Kaspersky risponde alla domanda di trasparenza e certificazione

Ott 20, 2022 Dario Orlandi Approfondimenti, Interviste 0

Kaspersky ha inaugurato nell’ormai lontano 2017 una politica di trasparenza molto aperta, anche per contrastare le illazioni e i timori legati al rapporto dell’azienda con il potere politico della Federazione Russa.

L’ultimo tassello di questa strategia tocca direttamente il territorio italiano, con l’apertura di un nuovo Transparency Center nella sede romana dell’azienda, dove clienti e partner potranno avere una visione più chiara e ampia sulle procedure interne di Kaspersky, sulla risposta alle minacce e sull’affidabilità dei suoi prodotti.

La presentazione di una nuova struttura è stata l’occasione per porre qualche domanda a Cesare D’Angelo e Fabio Sammartino, rispettivamente General Manager e Head of Pre-Sales di Kaspersky Italia.

Cesare D’Angelo, General Manager di Kaspersky Italia

Security Info: Quali esigenze hanno spinto alla creazione di un nuovo Transparency Center sul territorio italiano, che si aggiunge a una struttura almeno analoga e relativamente facile da raggiungere, come quella di Zurigo?

Kaspersky: L’apertura di Roma si inserisce in una strategia aziendale mondiale in atto ormai da diversi anni, che porterà sempre più nazioni ad avere un Transparency Center locale. L’apertura a Roma permette anche ai clienti e partner che non hanno il tempo di organizzare una visita prolungata di discutere con Kaspersky le politiche e le certificazioni ottenute, e in futuro anche di aver accesso a informazioni più dettagliate e più tecniche.

Oggi non tutti i Transparency Center offrono gli stessi percorsi informativi; quello di Roma almeno inizialmente permetterà di condividere una parte delle informazioni, come appunto la strategia dell’azienda e le certificazioni ottenute legate alla trasparenza, mentre a Zurigo si possono ottenere informazioni di un livello tecnico molto più approfondito, che richiedono anche una competenza maggiore da parte dei clienti e dei partner.

Security Info: Ci sono differenze nella tipologia di attori esterni che possono accedere ai servizi e alle informazioni di Roma e Zurigo?

Kaspersky: Le realtà italiane possono accedere tanto a Roma quanto a Zurigo, a maggior ragione perché oggi le informazioni disponibili nei due Transparency Center sono diverse. Zurigo rappresenta il centro dell’iniziativa e offre anche l’accesso al data center, cosa che a Roma non è possibile.

La Gti offre tre percorsi di accesso separati: Blue Piste, Red Piste e Black Piste. A Roma attualmente è attiva la Blue Piste, che offre una visione globale e integrata sulla strategia di Kaspersky per la cybersecurity, le pratiche seguite dall’azienda e le certificazioni ottenute.

Gli altri due percorsi sono molto più tecnici e richiedono procedure di sicurezza più elevate, perché offrono accesso a informazioni come il codice sorgente e gli audit di terze parti sui processi e sul codice. A Zurigo ci sono condizioni generali di sicurezza e prossimità che sono più adatte alla condivisione di questo genere di informazioni.

Più nel dettaglio, a Zurigo si può accedere al codice sorgente dei prodotti flagship dell’azienda per i settori B2B e B2C, ossia Kaspersky Endpoint Security (con la console di management Security Center) e Kaspersky Internet Security.

Si possono fare molte cose, tra cui vedere l’elenco dei componenti di terze parti inclusi nei prodotti, rivedere il codice sorgente e poi compilarlo per compararlo con quello distribuito al pubblico. Questo vale sia per i prodotti sia per le firme virali.

La trasparenza e l’Italia

Security Info: qual è stata, finora, la risposta dei clienti e partner italiani all’offerta di informazioni della Gti di Kaspersky?

Kaspersky: L’azienda ha iniziato a insistere molto sulla trasparenza nell’ultimo anno, per ovvi motivi, ma il progetto è partito molto tempo fa; in generale la richiesta di informazioni è stata molto alta, anche se non necessariamente si conclude con una visita al Transparency Center.

