Vuoden alussa Ison-Britannian kansallinen kyberturvallisuuskeskus (NCSC) kehotti ohjelmistoteollisuutta ryhdistäytymään. Liian monta "perustavaa haavoittuvuutta" on livahtamassa koodiin, mikä tekee digitaalisesta maailmasta vaarallisemman paikan, keskus väitti. Suunnitelmana on pakottaa ohjelmistotoimittajat parantamaan prosessejaan ja työkalujaan näiden niin kutsuttujen "anteeksiantamattomien" haavoittuvuuksien poistamiseksi lopullisesti.

Vaikka viraston suunnitelma on laajuudeltaan kunnianhimoinen, kestää jonkin aikaa, ennen kuin viraston suunnitelma kantaa hedelmää – jos se tuottaa tulosta. Sillä välin organisaatioiden on parannettava korjausta. Tässä ISO 27001 voi auttaa parantamalla omaisuuden läpinäkyvyyttä ja varmistamalla, että ohjelmistopäivitykset priorisoidaan riskien mukaan.

Ongelma CVE:n kanssa

Ohjelmistot valtasivat maailman monta vuotta sitten. Ja niitä on nykyään enemmän kuin koskaan ennen – ne ylläpitävät kriittistä infrastruktuuria, mahdollistavat saumattoman työskentelyn ja kommunikoinnin sekä tarjoavat loputtomasti tapoja viihdyttää itseämme. Tekoälyagenttien myötä ohjelmistot uppoutuvat yhä syvemmälle kriittisiin prosesseihin, joista yritykset, niiden työntekijät ja asiakkaat ovat riippuvaisia ​​maailman pyörittämisessä.

Mutta koska se on (pääosin) ihmisten suunnittelema, tämä ohjelmisto on virhealtis. Ja näistä koodausvirheistä johtuvat haavoittuvuudet ovat keskeinen mekanismi, jolla uhkatoimijat voivat murtautua verkkoihin ja saavuttaa tavoitteensa. Verkkopuolustajien haasteena on, että viimeisten kahdeksan vuoden aikana on julkaistu ennätysmäärä haavoittuvuuksia (CVE). Vuonna 2024 luku oli yli 40 000. Se on paljon tietoturvapäivityksiä asennettavana.

Niin kauan kuin ohjelmistojen määrä ja monimutkaisuus kasvavat ja tutkijoita ja uhkien toimijoita kannustetaan löytämään haavoittuvuuksia, vuosittaisten CVE:iden määrä jatkaa nousuaan. Tämä tarkoittaa enemmän haavoittuvuuksia uhkatoimijoille, joita he voivat hyödyntää.

Erään arvion mukaan viime vuonna julkisesti ilmoitettiin peräti 768 CVE-haavoittuvuutta, joita hyödynnettiin luonnossa. Ja vaikka 24 % näistä oli nollapäivähaavoittuvuuksia, useimmat eivät olleet. Itse asiassa, vaikka tekoälytyökalut auttavat joitakin uhkatoimijoita hyödyntämään haavoittuvuuksia nopeammin kuin koskaan ennen, todisteet viittaavat myös siihen, että vanhat virheet ovat edelleen merkittävä ongelma. Arvioiden mukaan 40 % vuonna 2024 hyödynnetyistä haavoittuvuuksista oli vuodelta 2020 tai sitä vanhemmalta ajalta ja 10 % vuodelta 2016 tai sitä vanhemmalta ajalta.

Mitä NCSC haluaa tehdä?

Tässä yhteydessä NCSC:n suunnitelma on järkevä. Sen vuosikatsauksessa vuodelta 2024 valitetaan, että ohjelmistotoimittajilla ei yksinkertaisesti ole kannustimia tuottaa turvallisempia tuotteita, ja väitetään, että liian usein etusijalla ovat uudet ominaisuudet ja markkinoille saamisen nopeus.

"Tuotteita ja palveluita tuottavat kypsillä markkinoilla toimivat kaupalliset yritykset, jotka – ymmärrettävästi – priorisoivat kasvua ja voittoa ratkaisujensa turvallisuuden ja kestävyyden sijaan. Väistämättä se vaikuttaa eniten pk-yrityksiin, hyväntekeväisyysjärjestöihin, oppilaitoksiin ja laajemmin julkiseen sektoriin, koska useimmissa organisaatioissa kustannusten huomioon ottaminen on ensisijainen tekijä", hän huomauttaa.

