La scelta di eseguire l’analisi “Red Teaming” nasce dalla necessità di affidare a terzi una verifica della postura aziendale in termini di cyber security, terzi che, seppur non direttamente coinvolti nelle attività implementative dei sistemi esistenti, siano conosciuti e competenti.
L’attività di verifica effettuata ha portato delle piacevoli conferme (il lavoro di formazione sul personale ha portato a reazioni affidabili sotto tutti i punti di vista), come si sono scoperte falle che non si pensava di dover gestire (porte aperte su router in gestione all’operatore che fornisce la connettività).
Oltre a questo sono emerse criticità su servizi gestiti da terzi, anche in questo caso si è sempre convinti che appaltare all’esterno lo si possa fare senza accertarsi della reale capacità del fornitore nel valutare in modo corretto anche l’ambito della sicurezza, dimenticando che i terzi si presentano con il nostro nome e che se gestiscono servizi business critical, il fatto che vengano messi in condizione di non essere fruiti, crea un forte danno aziendale sia in termini operativi che reputazionali.
Ultimo aspetto evidenziato riguarda i più sofisticati sistemi da gestione degli end point (EDR, XDR, ecc.) che “sulla carta” sembra che facciano cose “mirabolanti” (tutti oggi parlando di servizi in cloud gestiti dall’IA) ma a volte, alla prova dei fatti, si comportano come i normali “antivirus” da tutti definiti come obsoleti.
In conclusione ritengo che attività di questo tipo siano indispensabili per “mettersi alla prova” in un’ottica “zero trust”, la sicurezza la si fa tutti i giorni senza dimenticare nessun anello della catena perché anche il più remoto può contribuire a rendere vulnerabili i nostri sistemi quindi la nostra azienda.