Rapporto: le istituzioni finanziarie sono sopraffatte di fronte alle crescenti minacce alla sicurezza del firmware e alla catena di approvvigionamento

Portland, Oregon – 23 agosto 2022
- Eclissi^®
ed Vanson Bourne ha pubblicato oggi un nuovo rapporto che rivela che il settore finanziario non è attrezzato per affrontare efficacemente la continua minaccia di attacchi alla catena di approvvigionamento legati al firmware. In effetti, il 92% dei CISO nel settore finanziario ritiene che gli avversari siano meglio attrezzati per armare il firmware rispetto ai loro team per proteggerlo. Inoltre, tre su quattro riconoscono lacune nella consapevolezza riguardo al punto cieco del firmware dell'organizzazione. Di conseguenza, l'88% degli intervistati ammette di aver subito un attacco informatico relativo al firmware solo negli ultimi due anni.

La sicurezza del firmware nelle supply chain dei servizi finanziari Il rapporto condivide le informazioni di 350 responsabili delle decisioni in materia di sicurezza IT nel settore finanziario, in particolare quelli con sede negli Stati Uniti, Canada, Singapore, Australia, Nuova Zelanda e Malesia. I risultati non solo espongono lo stato della sicurezza del firmware e la mancanza di controlli preventivi o tattiche correttive, ma fanno anche luce sull'autocompiacimento e sulla mancanza di consapevolezza riguardo alle attuali misure di sicurezza. Più allarmante è il consenso su investimenti o risorse dedicati minimi o nulli e la generale mancanza di competenze per affrontare una delle maggiori minacce alla sicurezza informatica di oggi. I dati mostrano:

• Oltre la metà (55%) è stata vittima di una compromissione a livello di firmware più di una volta negli ultimi due anni.
• Quasi quattro su 10 considerano la perdita di dati (e una violazione del GDPR) come la principale conseguenza di un attacco; ugualmente classificata è la paura di perdere i controlli di sicurezza critici.
• La distruzione di dispositivi critici (35%), la perdita di clienti (34%) e l'accesso di un avversario ad altri dispositivi (34%) sono stati tutti ugualmente considerati un impatto dannoso a seguito di un attacco relativo al firmware.

“Le organizzazioni di servizi finanziari sono i principali obiettivi degli attacchi informatici. Questo spiega perché sono all'avanguardia nell'adozione di nuove tecnologie di protezione, il tutto sotto il costante occhio vigile delle autorità di regolamentazione e di altre industrie in attesa di seguire il loro esempio mentre si sforzano di combattere i vettori di attacco in continua evoluzione. Tuttavia, nel caso della protezione del firmware e della catena di fornitura dell'hardware, stiamo vedendo potenziali punti ciechi", ha dichiarato Ramy Houssaini, Global Cyber ​​Resilience Executive. “Un cambio di priorità è fondamentale se intendiamo proteggere efficacemente la catena di fornitura tecnologica. Le organizzazioni finanziarie devono continuare a fungere da pionieri e colmare il gap di sicurezza del firmware".

Le organizzazioni finanziarie non dispongono di informazioni dettagliate sui rischi del firmware per agire

Secondo il National Institute of Standards and Technology (NIST), gli attacchi a livello di firmware sono aumentati del 500% dal 2018, ma il 93% degli intervistati è sorpreso dalla mancanza di informazioni sulle attuali minacce del firmware. Solo negli ultimi otto mesi, Eclypsium Research ha scoperto importanti minacce in natura, Compreso Intel ME attacca dal gruppo ransomware Conti.
Sfortunatamente, la mancanza di comprensione deriva da notevoli lacune nella conoscenza del firmware e della catena di fornitura. Infatti:

• Poco più della metà (53%) sa che i propri controlli di sicurezza (firewall, controlli di accesso, ecc.) si basano sul firmware, il 44% lo sa quando viene posta la stessa domanda sui laptop, lasciando il 56% disinformato.
• Il 47% ritiene di avere una consapevolezza totale della superficie di attacco del firmware complessiva della propria organizzazione, il 49% ne è per lo più consapevole. Solo il 39% afferma che verrebbe immediatamente informato se un dispositivo fosse stato compromesso.

