Edition 18

Mi prendo la mia parte di responsabilità, perché ho usato quel vocabolario. Ho scritto degli sciami a luglio, ad agosto e di nuovo il mese scorso, e il termine portava con sé una narrazione che permetteva a tutti di guardare alla macchina invece che al perimetro attorno ad essa. I fatti non cambiano. Il framing sì. Un agente con accesso a Internet che non avrebbe dovuto avere, un registro di pacchetti che nessuno monitorava, credenziali senza scadenza: ognuno di questi è qualcosa che una persona ha configurato. Abbandono il termine.

La parte utile è l'architettura. Jacob Krell di Suzu Labs lo dice bene: i controlli tradizionali sono atomici, ispezionano una singola richiesta o un singolo permesso, mentre un agente concatena più fallimenti individualmente tollerabili in un percorso funzionante. Quindi bisogna costruire in modo che l'intento non abbia importanza. Isolamento robusto, rete deny-by-default, liste di accesso immutabili, credenziali con scope ristretto, una verifica indipendente a ogni chiamata di strumento e un kill switch che opera al di fuori del controllo dell'agente. Un agente non ha bisogno di un intento malevolo. Gli bastano accesso sufficiente e una decisione sbagliata.

C'è un essere umano nel processo e quell'essere umano non è un controllo di sicurezza. È un valutatore della qualità senza alcun mandato di escalation, il che significa che il materiale più grave passa davanti a una persona a cui è stato detto che il suo compito è giudicare se i pixel sono corretti. Tutti assumono il contrario. Ha la stessa struttura del punto precedente: il controllo esiste, funziona esattamente come progettato, e non è mai stato orientato verso ciò che si pensava.

Due considerazioni per la vostra organizzazione. La questione della protezione dei dati è evidente una volta compresa: le persone i cui volti compaiono spesso non sono l'utente, non sono state informate di nulla, e l'oscuramento sarebbe banale. È possibile rinunciare all'addestramento, non allo sguardo di uno sconosciuto. Sul piano pratico: quando il personale inserisce un documento o una foto in uno strumento di AI per consumatori, la domanda non riguarda più soltanto se questo addestrerà un modello. Riguarda se un contractor in un paese che non avete mai valutato lo leggerà.

Il controllo era reale e funzionava. Verificava che un messaggio fosse ben formato e non chiedeva mai da dove provenisse, che è lo stesso schema di fallimento di cui ho scritto la settimana scorsa in un processo di firma dei pagamenti e in un token MFA. E soffermatevi sul resto: validazione RSA scritta a mano, all'interno del componente il cui unico scopo è comunicare con token hardware di sicurezza, nel banking corporate. Abbiamo protetto la chiave nell'hardware e poi l'abbiamo esposta attraverso un'estensione browser.

Due note pratiche. Le estensioni browser rimangono il punto cieco in quasi ogni asset register, e questa è la versione peggiore di tale problema, perché l'estensione è il componente che applica l'autenticazione forte. In base a DORA, SConnect è un componente critico di terze parti collocato all'interno della catena di autenticazione, e non figura nel register di nessuno. Verificate quali estensioni di firma o token utilizza il vostro team finanziario e su quale versione.

Tutto il lato compliance di questa vicenda porta una data. La violazione, la sanzione, le scadenze delle ingiunzioni, la sentenza d'appello che verrà. Il lato degli abbonati non ne porta nessuna. Dopo una violazione di password si cambia la password e l'esposizione collassa in pochi minuti. Qui il file contiene nomi, date e luoghi di nascita, indirizzi e IBAN. Un nome non cambia. Un IBAN tecnicamente può essere modificato, su richiesta alla propria banca, ma poi bisogna riaggiornare ogni addebito diretto, quindi quasi nessuno lo fa. La vita media di quel file si misura in anni. Questo è il calendario da presentare al vostro consiglio, non la sanzione.

E notate quale mancanza è tornata a emergere. L'autorità ha sanzionato Free Mobile per aver conservato i dati di ex abbonati che non era in grado di giustificare, e i legali che hanno esaminato la decisione hanno trovato quasi tre milioni di contratti rescissi da oltre dieci anni ancora presenti nel database. La copertura mediatica ha archiviato questo come nota a piè di pagina amministrativa accanto al vero argomento, la sicurezza. È il problema di sicurezza. I dati cancellati non possono essere esfiltrati, rivenduti o utilizzati per rendere credibile una fattura falsa. Ho pubblicato l'analisi completa, link in alto.

I fondamentali sono corretti. Li ho scritti per tutto l'anno e li scriverò ancora. Ma guardate ciò che questo numero vi ha appena mostrato e la domanda si è spostata. Non è "disponete dell'autenticazione a più fattori". Il mese scorso era abilitata e non applicata. La settimana scorsa era soddisfatta senza essere mai stata eseguita. Avere un controllo è ora la metà facile. Sapere che funziona ancora quando qualcuno lo testa è la metà per cui nessuno stanza il budget.

Quindi ecco cosa farei con l'attenzione che ottenete questo mese. Invece di un poster, testate un controllo. Inserite un honeytoken in una condivisione di file e verificate se un alert raggiunge un essere umano. Eseguite una content security policy in modalità report-only per una settimana e leggete ciò che viene effettivamente eseguito nei browser dei vostri clienti. Esercitate un'eviction e verificate che l'attaccante sia davvero sparito. E date a Recover una vera prova pratica, perché è la R che quasi nessuno riesce a dimostrare, e con NIS2 e DORA ha smesso di essere facoltativa.