paradigma evolutivo

L’evoluzione futura della Security by Design si orienta verso l’integrazione di metodologie adattive e tecnologie emergenti:

1. DevSecOps e integrazione continua

L’integrazione della sicurezza nei processi di sviluppo e operazioni (DevSecOps) rappresenta un’evoluzione naturale della SbD, incorporando controlli di sicurezza automatizzati nel ciclo di integrazione continua. La ricerca di Forsgren et al. sulla performance organizzativa dimostra come l’integrazione della sicurezza nelle pipeline di sviluppo sia correlata positivamente con l’efficacia complessiva dei team e la riduzione dei difetti post-deployment.

2. Sicurezza basata sull’intelligenza artificiale

L’applicazione di tecniche di intelligenza artificiale e machine learning consente l’implementazione di sistemi di sicurezza adattivi capaci di apprendere da pattern emergenti e rispondere dinamicamente a nuove minacce. La ricerca di Buczak e Guven sull’applicazione del machine learning per il rilevamento delle intrusioni evidenzia il potenziale di queste tecnologie nell’identificazione di comportamenti anomali non precedentemente categorizzati.

3. Architetture a fiducia zero

Il paradigma della fiducia zero (Zero Trust) rappresenta un’evoluzione concettuale della SbD, presupponendo che nessuna entità, interna o esterna, debba essere implicitamente fidata. L’implementazione di meccanismi di autenticazione e autorizzazione continui, basati sul contesto, costituisce un’applicazione avanzata dei principi di sicurezza predefinita. Il NIST Special Publication 800-207 “Zero Trust Architecture” fornisce un framework esaustivo per l’implementazione di questo approccio.

Dimensione internazionale comparativa della Security by Design

L’implementazione del paradigma della Security by Design presenta significative variazioni geopolitiche e culturali che meritano un’analisi comparativa approfondita. Le diverse regioni globali hanno sviluppato approcci distintivi, influenzati da contesti normativi, priorità strategiche e sensibilità culturali specifiche.

Approccio europeo: regolamentazione proattiva

L’Unione Europea ha adottato un approccio marcatamente regolamentare, cristallizzato nel Regolamento Generale sulla Protezione dei Dati (GDPR) e nel Cybersecurity Act. La filosofia europea integra la sicurezza informatica in un framework più ampio di diritti fondamentali, enfatizzando la protezione dei dati personali come diritto inalienabile. L’European Union Agency for Cybersecurity (ENISA) ha elaborato linee guida specifiche per l’implementazione della Security by Design che pongono particolare enfasi sulla valutazione d’impatto e sulla responsabilità algoritmica.

La recente normativa NIS2 (Network and Information Security Directive 2) e il Cyber Resilience Act amplificano ulteriormente questa tendenza, estendendo gli obblighi di sicurezza proattiva a settori precedentemente non regolamentati e introducendo requisiti di certificazione per prodotti connessi.

Modello statunitense: collaborazione pubblico-privato

Gli Stati Uniti hanno privilegiato un modello basato sulla collaborazione pubblico-privato e su framework volontari di best practices. Il NIST Cybersecurity Framework rappresenta l’emblema di questo approccio, fornendo linee guida non prescrittive ma altamente strutturate per l’implementazione della sicurezza.

La recente Executive Order 14028 “Improving the Nation’s Cybersecurity” ha segnato un cambiamento paradigmatico, introducendo requisiti più stringenti per i fornitori federali e promuovendo l’adozione di architetture Zero Trust.

La strategia statunitense si caratterizza inoltre per un’enfasi sull’innovazione tecnologica e sulla ricerca avanzata attraverso programmi come la DARPA’s Cyber Grand Challenge, che ha stimolato lo sviluppo di soluzioni automatizzate per l’identificazione e la mitigazione delle vulnerabilità.

Paradigma asiatico: centralizzazione e controllo

Le economie asiatiche avanzate come Giappone, Corea del Sud e Singapore hanno sviluppato approcci distintivi alla Security by Design. Il Giappone, attraverso il suo “Cybersecurity Strategic Headquarters”, ha implementato una metodologia che integra profondamente considerazioni di sicurezza nella sua strategia di Society 5.0, con particolare attenzione alle infrastrutture critiche e all’Internet delle Cose.