Nonostante la conoscenza percepita, il 91% è preoccupato per il divario nella sicurezza del firmware nella catena di fornitura della propria organizzazione.

Idee sbagliate, fondi limitati e mancanza di competenze/risorse stanno guidando l'impennata

Il firmware è il componente più fondamentale di qualsiasi dispositivo e, quindi, dell'intera catena di fornitura, tuttavia rimane la parte più trascurata e ignorata dello stack tecnologico, creando un catalizzatore perfetto per un attacco. Quattro su cinque concordano sul fatto che le vulnerabilità del firmware sono in aumento e quasi tutti (93%) affermano che la protezione del firmware dovrebbe essere una priorità urgente. Per muovere l'ago, le organizzazioni finanziarie ritengono quasi all'unanimità che sia imperativo un aumento degli investimenti e delle risorse. Positivamente, gli intervistati prevedono un aumento dell'8.5% del budget per la sicurezza IT dedicato al firmware nei prossimi 1-2 anni. Oltre a questi fattori di successo, queste organizzazioni devono anche sfatare i miti sulle tecnologie e sui metodi attuali che stanno creando un falso senso di sicurezza, come ad esempio:

• Le soluzioni di gestione delle vulnerabilità (81%) e/o i relativi programmi di rilevamento e risposta degli endpoint (EDR) possono identificare le vulnerabilità del firmware e assistere nella risoluzione (83%).
• Secondo il 37% degli intervistati, gli esercizi di modellazione delle minacce sono una fonte affidabile di informazioni approfondite sulle potenziali lacune del firmware, il 57% dichiara di utilizzare il processo per qualche tempo. È interessante notare che il 96% riferisce che gli esercizi di modellazione delle minacce della propria organizzazione non corrispondono al panorama delle minacce odierno.
• 12 ore è il tempo medio impiegato dai team IT per rispondere a un attacco basato su firmware, con gli intervistati che attribuiscono la mancanza di conoscenza (39%) e le risorse limitate (37%) come le ragioni principali dell'eccessivo lasso di tempo. Il 71%, tuttavia, dichiara che il budget non è un fattore.

“Sulla base dell'assalto di attacchi relativi al firmware negli ultimi mesi, è evidente che gli avversari non devono lavorare abbastanza duramente per sfruttare i difetti nella catena di approvvigionamento della tecnologia. Sfortunatamente, i dati della nostra ricerca rappresentano una regressione che è puramente guidata dalla mancanza di consapevolezza e dall'inazione guidata da 'lontano dagli occhi, lontano dal cuore'”, ha affermato Yuriy Bulygin, CEO e co-fondatore di Eclypsium. “Nuove direttive e iniziative del governo come il Catalogo delle vulnerabilità sfruttate note della CISA e la sua Direttiva operativa vincolante richiedono un'azione immediata per salvaguardare meglio il livello critico del firmware della catena di fornitura. La progressione potrebbe essere lenta, ma ci stiamo muovendo nella giusta direzione”.

A proposito di ECLYPSIUM

La piattaforma basata su cloud di Eclypsium identifica, verifica e rafforza il firmware in laptop, server, dispositivi di rete e dispositivi connessi. La piattaforma Eclypsium protegge la catena di fornitura dei dispositivi monitorando i dispositivi per minacce, rischi critici e patching del firmware nell'intero parco dispositivi. Per maggiori informazioni visita eclipsium.com.

A proposito di Vanson Bourne

Vanson Bourne è uno specialista indipendente nelle ricerche di mercato per il settore tecnologico. La loro reputazione di analisi solide e credibili basate sulla ricerca si basa su principi di ricerca rigorosi e sulla loro capacità di cercare le opinioni dei responsabili delle decisioni senior in tutte le funzioni tecniche e aziendali, in tutti i settori di attività e in tutti i principali mercati. Per maggiori informazioni visita
www.vansonbourne.com.