Microsoft è costretta a divulgare le misure di sicurezza
In un recente evento, l’agenzia federale tedesca per la sicurezza informatica (BSI) ha costretto Microsoft a divulgare informazioni sulle misure di crittografia adottate per proteggere i dati dei clienti. Questa decisione è stata presa dopo che Microsoft ha ripetutamente rifiutato di fornire informazioni sufficienti sui propri metodi di crittografia alle richieste dell’agenzia. Il BSI ha invocato una clausola nell’act della sicurezza informatica federale tedesca, che richiede alle aziende di fornire tutte le informazioni necessarie relative agli incidenti di sicurezza quando richiesto dall’agenzia.
Il contesto dell’indagine del BSI
L’indagine del BSI è correlata a un incidente del 2023 in cui i hacker hanno rubato i token di Azure Active Directory per colpire le reti dei governi statunitensi. Microsoft ha attribuito l’attacco a un attore di minacce cinese noto come Storm-0558 o Volt Typhoon. L’agenzia ha lavorato con Microsoft per rivedere le misure di sicurezza dell’azienda, con particolare attenzione alle misure di protezione dei dati adottate contro gli attacchi simili di Violet Typhoon.
La risposta di Microsoft
Microsoft ha pubblicato un white paper che descrive come l’azienda sta implementando la doppia crittografia delle chiavi su tutta la piattaforma, inclusi Microsoft 365 e Azure. Il documento descrive alcuni scenari di minaccia possibili e le contromisure appropriate. Un portavoce di Microsoft Germania ha dichiarato che l’azienda ha sempre cooperato con le autorità per chiarire i documenti quando emergono nuove o sottovalutate minacce.
La posizione del BSI
Il portavoce del BSI ha confermato che l’agenzia non ha presentato una causa legale contro Microsoft. Tuttavia, il BSI ha incoraggiato gli utenti Microsoft in Germania a utilizzare il servizio di crittografia corretto offerto dall’azienda per proteggere i propri dati.
La reazione del governo tedesco
Il governo tedesco ha criticato Microsoft per le recenti violazioni di sicurezza ad alto profilo. Ad esempio, i hacker russi hanno sfruttato una vulnerabilità zero-day non identificata in Microsoft Outlook per colpire i membri del Partito Socialdemocratico Tedesco. In risposta, il comitato di controllo tecnologico del parlamento tedesco ha tenuto una riunione chiusa con i dirigenti senior di Microsoft.
Le conseguenze per Microsoft
Dopo che il presidente di Microsoft, Brad Smith, ha ammesso la responsabilità per una serie di fallimenti di sicurezza in un’audizione del Congresso degli Stati Uniti, l’azienda ha attirato più interesse politico dalla Germania. Dennis-Kenji Kipker, professore di diritto sulla sicurezza informatica presso l’Università di Scienze Applicate di Brema, ha dichiarato che il concetto di “sicurezza attraverso l’oscurità”, che Microsoft ha apparentemente perseguito per anni, non funziona più.
Suggerimenti, soluzioni e best practice
Per proteggere al meglio i tuoi dati, considera i seguenti passaggi:
- Utilizza una forte crittografia: Assicurati che la tua azienda utilizzi una forte crittografia per proteggere i dati sensibili. La doppia crittografia delle chiavi, come descritta da Microsoft, è un metodo efficace per proteggere i dati.
- Mantieni aggiornati i tuoi sistemi: Assicurati di mantenere aggiornati i tuoi sistemi e software per proteggerti dalle vulnerabilità conosciute.
- Educa i tuoi dipendenti: I dipendenti devono essere a conoscenza delle minacce alla sicurezza e dei passaggi per proteggersi. Fornisci una formazione regolare sulla sicurezza informatica per i tuoi dipendenti.
- Monitora attentamente la tua infrastruttura: Monitora attentamente la tua infrastruttura per rilevare eventuali attività sospette. Utilizza strumenti di monitoraggio e analisi per identificare e rispondere rapidamente alle minacce.
- Lavora con le autorità: Se subisci un incidente di sicurezza, lavora con le autorità locali per indagare sull’incidente e mitigare i danni.
La pressione regolamentare e l’attenzione del pubblico hanno costretto Microsoft a divulgare informazioni sulle proprie misure di sicurezza. Questo evento sottolinea l’importanza di una forte crittografia e di una vigilanza costante per proteggere i dati sensibili. Seguendo le best practice di sicurezza informatica e lavorando con le autorità locali, puoi proteggere la tua azienda e i tuoi dati dai cybercriminali.
Fonte: https://www.databreachtoday.com/german-bsi-forces-microsoft-to-disclose-security-measures-a-25553
