Una ricerca commissionato a Ponemon Institute da ServiceNow intitolata “Today’s State of Vulnerability Response: Patch Work Demands Attention”, svela il “paradosso del patching” secondo cui i team di security hanno in programma di assumere più personale per la gestione delle vulnerabilità, ma non miglioreranno la propria security se non correggeranno prima i processi di patching che non funzionano.
Stando ai numeri della ricerca che ha coinvolto circa 3.000 professionisti di IT Security in nove Paesi, di cui oltre 1.500 in Europa, il 63% dei responsabili di sicurezza del Vecchio Continente ha in programma nuove assunzioni per la gestione delle vulnerabilità, ma più professionisti da soli non risolveranno il problema. Le aziende sono in difficoltà con il patching perché utilizzano processi manuali e non riescono a dare un ordine di priorità a quale vulnerabilità debba essere risolta per prima.
Lo studio rivela, infatti, che processi efficienti per la gestione delle vulnerabilità sono fondamentali, poiché il patching tempestivo è la tattica di maggior successo per evitare violazioni alla sicurezza.
Nata con l’obiettivo di comprendere l’efficacia dei processi e degli strumenti per rispondere alle vulnerabilità, la ricerca sottolinea come automatizzare i processi di routine e dare la priorità alle vulnerabilità aiuterà le organizzazioni a evitare il ‘paradosso del patching’, consentendo ai dipendenti di concentrarsi sul lavoro fondamentale per ridurre drasticamente le possibilità di una violazione.
Una procedura di vulnerability response deve, infatti, essere utilizzata dalle aziende per stabilire le priorità e correggere i difetti nel software, prima che diventi un vettore di attacco.
Il numero di risorse IT dedicate al patching è destinato ad aumentare
Le organizzazioni europee trascorrono in media 319 ore alla settimana – l’equivalente di circa otto impiegati full-time – per gestire il processo di vulnerability response.
In media, il campione europeo pianifica di assumere circa 3,8 persone dedicate alla gestione delle vulnerabilità, con un aumento del 48% rispetto ai livelli di organico attuali.
Ma assumere non risolverà il problema: i team di security si scontrano con processi inadatti. Stando, infatti, a uno studio di ISACA, una no-profit globale di IT advocacy, la carenza mondiale di professionisti di cybersecurity raggiungerà i 2 milioni entro il 2019.
Lo studio rivela che assumere non risolverà le sfide di vulnerability response che fronteggiano le organizzazioni europee. Stando ai dati, i team di security europei hanno perso una media di 11,5 giorni per coordinare manualmente le attività di patching tra i diversi gruppi di lavoro, mentre il 65% del campione intervistato trova difficile dare la priorità a quale vulnerabilità debba essere risolta per prima.
Il tutto all’interno di un quadro in cui il 48% delle aziende europee ha sperimentato una violazione di dati negli ultimi due anni. Un dato, quest’ultimo, ulteriormente aggravato dal fatto che, la maggioranza delle aziende colpite da una violazione in Europa (54%) sostiene di essere stata violata a causa di una vulnerabilità per cui una patch era già disponibile.
5 mosse per migliorare la security delle aziende
1- Fare un inventario oggettivo delle capacità di risposta alle vulnerabilità
2- Accelerare il time-to-benefit, affrontando prima i problemi più facilmente risolvibili
3- Riguadagnare il tempo perso in coordinamento, eliminando le barriere di dati tra sicurezza e IT
4- Definire e ottimizzare i processi di vulnerability response end-to-end e automatizzare il più possibile
5- Trattenere i professionisti validi, concentrandosi sulla cultura aziendale e l’ambiente
