Un nuovo report di Kaspersky Compromise Assessment evidenzia come molte aziende non riescano a individuare gli incidenti di sicurezza informatica a causa di approcci reattivi, monitoraggio insufficiente e carenze operative. Secondo il report, nel 31% degli incidenti analizzati le attività dannose all’interno delle organizzazioni erano in corso da oltre tre mesi. Inoltre, più della metà (52%) delle violazioni ad alta gravità è stata scoperta solo dopo essere rimasta inosservata per oltre 90 giorni, mentre l’incidente più datato identificato nell’ultimo anno è rimasto occulto addirittura per quattro anni.
Gli strumenti di monitoraggio e i controlli di sicurezza, da soli, non sono sufficienti. Tra tutti gli incidenti individuati, il 20% è stato rilevato manualmente, mentre il 60% è sfuggito alle aziende nonostante la presenza di avvisi ad alta affidabilità generati dagli strumenti già in uso. Questo dato evidenzia una dipendenza critica dalle soluzioni automatizzate, che non sempre vengono configurate o monitorate in modo efficace. Per garantire una protezione adeguata, gli strumenti di monitoraggio devono essere configurati e aggiornati costantemente in base all’evoluzione del panorama delle minacce. Allo stesso tempo, il fattore umano continua a svolgere un ruolo fondamentale: gli analisti devono esaminare attivamente anche gli avvisi a bassa affidabilità, che spesso vengono trascurati ma possono rivelarsi indicatori di compromissione.
File dannosi rispristinati dai backup. Il 40% di tutte le web shell individuate (script o programmi dannosi) è rimasto inosservato nei backup, con il rischio di essere ripristinato una volta concluse le attività iniziali di risposta all’incidente. Per questo motivo, è fondamentale sottoporre a un’attenta verifica non solo l’integrità, ma anche il contenuto dei backup.
I problemi di comunicazione possono portare alla mancata individuazione di incidenti. Quasi un terzo (32%) delle valutazioni relative alle violazioni della sicurezza ha infatti evidenziato problemi quali conferme poco chiare delle azioni intraprese o perdita di conoscenze dovuta al ricambio del personale. Questo sottolinea l’importanza di organizzare esercitazioni periodiche che consentano di verificare non solo le procedure tecniche, ma anche i flussi di comunicazione, gli aspetti legati alle risorse umane e gli accordi operativi.
Le procedure di risposta agli incidenti devono essere aggiornate regolarmente. Per risultare realmente efficaci ed efficienti, i playbook devono essere considerati documenti in continua evoluzione, da aggiornare costantemente sulla base delle nuove evidenze e delle informazioni emergenti sulle minacce. Il mancato adeguamento dei piani di risposta all’evoluzione del panorama delle minacce aumenta infatti in modo significativo il rischio di trascurare minacce critiche e di consentire la compromissione dei sistemi.
“Le aziende devono affrontare non solo rischi esterni, ma anche minacce nascoste all’interno della propria infrastruttura, e i segnali di una compromissione non sono sempre evidenti. Gli audit di sicurezza proattivi aumentano le probabilità che le organizzazioni rilevino una compromissione. L’integrazione di valutazioni periodiche della compromissione, condotte da soggetti terzi, nei processi organizzativi può ridurre la probabilità di incidenti imprevisti di grave entità e migliorare il profilo di rischio complessivo”, ha commentato Amged Wageh, Expert di Kaspersky Compromise Assessment.
