Veeam: proteggere i dati del governo tra Zero Trust e Open Source

A cura di Rick Vanover, Senior Director, Product Strategy, Veeam Mentre il governo federale continua a emergere dalla pandemia, la sua strategia informatica è influenzata da due tendenze efficaci, ma divergenti: la zero trust e l’open source. Grazie anche all’ordine esecutivo della Casa Bianca del 2021 sul miglioramento della sicurezza informatica della nazione, la più importante di queste tendenze potrebbe essere l’adozione della zero trust. Ma alcuni temono che il guadagno in termini di cybersicurezza possa essere indebolito dalla crescente popolarità del software open source. Secondo il 2020 Federal Source Code Study, l’80% degli oltre 6.800 progetti software federali elencati su Code.gov sono open source, consentendo agli sviluppatori di innovare rapidamente, ridurre i costi di implementazione e offrire una maggiore scelta di fornitori.L’approccio all’innovazione sostenuto dalla folla dell’open source potrebbe migliorare la sicurezza informatica, ma la trasparenza del codice sorgente può consentire agli aggressori di introdurre malware in modo creativo. Un documento di ricerca del 2020, intitolato “Backstabber’s Knife Collection” (Collezione di coltelli da traditore), ha descritto in dettaglio 174 pacchetti software dannosi “utilizzati in attacchi reali alle software supply chain open source” tra il 2015 e il 2019, per evidenziare le sfide che le applicazioni software devono affrontare in caso di potenziali violazioni.Sebbene la comunità open source sia abile nel monitorare e correggere rapidamente le vulnerabilità, la diffusione dei pacchetti open source fa sì che quando si verifica un attacco, questo possa diffondersi rapidamente prima di essere rilevato. Una volta che le applicazioni software open source vengono violate, diventa difficile per un’architettura zero trust combattere l’attacco, perché il software infettato dal malware è già stato considerato nell’ambiente IT.Sebbene la zero trust possa contribuire a proteggere i punti di accesso legittimi e a limitare l’esposizione dei dati, non è in grado di recuperare i dati compromessi in caso di attacco. Zero Trust è un’architettura, un progetto, una mentalità, non una copia a prova di bomba dei dati, né un singolo prodotto.Per prepararsi al potenziale impatto degli attacchi alle supply chain open-source, le agenzie devono pensare al di là dei tradizionali metodi zero trust per mettere in atto strategie difensive che tengano conto dell’intera supply chain e un solido piano di protezione dei dati in caso di violazione.