Quello che fa la differenza per la possibilità di organizzare una visita, specialmente seguendo i percorsi più tecnici, è l’occasione di andare a studiare e verificare il codice dei prodotti; sono competenze piuttosto rare nelle aziende, che riducono la platea. Per avere un’idea, negli ultimi 4 mesi sono state organizzate 2 visite nel Transparency Center e non è mai capitato che dall’Italia qualcuno chiedesse di effettuare l’analisi del codice sorgente.

In termini generali, la quantità di richieste di informazioni è cresciuta, ma l’interesse c’è sempre stato. Anche perché Kaspersky è l’unica ad avere questa impostazione e a offrire queste opportunità a clienti e partner ormai da molti anni. Ci aspettiamo che il nuovo centro di Roma apra le porte a una presenza più frequente, soprattutto per motivi logistici.

Security Info: Per quanto riguarda i percorsi di analisi più avanzati, una visita spot può offrire solo una fotografia istantanea dello stato del codice; è possibile o è prevista l’opportunità di trasformare un accesso saltuario da parte di partner e clienti in una verifica più sistematica? Chi invece non ha gli strumenti per un’analisi di questo genere si può affidare al lavoro svolto dagli enti certificatori?

Kaspersky: Innanzi tutto, molte di queste analisi sistematiche sono svolte proprio dagli enti che rilasciano certificazioni come la ISO 27001 e la SOC 2, che è fondamentale perché si concentra sulla valutazione e la certificazione dei processi; questi sono aspetti su cui stiamo insistendo molto, perché le certificazioni sono un termometro per valutare la sicurezza degli standard utilizzati per la produzione.

La ISO 27001 è raggiunta ormai da diversi anni, e anche la SOC 2 è stata recentemente rinnovata; seguono standard internazionali e vengono rilasciate da terze parti e crediamo siano un segnale importante.

La SOC 2 certifica tutto il percorso svolto dall’azienda per produrre, testare, collaudare e rilasciare il software, verificando che tutti i passaggi siano sicuri e che non sia possibile intervenire in alcuno di questi step per effettuare cambiamenti senza che questi vengano resi noti al certificatore, mettendo quindi in sicurezza l’intero processo.

Venendo alla possibilità di analizzare il codice in modo sistematico, si possono sicuramente organizzare visite regolari al TC per fare tutte le comparazioni necessarie; Kaspersky non ha nulla in contrario. Potrebbe essere un’ipotesi interessante specialmente per l’analisi del database delle firme, che è un processo piuttosto veloce e consente di organizzare controlli a campione in maniera più efficace.

Security Info: Più nello specifico, avete avuto contatti o ci sono state manifestazioni della volontà di approfondire le iniziative di trasparenza da parte della Pubblica Amministrazione?

Kaspersky: Ci sono stati innanzitutto contatti proattivi da parte di Kaspersky; l’azienda ha voluto rassicurare e confortare i clienti, che da quando è uscita la circolare dell’Acn si sono sentiti a rischio, anche per come la situazione è stata presentata dai media. Qualcuno poi si è anche interessato in maniera spontanea e ha accettato di approfondire il discorso.

La situazione è cambiata in maniera molto veloce, e Kaspersky ha sottolineato fin dall’inizio la preoccupazione che una migrazione improvvisa, senza l’adeguata pianificazione, potesse rappresentare un rischio significativo ed esporre le aziende o gli enti coinvolti a ulteriori vulnerabilità, cosa che infatti è accaduta in diversi casi.

Il trasloco dei dati

Security Info: Un paio d’anni fa, in una precedente intervista con Security Info, s’era parlato di un progetto a lungo termine per migrare alcune funzioni dall’headquarter di Mosca verso Zurigo. A che punto siamo in questo percorso?

Kaspersky: Il processo di fatto è stato completato, abbiamo mantenuto la roadmap stabilita a suo tempo. Sono stati portati nel data center in Svizzera i dati di tutti i clienti, anche se il Kaspersky Security Network è organizzato per avere ramificazioni in tutti i continenti.

I dati telemetrici sono raccolti in Svizzera, mentre per quanto riguarda lo sviluppo, il processo coinvolge data center distribuiti ma l’ultimo passaggio avviene a Zurigo. È stato un percorso lungo, perché ha richiesto il cambiamento dei flussi e dei processi di ricerca e sviluppo, ma è stato completato.

