Una scommessa da 250 milioni di dollari sul fatto che testare non sia un evento

Snehal Antani, che ha fondato Horizon3 nel 2019 con Anthony Pillitiere dopo che entrambi avevano lavorato allo Joint Special Operations Command, ha descritto il traguardo più come un permesso guadagnato che come una questione tecnica. L'azienda ha inventato il concetto di pirati informatici basati sull'intelligenza artificiale, ha detto, e ha impiegato sei anni per guadagnarsi il diritto di testare in autonomia le reti più critiche. Il 3 agosto la società ha annunciato una serie E da 250 milioni di dollari a una valutazione superiore a 2 miliardi, co-guidata dagli investitori già presenti NightDragon e NEA, con l'ingresso di Acrew, Blue Cloud Ventures, EDBI, Demeter Group, PSG, SAIC e Sapphire, accanto a sostenitori esistenti come Craft Ventures, Prosperity7 Ventures, Qualcomm Ventures, Ridge Ventures e SignalFire.

I numeri dietro il round descrivono una categoria che viene riprezzata, non semplicemente un'azienda che va bene. Horizon3 dichiara ricavi ricorrenti annui vicini a 100 milioni di dollari con una crescita del 120 per cento su base annua, oltre 7.000 organizzazioni protette, quattro clienti fra le Fortune 10 e 310.000 test eseguiti dentro ambienti di produzione attivi. Dave DeWalt, fondatore di NightDragon e in passato alla guida di FireEye e McAfee, entra nel consiglio insieme all'amministratore delegato di NightDragon Morgan Kyauk. L'azienda ha aperto un ufficio ad Amsterdam a giugno e si estende in Australia e a Singapore.

Che cosa impone davvero la norma europea, e ogni quanto

Il regolamento sulla resilienza operativa digitale fissa il ritmo proprio per gli enti che più probabilmente compreranno questo prodotto. Gli articoli 26 e 27 impongono agli enti finanziari individuati di svolgere test avanzati di resilienza mediante intrusione guidata dalle minacce almeno ogni tre anni. Vi rientrano soltanto gli enti considerati significativi e dotati di sistemi sufficientemente maturi, e i relativi standard sono stati elaborati in linea con il quadro TIBER-EU, aggiornato l'11 febbraio 2025 per corrispondere alle norme tecniche di regolamentazione adottate sotto DORA.

Due dettagli vanno fissati prima di qualsiasi discussione di bilancio. Primo, gli enti finanziari sono governati da DORA e non da NIS2, perché l'articolo 4 di NIS2 lascia spazio al regime più specifico, e le imprese pianificano regolarmente sul testo sbagliato. Secondo, il ritmo è una soglia minima e non un obiettivo. DORA si applica dal gennaio 2025, perciò un ciclo triennale colloca il primo test completo guidato dalle minacce verso il gennaio 2028 per gli enti inclusi fin dall'inizio, cioè fra circa diciotto mesi. Il Regno Unito gestisce per i grandi istituti un proprio schema guidato dalle minacce con una filosofia paragonabile.

Il documento e la misura si stanno allontanando

Ecco la tensione che il round mette in luce. Un test di intrusione guidato dalle minacce è governato dall'intelligence, viene condotto da persone esperte contro un obiettivo delimitato e produce un documento che soddisfa un'autorità di vigilanza. Il test automatizzato continuo produce altro: una misura mobile dell'esposizione sfruttabile. Matt Hartley, direttore commerciale di Horizon3, sostiene che un incarico convenzionale esamina solo il due o tre per cento di una rete una volta l'anno, mentre una piattaforma autonoma può coprire l'intero patrimonio in modo continuo senza fermare la produzione. È la formulazione di un fornitore sul proprio vantaggio e va letta come tale, ma l'osservazione di fondo sul campionamento non è controversa fra chi commissiona questi test.

Il contrappeso onesto è che l'automazione non sostituisce ciò che rende prezioso un test guidato dalle minacce. Tali test poggiano su informazioni su chi attaccherebbe plausibilmente quello specifico istituto e in che modo, e una buona squadra di attacco inventa percorsi che nessuno scanner elenca. Non sono sostituti, e chi cancella la propria squadra umana perché ha comprato una piattaforma autonoma ha frainteso entrambe le cose. Ciò che davvero cambia è il significato del certificato triennale. Superarlo nel 2028 dice che il patrimonio ha retto a un attacco delimitato e guidato dall'intelligence in certe date. Non dice nulla dei mille giorni prima e dopo, e il mercato ha appena messo 250 milioni di dollari dietro l'idea che l'esposizione viva proprio lì.

Che cosa cambiare nel prossimo ciclo di test

Cominciate mettendo per iscritto quale regime vi vincoli e in quale data scada il prossimo test guidato dalle minacce. Sembra elementare ed è il passaggio più spesso saltato, perché la responsabilità della risposta si colloca di solito fra una funzione di conformità che conosce la scadenza e una funzione di sicurezza che conosce il patrimonio. Se il vostro istituto rientra e DORA vi si applica dal gennaio 2025, ragionate a ritroso dall'inizio del 2028 e considerate che la delimitazione e la fase di intelligence cominciano molti mesi prima del test.

Trattate poi le due attività come voci distinte con scopi distinti. Il test regolamentato è una consegna con una data, un perimetro concordato con l'autorità e una fase informativa, e va messo a bilancio come progetto. Il test continuo è una misura operativa, e la domanda al fornitore non è quante segnalazioni produca, bensì quanto rapidamente un bene appena esposto compaia nei suoi risultati e come si comporti verso la produzione attiva. Chiedete anche lo storico dei guasti e non solo il conteggio dei test senza disservizi. Una piattaforma che ha eseguito centinaia di migliaia di test in produzione ha una storia di sicurezza che merita un esame accurato prima di toccare il vostro nucleo bancario.

Da leggere ora: 45.601 falle, solo 171 vengono davvero usate  |  Un solo messaggio ha raggiunto le chiavi SSH