Il settore della sicurezza informatica sta bruciando, ma ai VC non interessa

0
4

I Transform Technology Summit iniziano il 13 ottobre con Low-Code/No Code: Enabling Enterprise Agility. Iscriviti ora!

Dire che la sicurezza informatica è in piena espansione sarebbe un eufemismo. Stiamo parlando delle valutazioni alle stelle delle società di sicurezza ($ 524,1 milioni in media) e dell'enorme quantità di finanziamenti ($ 12,2 miliardi solo quest'anno finora) che gli investitori stanno riversando nel settore, ovviamente. Perché in termini di successo, c'è molto da desiderare. I recenti attacchi alla catena di approvvigionamento su SolarWinds e Kaseya, così come l'attacco zero-day a Microsoft Exchange, hanno portato il crimine informatico a nuovi livelli e hanno mostrato come una violazione potrebbe paralizzare decine o addirittura centinaia di migliaia di organizzazioni. E gli attacchi a infrastrutture critiche come gli ospedali e il Colonial Pipeline hanno chiarito quanto sia alta la posta in gioco. Il solo anno 2020 ha visto più violazioni dei dati rispetto agli ultimi 15 anni messi insieme e il 2021 non sembra essere migliore.

"È deprimente", ha detto a VentureBeat Jadee Hanson, chief information security officer presso la società di sicurezza informatica Code42, che ha 15 anni di esperienza nel settore.

Dave Furneaux, che di recente è entrato a far parte della società di sicurezza Virsec come CEO dopo 20 anni come investitore in IT e sicurezza informatica, ha fatto eco a questo sentimento. "Siamo in un punto peggiore ora di noi [ever] erano", ha detto.

Alcuni veterani del settore considerano persino la sicurezza informatica una partita persa, tra cui Ryan Naraine, reporter di lunga data sulla sicurezza ed ex direttore della sicurezza presso Intel. Nel complesso, dice di avere una visione "pessimista".

"Ho sentito parlare di risolvere problemi di sicurezza negli ultimi 10 anni", ha detto a VentureBeat. “Siamo qui 10 anni dopo. Le cose sono solo peggiorate esponenzialmente”.

Allora come siamo arrivati ​​qui? E se decenni di innovazione, un ampio campo di giocatori e miliardi e miliardi investiti ci hanno portato solo in un mondo in cui la quantità di denaro perso ogni anno a causa del crimine informatico supera il PIL di quasi tutti i paesi, cosa dovremmo fare di questa attuale corsa all'oro VC ?

Perché tutto sembra andare a fuoco?

Il forte aumento degli attacchi informatici non significa che non ci siano stati progressi. L'autenticazione a più fattori (MFA), la crittografia e le tecnologie che consentono l'affidabilità zero possono fare davvero la differenza. E HTTPS, sebbene semplice e spesso dato per scontato, ha introdotto un'autenticazione efficace nei nostri browser. Possiamo utilizzare i nostri smartphone per pagare in modo sicuro i prodotti di tutti i giorni nei negozi, e questo è significativo.

"Anno dopo anno, la tecnologia di sicurezza avanza e migliora in modo dimostrabile", ha detto a VentureBeat Gunter Ollmann, uno dei primi pionieri dell'analisi della sicurezza e attuale chief security officer di Devo. "Tuttavia, la diversità e la complessità dei sistemi interconnessi sta crescendo molto più velocemente, quindi le superfici di attacco stanno aumentando più rapidamente di quanto la maggior parte delle aziende possa effettivamente proteggere".

In generale, gli esperti di sicurezza citano il ritmo di adozione della tecnologia come il principale fattore che contribuisce all'attuale ambiente del crimine informatico. La tecnologia sta semplicemente avanzando troppo velocemente. E molte delle più recenti strategie aziendali basate sulla tecnologia, come l'archiviazione di enormi quantità di dati, introducono un rischio esponenzialmente maggiore. Inoltre, le aziende che non si affidavano molto alla tecnologia un decennio o addirittura cinque anni fa lo sono oggi.