Cesare D’Angelo con Fabio Sammartino, Head of Pre-Sales di Kaspersky Italia

Security Info: Un timore relativo all’attuale congiuntura internazionale non riguarda tanto una violazione del codice dei prodotti antimalware, quanto la possibile richiesta di non inserire uno specifico agente malware inedito nel database delle firme. La Transparency Initiative può rispondere a questi timori, legati non tanto al codice dell’engine, quando alla composizione del database delle firme?

Kaspersky: La Transparency Initiative risponde anche a questa domanda: innanzi tutto perché le potenziali backdoor sonio indirizziamo con il Bug Bounty Program, che offre la possibilità di ricompensare chi dovesse segnalare vulnerabilità serie, critiche o gravi all’interno dei prodotti.

Il programma propone un elenco di categorie di problemi, con associati i premi a cui il segnalatore potrebbe avere diritto. Negli ultimi anni ne sono state segnalate alcune, tutte di lieve entità, e sono stati ricompensati i tecnici e gli analisti che hanno così contribuito a rendere i prodotti Kaspersky ancora più sicuri. Non è invece mai stata segnalata alcuna vulnerabilità grave.

Un altro tassello fondamentale è l’iter di certificazione Soc2, che mette al riparo gli aggiornamenti da interventi volti a modificare, aggiungendo o eliminando componenti, il software distribuito ai clienti.

C’è poi una questione di fondo, che riguarda la struttura dell’engine di riconoscimento e il processo di scrittura delle firme. Gli antimalware moderni non funzionano soltanto tramite un archivio di firme virali di tipo tradizionale; Kaspersky, come altri prodotti, è in grado di identificare minacce completamente sconosciute basandosi sul comportamento.

Per fare un esempio, nell’ultimo anno l’engine ha identificato 4 vulnerabilità di Windows sconosciute in maniera automatica, perché qualcuno le stava sfruttando. Questo avviene perché il software utilizza firme comportamentali, basate su schemi e pattern.

Lo stesso si può dire per le firme che riguardano gli Apt e i ransomware; recentemente siamo stati insigniti di un premio da parte di un laboratorio di analisi terzo perché il prodotto ha saputo riconoscere il 100% dei ransomware utilizzati durante il test. Li conoscevamo tutti? No, ma l’engine ragiona sul comportamento e ha quindi individuato correttamente le minacce mentre si apprestavano ad agire.

La creazione delle firme è un processo in parte automatizzato: in media Kaspersky identifica 380.000 minacce al giorno, evidentemente l’aggiornamento del database non può essere demandato unicamente al lavoro dei tecnici.

Ci sono però dei pattern creati dai tecnici, e sono quelli pensati non per individuare un indicatore di compromissione specifico, ma invece per individuare uno schema, un comportamento sospetto o pericoloso.

Queste firme vengono scritte da un gruppo, testate da un secondo gruppo, collaudate da un terzo e messe in produzione da un quarto; tutti questi passaggi sono separati, i team sono internazionali (coinvolgono anche colleghi nel Nordamerica) e il processo è certificato SOC 2, perché non sia possibile aggiungere o togliere nulla.

Security Info: l’ultima domanda riguarda il Transparency Report e le richieste di accesso ai dati di partner e clienti o delle autorità; il report illustra la situazione a livello globale, avete qualche spunto più specifico che riguarda la situazione italiana?

Kaspersky: I dati disponibili sono solo quelli globali, anche per questioni legate alla privacy, ma per dare un ordine di grandezza nella prima metà del 2022 sono arrivate complessivamente circa 90 richieste; due terzi sono state accettate e gestite, mentre un terzo invece è stato respinto, perché tutte le richieste sono soggette a controlli stringenti.

È importante sottolineare che quando si parla di dati dei clienti ci si riferisce a informazioni riguardanti le minacce informatiche rilevate sui dispositivi protetti da Kaspersky, non si tratta in alcun modo di dati sensibili o personali. La condivisione di questi dati con Kaspersky rimane comunque una scelta volontaria degli utenti, che può essere esercitata sia durante l’installazione sia nel corso dell’uso quotidiano.

Condividi l'articolo