La Cina rappresenta un caso particolare, con la sua Cybersecurity Law e la più recente Data Security Law che impongono rigorosi controlli centralizzati e requisiti di localizzazione dei dati. L’approccio cinese alla sicurezza informatica è inscindibile da considerazioni di sovranità digitale e sicurezza nazionale, determinando un modello di implementazione della SbD fortemente regolamentato e monitorato centralmente.

Nazioni emergenti: sfide di implementazione

Le economie emergenti affrontano sfide distintive nell’adozione della Security by Design, incluse limitazioni nelle risorse tecniche, lacune normative e pressioni competitive che possono indurre a compromessi sulla sicurezza. Iniziative come il Global Forum on Cyber Expertise (GFCE) mirano a colmare questi divari attraverso programmi di capacity building e trasferimento di competenze.

L’analisi comparativa evidenzia come la Security by Design, pur mantenendo principi fondamentali universali, si articoli in implementazioni eterogenee influenzate dal contesto socio-politico, dalle priorità strategiche e dalle caratteristiche culturali delle diverse regioni.

Integrazione con paradigmi complementari

La Security by Design non opera in isolamento ma si integra sinergicamente con altri paradigmi progettuali complementari, creando un ecosistema olistico di principi che si rafforzano reciprocamente. Questa integrazione multidimensionale amplifica l’efficacia complessiva dell’approccio e ne estende la portata oltre i confini tradizionali della sicurezza informatica.

Privacy by Design: la dimensione etica della protezione dei dati

Il paradigma della Privacy by Design, formulato da Ann Cavoukian, rappresenta un’estensione naturale e complementare della Security by Design. Mentre quest’ultima si focalizza sulla protezione contro accessi non autorizzati e compromissioni, la Privacy by Design si concentra sulla minimizzazione della raccolta dati, sulla limitazione dello scopo e sulla trasparenza nel trattamento delle informazioni personali.

La ricerca condotta da Spiekermann e Cranor evidenzia come l’integrazione di questi due paradigmi crei un framework comprensivo che protegge simultaneamente contro minacce tecniche e abusi nella gestione dei dati. Il concetto di “Data Protection Impact Assessment”, codificato nel GDPR europeo, rappresenta una metodologia operativa che integra considerazioni di sicurezza e privacy in un processo valutativo unificato.

Usability by Design: riconciliare sicurezza e esperienza utente

Storicamente, la sicurezza è stata percepita come antagonista dell’usabilità, generando il noto dilemma “sicurezza versus convenienza”. Il paradigma dell’Usability by Design riconcilia questa apparente dicotomia, dimostrando come controlli di sicurezza ben progettati possano simultaneamente migliorare la protezione e l’esperienza utente.

La ricerca di Cranor e Garfinkel su “Security and Usability” ha dimostrato come l’usabilità insufficiente dei meccanismi di sicurezza conduca frequentemente alla loro elusione, compromettendo l’efficacia complessiva delle protezioni. L’integrazione di principi di design centrato sull’utente nella progettazione dei controlli di sicurezza rappresenta quindi un amplificatore dell’efficacia dei meccanismi protettivi.

Resilience by Design: oltre la prevenzione

Il paradigma della Resilience by Design estende la Security by Design oltre la dimensione preventiva, incorporando principi di adattabilità, recupero e continuità operativa. Questo approccio riconosce l’impossibilità di prevenire tutte le compromissioni potenziali e si focalizza sulla capacità sistemica di mantenere funzionalità essenziali sotto attacco e di ripristinare rapidamente la piena operatività.

Il NIST Framework for Improving Critical Infrastructure Cybersecurity articola esplicitamente questa integrazione attraverso le sue funzioni core di Identificare, Proteggere, Rilevare, Rispondere e Recuperare, creando un continuum che abbraccia l’intero ciclo di vita della sicurezza.

Ethics by Design: la dimensione valoriale

L’emergere dell’Ethics by Design come paradigma complementare riflette la crescente consapevolezza delle implicazioni valoriali e sociali dei sistemi informativi. Questo approccio integra considerazioni etiche nell’architettura tecnologica, affrontando questioni di equità algoritmica, trasparenza decisionale e responsabilità sistemica.

