Cosa è successo davvero e perché vi riguarda?
Le indiscrezioni indicano che uno dei laboratori di IA più avanzati ha esposto il proprio codice sorgente attraverso un singolo file mal configurato. Il dettaglio che merita la vostra attenzione non è l'azienda. È quanto fosse ordinario l'errore. Non è stato un attacco brillante che ha sconfitto difese brillanti. È stata un'impostazione lasciata sbagliata, e la stessa impostazione esiste nella maggior parte delle organizzazioni che non hanno mai guardato.
Perché le basi continuano a battere il brillante?
Perché l'incidente comune non è uno zero-day. È un bucket pubblico, una chiave esposta, una dipendenza che nessuno ha rivisto o un file di configurazione mandato in produzione con il flag sbagliato. La sofisticazione del vostro prodotto non vi protegge da una casella lasciata non spuntata nella vostra infrastruttura. L'organizzazione di ingegneria più capace di un settore può comunque perdere i suoi gioielli della corona per una configurazione errata di routine, ed è esattamente questo il punto.
Come si presenta concretamente la disciplina di configurazione?
È poco appariscente e ripetibile. La configurazione viene rivista prima di andare in produzione, non dopo un incidente. L'accesso segue il privilegio minimo, così che un singolo errore esponga poco. Esiste un inventario aggiornato di ciò che è pubblico rispetto a ciò che è privato. Il controllo delle modifiche è reale, e una persona indicata per nome risponde di ciò che esce. Niente di tutto questo è entusiasmante. Tutto questo è la differenza tra un trimestre tranquillo e una violazione che dovete spiegare al vostro consiglio di amministrazione.
Da dove dovrebbe iniziare un'azienda?
Date per scontato che l'esposizione esista già e andate a cercarla. Verificate cosa è raggiungibile pubblicamente, chi può modificare la configurazione e se qualcuno se ne assume davvero la responsabilità. La maggior parte delle organizzazioni scopre che la risposta all'ultima domanda è nessuno in particolare, ed è questo il vero risultato. Risolvete quello, e gran parte del rischio segue a ruota. Qui la disciplina non è un costo. È l'assicurazione più economica che acquisterete mai.
Da leggere ora: Qual è la voce più pericolosa nel vostro bilancio? · Alphabet raccoglie 80 miliardi di dollari per l'IA. È il vostro segnale per smettere di competere sull'infrastruttura.