Hanson ha notato come ai vecchi tempi si avesse generalmente a che fare con un server che esegue un'applicazione ed era possibile bloccarlo fisicamente. "Non è oggi con il panorama che cambia e tutta la tecnologia che abbiamo a portata di mano", ha detto.

I passaggi al lavoro a distanza e al cloud, in particolare, stanno giocando un ruolo fuori misura. McKinsey ha scoperto che la pandemia ha accelerato il ritmo della trasformazione digitale di sette anni e Gartner prevede che il 70% di tutti i carichi di lavoro aziendali sarà distribuito nel cloud entro il 2023, rispetto al 40% nel 2020. Nel complesso, si prevede che i servizi cloud pubblici a livello mondiale cresceranno da 387,7 miliardi di dollari nel 2021 a 805,5 miliardi di dollari nel 2025, secondo Gartner.

Ma in un recente sondaggio tra i professionisti della sicurezza, la maggioranza ha affermato che la sicurezza del cloud pubblico è "appena" adeguata. Proprio l'altro giorno, i ricercatori di sicurezza di Wiz hanno avvertito Microsoft di aver scoperto una vulnerabilità nel database centrale di Azure e di "essere stati in grado di accedere a qualsiasi database dei clienti [they] ricercato." E durante l'esame di come un attacco informatico "più sofisticato e distruttivo" – come quello contro più istituzioni finanziarie – sarebbe teoricamente andato a buon fine, la Cyber ​​Task Force di New York City ha stabilito che probabilmente sarebbe iniziato con gli hacker nordcoreani che compromettevano un fornitore di servizi di terze parti, come come azienda di cloud computing.

"Ecco perché abbiamo un'epidemia di ransomware. Ecco perché tutto sembra andare a fuoco", ha detto Naraine. “Perché siamo passati al cloud in modi drammatici ed è semplicemente impossibile configurarlo correttamente. Le cose sono esposte».

L'altro fattore significativo è che ci sono avversari ben equipaggiati e motivati ​​finanziariamente che lavorano ogni minuto di ogni giorno per minare gli sforzi di sicurezza. Adottano continuamente nuove strategie e formano alleanze e la sicurezza informatica è solo un passo avanti. Un'impostazione di Microsoft 365 creata appositamente per contrastare gli attacchi di phishing, ad esempio, è stata recentemente cooptata dagli hacker per – hai indovinato – phishing. Inoltre, Naraine osserva che molti degli strumenti di exploit di fascia alta precedentemente utilizzati solo dagli attori degli stati nazionali ora stanno filtrando fino ai criminali informatici di tutti i giorni, cosa che non avveniva solo pochi anni fa.

"La criminalità organizzata ha continuato ad abbracciare queste nuove tecnologie e, francamente, sta superando sia i difensori che le forze dell'ordine", ha affermato Ollmann.

Un problema di priorità

Nonostante l'aumento del rischio associato alla tecnologia e alle pratiche sui dati odierne, la sicurezza informatica è spesso vista come un ripensamento.

"Non credo che ogni azienda stia investendo nella sicurezza informatica come probabilmente dovrebbe", ha affermato Hanson, aggiungendo che la sicurezza dovrebbe essere un dipartimento centrale in ogni azienda, proprio come la finanza e le risorse umane.

Ma la realtà è che molte aziende danno priorità a caratteristiche e funzionalità senza considerare adeguatamente i compromessi della sicurezza. Un recente sondaggio, ad esempio, ha rilevato che la maggior parte dei leader IT si concentra principalmente sull'abilitazione della differenziazione competitiva e della trasformazione digitale, anche alla luce delle minacce sempre più pressanti del crimine informatico.

