Secondo il CISO report 2023 di Dynatrace, le organizzazioni corrono rischi di sicurezza più alti a causa della crescente complessità dell’ecosistema cloud.
La complessità dello sviluppo cloud-native preoccupa la maggior parte dei CISO italiani. Ecco perché.
Il CISO report 2023 di Dynatrace
Secondo il report, dal titolo “The convergence of observability and security is critical to realizing DevSecOps potential”, l’80% dei CISO teme la crescente complessità dell’ecosistema cloud.
Alla complessità dello sviluppo cloud-native, infatti, attribuisce la difficoltà di gestire le vulnerabilità. Appena il 34% dei CISO italiani (lontano dal 50% a livello globale) ha fiducia nei test del team di sviluppo. Solo poco più di 3 CISO su 10credono infatti che abbia testato il software, in cerca di vulnerabilità da risolvere, prima della messa in produzione.
Il 75% dei CISO italiani (il 77% a livello globale) ritiene una sfida determinare le priorità delle falle. Infatti non conosce il livello di rischio delle falle rispetto al proprio ambiente. E, secondo Sophos, le vulnerabilità non risolte sono la prima causa di cyber-attacchi.
Tuttavia, il 54% degli alert di vulnerabilità (58% a livello globale) sono “aggiornamenti critici” , ma in realtà non risultano importanti in produzione. E invece la caccia di falsi positivi fa perdere tempo utile per lo sviluppo.
In Italia, ogni membro dei team di sviluppo e sicurezza delle app spreca un quarto del proprio tempo (25%), pari a 10 ore alla settimana, per attività di gestione delle falle. La soluzione invece sarebbe l’automatizzazione della ricerca delle vulnerabilità.
La ricerca
Dynatrace ha stilato il report globale indipendente, condotto su 1.300 Chief Information Security Officer (CISO) di grandi organizzazioni.
Secondo l’indagine, per i CISO è sempre più arduo garantire la sicurezza del proprio software, nell’era degli ambienti ibridi e multicloud, sempre più complessi.
I team si affidano a processi manuali che invece facilitano la penetrazione di vulnerabilità negli ambienti di produzione. Dal rapporto inoltre emerge che l’uso di strumenti non integrati, per le attività di sviluppo, delivery e sicurezza, mette i bastoni fra ruota alla maturità dell’implementazione di DevSecOps.
Cresce l’esigenza della convergenza fra osservabilità e cybersecurity per alimentare l’automazione data-driven che permette ai team di sviluppo, sicurezza e operazioni IT di velocizzare e rendere più sicure le innovazioni.
“Le organizzazioni hanno difficoltà a bilanciare l’esigenza di un’innovazione più rapida con la governance e i controlli di sicurezza stabiliti per mantenere al sicuro i propri servizi e dati”, ha commentato Bernd Greifeneder, Chief Technology Officer di Dynatrace.
“La crescente complessità della filiera del software e degli stack tecnologici cloud-native che costituiscono la base dell’innovazione digitale rendono sempre più difficile identificare, valutare e dare priorità agli sforzi di risposta quando emergono nuove vulnerabilità“, conclude Bernd Greifeneder: “Questi compiti sono cresciuti oltre le capacità umane di gestione. I team di sviluppo, sicurezza e IT stanno scoprendo che i controlli per la gestione delle vulnerabilità non sono più adeguati al mondo digitale dinamico di oggi, il che espone le loro aziende a rischi inaccettabili”.
