La fuga di dati da ransomware di Berlino dimostra che gli obblighi di notifica non sono una difesa

Questa settimana Google ha corretto dodici vulnerabilità di Chrome, tra cui una falla in V8 già oggetto di attacchi attivi, sei giorni prima che il Cyber Resilience Act dell'UE obblighi i produttori a segnalare le falle sfruttate entro 24 ore. Che si tratti di una coincidenza o di un fornitore che ha interpretato correttamente la scadenza, l'aggiornamento è arrivato con l'urgenza che la nuova norma intende imporre. Nella stessa settimana, la pubblica amministrazione di Berlino ha scoperto i limiti di qualsiasi obbligo di segnalazione. La città ha rifiutato un riscatto di due milioni di euro e gli hacker hanno comunque divulgato sei terabyte dei suoi dati, incluse mappe dell'infrastruttura e dati personali di cittadini e dipendenti.

Non si tratta dello stesso tipo di fallimento. Il Cyber Resilience Act regola ciò che accade dopo la scoperta di una vulnerabilità: segnalarla rapidamente, correggerla rapidamente e informare l'autorità di regolamentazione. Il caso di Berlino riguarda ciò che accade quando un aggressore è già all'interno e ha già sottratto i dati. Nessuna scadenza di segnalazione recupera sei terabyte dal dark web, e nessun livello di maturità normativa sostituisce il lavoro più difficile e lento necessario per tenere fuori gli aggressori e per mantenere backup utilizzabili nel caso in cui riescano comunque a entrare. Come riporta Pplware, Berlino ha scelto di non finanziare chi ha sottratto i suoi dati. Questa è la decisione giusta, ma, da sola, non costituisce una strategia di cybersicurezza.

Nessuna scadenza per la segnalazione recupera sei terabyte dal dark web.

Una seconda notizia di questa settimana riguarda il controllo più che i reati. Come riporta Heise, CISPE, l'associazione europea dell'industria cloud, ha dichiarato alla Commissione che la strategia di Broadcom per l'AI enterprise è progettata per vincolare i clienti al proprio stack. Questa non è la prima lamentela di CISPE nei confronti dell'azienda: a marzo aveva definito l'epurazione dei partner indipendenti di VMware da parte di Broadcom una "condanna a morte" per i provider cloud europei. A sei mesi di distanza, lo scontro si è spostato da chi ha il diritto di rivendere software di virtualizzazione a chi può costruire il livello di AI enterprise al di sopra di esso. Si tratta della stessa questione di sovranità digitale europea su cui questa rubrica continua a tornare, ma ora un livello più in alto nello stack.

Consumatori…

Se i vostri dati personali sono passati attraverso la pubblica amministrazione di Berlino, nelle mappe dell'infrastruttura esposte o nei registri dei dipendenti e dei cittadini ora sul dark web, per i prossimi mesi dovrete trattare con più sospetto del solito le chiamate o le e-mail inaspettate che fanno riferimento ai vostri dati. Questa è l'unica esposizione diretta per i consumatori derivante dalle notizie di questa settimana. Lo scontro su Broadcom si svolge un livello più in alto, nei contratti per il cloud aziendale che mantengono in funzione i servizi rivolti ai consumatori che utilizzate, non in qualcosa che acquistate o su cui cliccate direttamente.

Imprese…

Sei giorni non offrono molto margine di tempo se l'obbligo di segnalazione entro 24 ore delle vulnerabilità sfruttate previsto dal Cyber Resilience Act non è già integrato nel vostro processo di risposta agli incidenti. L'aggiornamento di Google, arrivato poco prima di tale data, è un segnale ragionevole che i fornitori stanno già trattando la scadenza come un vincolo reale piuttosto che come una formalità. Separatamente, qualsiasi azienda che esegua carichi di lavoro enterprise sullo stack VMware di Broadcom dovrebbe leggere la denuncia di CISPE come un avvertimento sulla direzione che sta prendendo tale dipendenza: dai termini di licenza al controllo dell'infrastruttura AI. OVHcloud e altri provider cloud europei non sono un sostituto diretto per un'infrastruttura VMware esistente, ma rappresentano l'alternativa concreta verso cui indirizzare un piano di migrazione prima che la decisione venga presa al posto vostro.

Pubbliche amministrazioni…

Il rifiuto di pagare da parte di Berlino è coerente con la linea più dura che le pubbliche amministrazioni europee hanno assunto sempre più spesso nei confronti delle richieste di riscatto, ed è di per sé la politica giusta: pagare finanzia l'attacco successivo. Tuttavia, la fuga di dati che ne è seguita ricorda che questa politica regge solo se abbinata a una capacità di prevenzione e ripristino che la maggior parte delle pubbliche amministrazioni, inclusa Berlino, visibilmente ancora non possiede. Il Cyber Resilience Act conferisce ad autorità nazionali come la BSI tedesca nuovi poteri di intervento sui fornitori. Ai sensi di questa specifica legge, però, non conferisce loro alcuna autorità sulla postura di sicurezza di un'amministrazione, che rimane un compito separato e incompiuto.

Fonti

• Google ha corretto uno zero-day in Chrome V8 sfruttato attivamente pochi giorni prima dell'entrata in vigore dell'obbligo di segnalazione entro 24 ore delle vulnerabilità sfruttate, previsto dal Cyber Resilience Act dell'UE · The Next Web
• CISPE ha avvertito che la strategia di Broadcom per l'AI enterprise è progettata per controllare le scelte dei clienti, portando a reclami formali presso l'UE · Heise Online
• La pubblica amministrazione di Berlino ha rifiutato una richiesta di riscatto di due milioni di euro e ha comunque subito la pubblicazione di sei terabyte di dati sul dark web · Pplware