Per questo motivo, puoi percepire una sensazione di sconfitta e frustrazione tra alcuni esperti. Sebbene riconoscano che è impossibile proteggere tutto nel panorama odierno, alcuni ritengono che le soluzioni efficaci che l'industria ha messo a punto non vengano sfruttate appieno. L'autenticazione a più fattori è ampiamente considerata standard e una solida difesa contro molti tipi di attacchi relativi alle password, ad esempio, ma solo il 55% degli intervistati nel Report sulle minacce ai dati del 2021 di Thales ha affermato che la propria azienda ha implementato l'AMF in qualsiasi forma. Un altro recente studio su leader e dipendenti IT ha rivelato che il 43% ammette di non seguire i protocolli di sicurezza. E a complicare ulteriormente le cose c'è l'enorme carenza di competenze in materia di sicurezza informatica, che dovrebbe solo peggiorare nei prossimi anni.

"Ormai da 30 anni istruiamo ed istruiamo gli utenti a utilizzare password di oltre 8 caratteri e la maggior parte delle persone non l'ha ancora padroneggiata", ha affermato Ollmann. "Abbiamo avuto grandi tecnologie di autenticazione senza password e a più fattori per oltre un decennio che migliorano l'esperienza utente e sostituiscono quelle password legacy (e tutti i vettori di attacco ad esse associati), e le aziende stanno iniziando solo ora ad adottarle come predefinite soluzioni”.

Un impossibile gioco di recupero

Tutto ciò indica una verità intrinseca sulla sicurezza informatica: è un ciclo senza fine. Con l'avanzare del campo, anche gli avversari che lavorano contro di esso e la tecnologia che deve proteggere.

“La cosa che è rimasta la stessa [about the cybersecurity industry] è che stiamo ancora cercando di recuperare", ha detto Hanson. "Questo era vero 10 anni fa, ed è vero oggi".

Anche molti dei progressi nell'ambito della sicurezza informatica, come l'uso dell'analisi dei dati e dell'apprendimento automatico, hanno a loro volta portato a nuovi problemi di sicurezza, come l'aumento della superficie di attacco. Furneaux ha detto che questa è una "grande sfida". E anche Ollmann, la cui carriera è stata incentrata sull'analisi della sicurezza, un approccio incentrato sull'utilizzo dell'analisi dei dati per contrastare in modo proattivo gli attacchi, concorda sull'uso dell'apprendimento automatico e delle soluzioni intelligenti che perpetuano il ciclo e creano nuovi problemi di sicurezza che devono essere affrontati.

In Code42, che crea software di rilevamento e risposta dei rischi interni, Hanson ritiene che ciò crei ostacoli interni. Un dilemma, dice, è che vogliono che i dipendenti utilizzino nuovi strumenti di collaborazione e condividano il loro lavoro, ma farlo di per sé è ora "un enorme rischio che i team di sicurezza devono affrontare".

Una corsa all'oro per la sicurezza informatica

Secondo il New York Times, dal 2019, l'aumento dei finanziamenti per la sicurezza informatica ha superato l'aumento dei finanziamenti complessivi di rischio. E ora, dopo la pandemia, i fondatori della sicurezza informatica descrivono inondazioni di denaro che arrivano, chiudendo enormi affari più velocemente che mai e i loro telefoni che squillano con le chiamate dei venture capitalist, anche quando non sono alla ricerca di un accordo. Greylock Partners ha appena firmato il suo più grande assegno di sempre – $ 40 milioni – ad Abnormal Security, e un VC ha detto al Times di non aver mai visto valutazioni "così aumentate".

Si potrebbe dire che questi investitori stanno osservando l'apparentemente infinito attacco di attacchi informatici e stanno facendo a gara per supportare lo sviluppo di una soluzione. Ma se si considerano le soluzioni esistenti non completamente utilizzate, quanto le aziende sono ora disposte a spendere per la sicurezza (più che mai) e la natura ciclica del settore, è facile capire perché i VC hanno segni di denaro nei loro occhi. Un settore che, per sua natura, è destinato a continuare all'infinito, cercando sempre di recuperare terreno, è perfetto per gli investitori.

