NCSC
Il National Cyber Security Center (NCSC), fondato nel 2016, è diventato un marchio riconosciuto e una risorsa per organizzazioni di tutte le dimensioni, dipartimenti governativi e il pubblico.
Il NCSC fa parte del GCHQ e lavora quindi anche con le forze dell’ordine, la difesa, le agenzie di intelligence e i partner internazionali.
Computing IT Leaders Summit
Chris Ensor, Direttore Aggiunto per la Crescita Cibernetica del NCSC, parlando ai delegati al Computing IT Leaders Summit, ha spiegato come le frequenti preoccupazioni sull’impatto delle tecnologie emergenti, principalmente l’IA, sulla cybersecurity, a volte sembrano in contraddizione con la realtà della cybersecurity.
Vulnerabilità decennali
“TCP/IP è stato inventato alla metà degli anni settanta e DNS all’inizio degli anni ottanta. Sono ancora utilizzati oggi, così come il protocollo border gateway inventato nel 1989 e il 2G nel 1991. Non dovrebbero essere eliminati fino al 2033 e nessuno di questi è stato costruito con la sicurezza in mente perché nessuno poteva immaginare che fosse usato male.
“Il primo caso documentato di un attacco di overflow del buffer risale a circa cinquanta anni fa, ma sono ancora diffusi oggi.”
Il messaggio, naturalmente, è che quando si esamina la propria postura di cybersecurity, è sensato iniziare dalle basi. Tutto il resto è spendere un sacco di soldi per serrature di finestre all’avanguardia e sistemi di allarme quando si lascia la porta d’ingresso spalancata.
“Le vulnerabilità più sfruttate sono i bug non patchati e le connessioni Internet configurate male. L’autenticazione a più fattori può essere fastidiosa, ma può anche salvarti.”
Cyber Essentials L’NSCS aiuta le organizzazioni a proteggere e mantenere la propria infrastruttura rafforzando l’ecosistema cibernetico del Regno Unito nel suo insieme, e questo è molto focalizzato su Ensor.
Ha condiviso con i delegati ITLS che è stato lui a costruire il programma Cyber Essentials, che è uno schema sostenuto dal governo per aiutare le organizzazioni a raggiungere uno standard minimo nella cybersecurity. Cyber Essentials è un punto di partenza utile per le PMI incerte sulla loro postura di cybersecurity. Attirato l’attenzione sulla crescente minaccia degli attacchi della supply-chain, Ensor ha dichiarato:
“St James’s Place ha dichiarato pubblicamente che richiede a tutti i suoi partner di avere la certificazione Cyber Essentials Plus. Di conseguenza, si è registrato un significativo calo del numero di incidenti di sicurezza.”
Ensor ha anche sottolineato la difficoltà per le piccole imprese di ottenere un’assicurazione cibernetica se non potevano mostrare un certificato Cyber Essentials.
L’NSCS ha anche un ruolo consultivo per le aziende che cercano di reclutare il proprio personale di cybersecurity.
“Come fai a sapere chi assumere? Come fai a sapere che sanno di cosa stanno parlando? Utilizziamo la nostra esperienza e il nostro distintivo per aiutare,” ha detto.
L’NCSC lavora anche con molti partner per fornire consulenza sulla gestione dei rischi, l’architettura della sicurezza e la risposta agli incidenti.
L’organizzazione è continuamente in fase di sviluppo di nuovi schemi, certificazioni e servizi.
“La simulazione di avversità cibernetica che stiamo costruendo al momento è tutta incentrata sul red teaming,” ha detto Ensor. “Se sei un’organizzazione che potrebbe essere presa di mira da un attore della minaccia sofisticato, devi sapere dove sono le tue lacune. Storicamente, abbiamo fatto il penetration testing, ma il penetration testing produce solo un rapporto che ti dice dove sono le tue vulnerabilità, non se sarebbero utili a un attaccante.”
L’NSCS sta anche iniziando ad affrontare l’elefante nella stanza della cybersecurity, che è l’enorme carenza di professionisti qualificati in cybersecurity. Secondo Ensor:
“Il 50% delle organizzazioni con cui parliamo ha affermato di non avere le competenze di base per configurare i propri sistemi in modo sicuro. Stiamo lavorando su questo ed è una grande sfida.”
Il risultato sono programmi come CyberFirst e CyberSprinters, ma Ensor ha riconosciuto che niente di tutto questo sarebbe stato veloce.
Come parte di questo sforzo continuo, il governo ha anche istituito il UK Cyber Security Council, che è l’organismo di autoregolamentazione per i professionisti della cybersecurity, che, dopo tutto, potrebbero avere una varietà di specializzazioni. Enser ha spiegato di più:
“Il governo ha istituito questo per stabilire gli standard di competenza in un certo numero di specializzazioni di cybersecurity. Sorveglierà la valutazione di queste specializzazioni per assicurarsi che siano valutate correttamente e manterrà un registro.”
Fonte: https://www.computing.co.uk/event/2024/chris-ensor-ncsc-addresses-it-leaders-summit