"Yksinkertaisesti sanottuna, jos suurin osa asiakkaista priorisoi hintaa ja ominaisuuksia "turvallisuuden" sijaan, toimittajat keskittyvät lyhentämään markkinoilletuloaikaa digitaalisen maailmamme turvallisuutta ja kestävyyttä parantavien tuotteiden suunnittelun kustannuksella."

Sen sijaan NCSC toivoo rakentavansa maailman, jossa ohjelmistot ovat "turvallisia, yksityisiä, vikasietoisia ja kaikkien saatavilla". Tämä edellyttää, että "huipputason haavoittuvuuksien" lieventämisestä tehdään helpompaa toimittajille ja kehittäjille parantamalla kehityskehyksiä ja omaksumalla turvallisia ohjelmointikonsepteja. Ensimmäinen vaihe on auttaa tutkijoita arvioimaan, ovatko uudet haavoittuvuudet "anteeksiannettavia" vai "anteeksiantamattomia" – ja samalla luoda vauhtia muutokselle. Kaikki eivät kuitenkaan ole vakuuttuneita.

"NCSC:n suunnitelmassa on potentiaalia, mutta sen menestys riippuu useista tekijöistä, kuten alan omaksumisesta sekä ohjelmistotoimittajien hyväksynnästä ja käyttöönotosta", varoittaa KnowBe4:n johtava tietoturvatietoisuuden puolestapuhuja Javvad Malik. "Se perustuu myös kuluttajien tietoisuuteen ja turvallisempien tuotteiden kysyntään sekä lainsäädännölliseen tukeen."

On myös totta, että vaikka NCSC:n suunnitelma toimisi, siellä olisi silti paljon "anteeksiantavia" haavoittuvuuksia, jotka pitävät CISO:t hereillä öisin. Mitä voidaan tehdä CVE:n vaikutusten lieventämiseksi?

Standardeihin perustuva lähestymistapa

Malik ehdottaa, että parhaiden käytäntöjen suojausstandardi ISO 27001 on hyödyllinen lähestymistapa.

"ISO27001-standardin mukaisilla organisaatioilla on vankkaampi dokumentaatio, ja ne voivat kohdistaa haavoittuvuuksien hallinnan yleisiin tietoturvatavoitteisiin", hän kertoo ISMS.online-sivustolle.

Huntressin turvallisuustoimintojen johtaja Dray Agha väittää, että standardi tarjoaa "selkeän kehyksen" sekä haavoittuvuuksille että korjaustiedostojen hallitukselle.

"Se auttaa yrityksiä pysymään uhkien edellä suorittamalla säännöllisiä turvatarkastuksia, priorisoimalla korkean riskin haavoittuvuuksia ja varmistamalla oikea-aikaiset päivitykset", hän kertoo ISMS.online-sivustolle. "ISO 27001 -standardia käyttävät yritykset voivat reagoida hyökkäyksiin ennakoivasti ja vähentää altistumistaan ​​ennen kuin hakkerit edes iskevät ja estävät kyberrikollisilta jalansijan organisaation verkostossa korjaamalla ja kovettamalla ympäristöä."

Agha kuitenkin väittää, että paikaminen ei yksin riitä.

"Yritykset voivat suojautua kyberuhilta pidemmälle ottamalla käyttöön verkon segmentointia ja verkkosovellusten palomuureja (WAF). Nämä toimenpiteet toimivat ylimääräisinä suojakerroksina, jotka suojaavat järjestelmiä hyökkäyksiltä, ​​vaikka korjaukset viivästyisivät", hän jatkaa. "Nollaluottamusturvamallien, hallittujen tunnistus- ja vastausjärjestelmien sekä hiekkalaatikon ottaminen käyttöön voi myös rajoittaa vahinkoja, jos hyökkäys murtuu."

KnowBe4:n Malik on samaa mieltä ja lisää, että virtuaalinen korjaus, päätepisteiden tunnistus ja vastaus ovat hyviä vaihtoehtoja suojan kerrostamiseen.

"Organisaatiot voivat myös suorittaa ohjelmistojen ja laitteiden penetraatiotestauksen ennen käyttöönottoa tuotantoympäristöissä ja sen jälkeen ajoittain. Uhkatietojen avulla voidaan saada tietoa uusista uhista ja haavoittuvuuksista", hän sanoo.

"On olemassa monia erilaisia ​​menetelmiä ja lähestymistapoja. Vaihtoehdoista ei ole koskaan ollut pulaa, joten organisaatioiden tulee miettiä, mikä sopii parhaiten heidän riskiprofiiliinsa ja infrastruktuuriinsa."