I venture capitalist sono, ovviamente, prima di tutto nel business del fare soldi. Più specificamente, usano i loro soldi per competere, anche quando non ci sono prove che un prodotto funzioni o che un'azienda abbia un modello di business praticabile. Dai servizi di trasporto passeggeri alla consegna di cibo di terze parti, gli investimenti di rischio continuano a sostenere interi settori che devono ancora realizzare un profitto e sono chiaramente situazioni di perdita di guadagno. Anche quando un'azienda o un settore fallisce, i venture capitalist di solito hanno già fatto il loro ritorno. Spesso sono gli unici a vincere davvero.

"Non stanno nemmeno pompando soldi con l'aspettativa che questa azienda possa fare soldi lungo la strada, uscire, vendere o IPO. Non è quello che stanno facendo", ha detto Naraine. "Molti di questi sono 10 milioni di dollari di serie A, e scommettono che possono portare questa società in una serie B, e poi passano la responsabilità a un altro investitore, e i ragazzi della serie B e della serie A riescono a incassare e andare fallo ancora. Sono incentivati ​​non a costruire aziende, ma a ottenere più finanziamenti. Questo diventa una palla di neve di soldi che inseguono soldi cattivi che inseguono soldi cattivi".

Naraine ha anche sottolineato che tutto il denaro investito non si adatta alla mentalità di "presunta violazione" del settore oggi. E Furneaux ha convenuto che la corsa all'oro del denaro non sta "aiutando il problema", sebbene la sua azienda, Virsec, abbia recentemente raccolto $ 100 milioni di finanziamenti. Una notevole differenza nell'aumento di Virsec, tuttavia, è che oltre alle società di venture capital, l'ampio elenco di investitori include anche diverse figure importanti del settore pubblico, inclusi ex funzionari di alto rango del governo e dell'intelligence. Furneaux crede che qualcosa di più simile all'approccio pubblico-privato della NASA sia la via da seguire, e questo rappresenta una visione emergente: la sicurezza informatica è un compito fondamentale più allineato con la sicurezza nazionale e al di là della portata delle sole startup di sicurezza (e persino delle grandi aziende tecnologiche).

La sicurezza informatica è in cima all'agenda del presidente Biden. Proprio l'altro giorno, ha esortato le aziende ad "alzare l'asticella", mentre la Casa Bianca ha annunciato un'ampia iniziativa di sicurezza informatica con Amazon, Microsoft, IBM, Google e Apple. Tutti gli amministratori delegati delle società hanno partecipato all'incontro e si sono impegnati a fornire vari contributi, tra cui donazioni in denaro, formazione informatica e sforzi attorno agli approcci che già sappiamo essere efficaci, come i dispositivi di autenticazione a più fattori gratuiti.

"Non credo che pompare denaro risolva più i problemi", ha detto Naraine. “Penso che siamo ben oltre il denaro. Perché se il denaro avesse potuto risolverlo, l'avremmo già risolto".

VentureBeat

La missione di VentureBeat è quella di essere una piazza cittadina digitale per i responsabili delle decisioni tecniche per acquisire conoscenze sulla tecnologia trasformativa e sulle transazioni.

Il nostro sito fornisce informazioni essenziali sulle tecnologie e sulle strategie dei dati per guidarti nella guida delle tue organizzazioni. Ti invitiamo a diventare un membro della nostra community, per accedere a:

  • informazioni aggiornate sugli argomenti di tuo interesse
  • le nostre newsletter
  • contenuti gated leader di pensiero e accesso scontato ai nostri eventi preziosi, come Trasforma 2021: Per saperne di più
  • funzioni di rete e altro

Diventare socio

LASCIA UN COMMENTO

Per favore inserisci il tuo commento!
Per favore inserisci il tuo nome qui