La convergenza tra Security by Design ed Ethics by Design è particolarmente rilevante nel contesto delle tecnologie emergenti come l’intelligenza artificiale, dove la sicurezza delle decisioni algoritmiche è inscindibile dalle loro implicazioni etiche e sociali. Il recente AI Act europeo codifica questa integrazione, imponendo requisiti di sicurezza e valutazione dell’impatto etico per sistemi di IA ad alto rischio.

Verso un meta-paradigma di Trustworthy by Design

L’integrazione sinergica di questi paradigmi complementari suggerisce l’emergere di un meta-paradigma di “Trustworthy by Design” che sintetizza le diverse dimensioni della fiducia digitale – sicurezza, privacy, usabilità, resilienza ed etica – in un framework olistico e coerente.

La ricerca del Digital Trust Institute evidenzia come questa integrazione multidimensionale costituisca un fondamento essenziale per la costruzione di ecosistemi digitali sostenibili e affidabili, capaci di generare e mantenere la fiducia degli utenti attraverso la progettazione intenzionale di sistemi che incorporano valori umani e sociali.

La Security by Design come imperativo etico

In ultima analisi, la Security by Design trascende la dimensione meramente tecnica per configurarsi come imperativo etico nell’ecosistema digitale contemporaneo. La protezione dell’integrità, della confidenzialità e della disponibilità delle informazioni rappresenta non solo un obiettivo funzionale ma una responsabilità collettiva verso la costruzione di infrastrutture digitali resilienti e affidabili.

L’implementazione sistematica di questo paradigma richiede un approccio olistico che integri dimensioni tecniche, organizzative, normative ed etiche in un framework coeso e adattivo, capace di evolvere in risposta alle sfide emergenti del panorama cyber contemporaneo.

Come osservato da Bruce Schneier, “La sicurezza è un processo, non un prodotto” – un assioma che cattura l’essenza dinamica e continuativa della Security by Design come metodologia evolutiva piuttosto che come stato finale raggiungibile.

Bibliografia:

• Anderson, R. (2008). Security Engineering: A Guide to Building Dependable Distributed Systems. Wiley.
• Buczak, A. L., & Guven, E. (2016). A Survey of Data Mining and Machine Learning Methods for Cyber Security Intrusion Detection. IEEE Communications Surveys & Tutorials, 18(2), 1153-1176.
• Cavoukian, A. (2011). Privacy by Design: The 7 Foundational Principles. Information and Privacy Commissioner of Ontario.
• Cranor, L. F., & Garfinkel, S. (2005). Security and Usability: Designing Secure Systems that People Can Use. O’Reilly Media.
• European Union Agency for Cybersecurity. (2022). ENISA Threat Landscape Report. https://www.enisa.europa.eu/publications/enisa-threat-landscape-2022
• European Commission. (2023). Proposal for a Regulation on Harmonised Rules on Artificial Intelligence (AI Act). https://digital-strategy.ec.europa.eu/en/library/proposal-regulation-laying-down-harmonised-rules-artificial-intelligence
• Forsgren, N., Humble, J., & Kim, G. (2018). Accelerate: The Science of Lean Software and DevOps. IT Revolution.
• Global Forum on Cyber Expertise. (2023). Global Good Practices in Cybersecurity Capacity Building. https://thegfce.org/wp-content/uploads/2023/02/GFCE-Good-Practices.pdf
• Gordon, L. A., & Loeb, M. P. (2002). The Economics of Information Security Investment. ACM Transactions on Information and System Security, 5(4), 438-457.
• McGraw, G. (2006). Software Security: Building Security In. Addison-Wesley Professional.
• Ministry of Economy, Trade and Industry of Japan. (2022). Society 5.0 and Cybersecurity Strategy. https://www.meti.go.jp/english/policy/mono_info_service/information_economy/index.html
• National Institute of Standards and Technology. (2018). Framework for Improving Critical Infrastructure Cybersecurity, Version 1.1. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf
• National Institute of Standards and Technology. (2020). Special Publication 800-207: Zero Trust Architecture. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
• National Institute of Standards and Technology. (2022). Special Publication 800-160: Systems Security Engineering. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-160v1r1.pdf
• People’s Republic of China. (2021). Data Security Law of the People’s Republic of China. http://www.npc.gov.cn/englishnpc/c23934/202111/162ca85fe2ba4ba1a144b1a7d24b2d5c.shtml
• Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (GDPR). (2016). https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32016R0679
• Regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio (Cybersecurity Act). (2019). https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32019R0881
• Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio (NIS2). (2022). https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32022R2554
• Saltzer, J. H., & Schroeder, M. D. (1975). The Protection of Information in Computer Systems. Proceedings of the IEEE, 63(9), 1278-1308.
• Schneider, F. B. (2000). Enforceable Security Policies. ACM Transactions on Information and System Security, 3(1), 30-50.
• Schneier, B. (2004). Secrets and Lies: Digital Security in a Networked World. Wiley.
• Sindre, G., & Opdahl, A. L. (2005). Eliciting Security Requirements with Misuse Cases. Requirements Engineering, 10(1), 34-44.
• Spiekermann, S., & Cranor, L. F. (2009). Engineering Privacy. IEEE Transactions on Software Engineering, 35(1), 67-82.
• The MITRE Corporation. (2023). MITRE ATT&CK Framework. https://attack.mitre.org/
• The White House. (2021). Executive Order on Improving the Nation’s Cybersecurity (EO 14028). https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/
• ISO/IEC. (2022). ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection. International Organization for Standardization. https://www.iso.org/standard/27001
• Digital Trust Institute. (2024). Trustworthy Design Principles for Digital Ecosystems. https://digitaltrustinstitute.org/resources

