Settore pubblico vs privato: differenze nella sicurezza delle applicazioni

Le applicazioni sviluppate dalle organizzazioni del settore pubblico tendono a presentare più difetti di sicurezza rispetto a quelle create dal settore privato, come rilevato da Veracode. Queste scoperte rivestono particolare importanza in quanto un aumento di difetti e vulnerabilità nelle applicazioni si traduce in un aumento dei livelli di rischio. La ricerca emerge nel contesto di una serie di recenti iniziative promosse dal governo federale degli Stati Uniti d'America per rafforzare la cybersecurity, compresi gli sforzi per ridurre le vulnerabilità nelle applicazioni che eseguono funzioni governative critiche.

La differenza di sicurezza tra le applicazioni del settore pubblico e privato

Gli studiosi hanno scoperto che poco meno dell'82% delle applicazioni sviluppate da organizzazioni del settore pubblico presentavano almeno un difetto di sicurezza rilevato durante la loro ultima scansione effettuata negli ultimi 12 mesi, rispetto al 74% delle organizzazioni del settore privato. A seconda del tipo di difetto tracciato, le applicazioni del settore pubblico avevano una probabilità più alta dal 7 al 12% di introdurre un difetto nell'ultimo anno. "La differenza tra il tasso con cui i difetti compaiono nelle applicazioni del settore pubblico e privato è significativa. Gli sforzi del governo per colmare questo divario sono necessari e dovrebbero continuare. In quanto custodi della sicurezza pubblica, le agenzie hanno il dovere di chiudere questo divario e rafforzare la sicurezza per proteggere la nazione e i suoi cittadini" ha affermato Chris Eng, chief research officer di Veracode.

Anomalie di sicurezza e impatto sulle funzioni pubbliche

Tuttavia, i numeri da soli non trasmettono le conseguenze che si verificano quando i pirati informatici sfruttano i difetti e le vulnerabilità del software. Ad esempio, a maggio di quest'anno, un attacco ransomware contro la città di Dallas ha paralizzato le funzioni su cui si basano per erogare servizi pubblici, inclusi i sistemi IT utilizzati dalle agenzie di sicurezza pubblica. Oltre tre settimane dopo l'attacco, le agenzie pubbliche di Dallas non si erano ancora completamente riprese.

Prospettive positive per il settore pubblico e azioni necessarie per migliorare la sicurezza

Nonostante i dati preoccupanti, la ricerca di Veracode ha anche trovato ragioni per essere ottimisti riguardo la sicurezza delle applicazioni nel settore pubblico. La scoperta di difetti di "alta gravità" nelle applicazioni del settore pubblico (16,5%) in un periodo di 12 mesi è stata inferiore rispetto alle applicazioni del settore privato (19%). Questo è notevole perché i difetti ad alta gravità, quando vengono sfruttati, hanno un maggiore potenziale per impattare negativamente i sistemi. Tuttavia, per migliorare ulteriormente la postura di sicurezza, le agenzie devono adottare quattro azioni: rimediare all'accumulo di difetti noti, eseguire scansioni regolarmente, automatizzare i test attraverso le API per ridurre l'introduzione di difetti nelle applicazioni, e utilizzare la scansione dinamica per scoprire difetti che altri tipi di scansione potrebbero non rilevare. "Il settore pubblico ha fatto grandi passi avanti nel rafforzamento della sicurezza delle applicazioni che servono il nostro governo, ma c'è ancora molto lavoro da fare per migliorare la loro postura di cyber sicurezza e respingere le minacce in arrivo. Concentrando gli sforzi di sicurezza sulla causa principale della maggior parte delle violazioni cyber, ovvero il livello delle applicazioni, le agenzie possono raggiungere i miglioramenti necessari," ha concluso Eng.