https://www.ictsecuritymagazine.com/articoli/security-by-design/

Google has announced improvements to its security systems, revealing that AI now plays a crucial role in protecting users from scams.

Additionally, Google has released a report detailing the effectiveness of AI in combating scams in search results.

Google’s AI-Powered Defense Strategy

Google’s report highlights its progress in spotting scams. Its AI systems block hundreds of millions of harmful search results daily.

Google claims it can now catch 20 times more scammy pages before they appear in search results compared to three years ago. This comes from investments in AI systems designed to spot fraud patterns.

Google explains in its report:

“Advancements in AI have bolstered our scam-fighting technologies — enabling us to analyze vast quantities of text on the web, identify coordinated scam campaigns and detect emerging threats — staying one step ahead to keep you safe on Search.”

How Google’s AI Identifies Sophisticated Scams

Google’s systems can now spot networks of fake websites that might look real when viewed alone. This broader view helps catch coordinated scam campaigns that used to slip through the cracks.

Google says its AI is most effective in two areas:

1. Fake customer service: After spotting a rise in fake airline customer service scams, Google added protections that cut these scams by more than 80% in search results.
2. Fake official sites: New protections launched in 2024 reduced scams pretending to be government services by over 70%.

Cross-Platform Protection Extends Beyond Search

Google is expanding its scam-fighting to Chrome and Android, too.

Chrome’s Enhanced Protection with Gemini Nano

Chrome’s Enhanced Protection mode now uses Gemini Nano, an AI model that works right on your device. It analyzes websites in real-time to spot dangers.

Jasika Bawa, Group Product Manager for Chrome, says:

“The on-device approach provides instant insight on risky websites and allows us to offer protection, even against scams that haven’t been seen before.”

Android’s Expanded Defenses

For mobile users, Google has added:

• AI warnings in Chrome for Android that flag suspicious notifications
• Scam detection in Google Messages and Phone by Google that spots call and text scams

Multilingual Protection Through Language Models

Google is improving its ability to fight scams across languages. Using large language models, Google can find a scam in one language and then protect users searching in other languages.

This matters for international SEO specialists and marketers with global audiences. It shows that Google is getting better at analyzing content in different languages.

What This Means

As Google enhances its ability to detect deceptive content, the standard for quality keeps rising for all websites.

Google now views security as an interconnected system across all its products, rather than as separate features.

Maintaining high transparency, accuracy, and user focus remains the best strategy for long-term search success.

https://www.searchenginejournal.com/how-google-protects-searchers-from-scams-updates-announced/546345/