Kaspersky ha superato l’audit SOC 2 (Service Organization Control for Service Organizations) Type 1, condotto da una delle società di revisione internazionale Big Four. La valutazione indipendente ha riconfermato che il processo di sviluppo e rilascio degli AV database di Kaspersky è protetto da modifiche non autorizzate grazie a rigidi controlli di sicurezza.

La rivalutazione è stata avviata a fine gennaio 2022 e si è conclusa con successo a fine aprile. Durante l'esame, i revisori di Big Four hanno esaminato, tra le altre cose, le politiche e le procedure dell'azienda relative allo sviluppo e al rilascio di database antivirus (AV), la sicurezza fisica e di rete dell'infrastruttura coinvolta in questo processo e gli strumenti di monitoraggio utilizzati dal team Kaspersky. L'esame ha riguardato anche il modo in cui l'azienda comunica i termini e le condizioni del processo di rilascio dei database AV ai propri dipendenti, utenti e clienti.

La conclusione dell'audit è che i controlli interni di Kaspersky per la protezione del processo di sviluppo e rilascio dei database antivirus per i sistemi operativi Windows e Unix sono adeguatamente progettati per soddisfare tutte e cinque le categorie di affidabilità coperte dal TSC. L'ambito dell'audit attuale è stato ampliato rispetto alla valutazione del 2019, poiché Kaspersky ha introdotto nuovi strumenti e controlli di sicurezza.

A questa valutazione si aggiunge il riconoscimento, per il terzo anno consecutivo, di Radicati Group, che ha posizionato Kaspersky come top player per le soluzioni APT Kaspersky Anti Targeted Attack Platform, Kaspersky EDR Expert e altri prodotti enterprise alla luce della posizione di rilievo dell’azienda in termini di funzionalità e visione strategica.

Sicurezza e politica divergono

Questi due attestati sono riconferme positive, nel complesso contesto delle difficoltà che Kaspersky (analogamente a Group-IB e Positive Technologies) sta incontrando nella tutela della propria immagine in Europa e in Italia. I riconoscimenti significano che sotto l’aspetto tecnico i prodotti sono validi e affidabili, ma questo non è mai stato in discussione.

Quello che sta penalizzando le aziende russe di cyber security è il tema dell’opportunità di affidare la sicurezza informatica a un’azienda russa. Non è una questione tecnologica, è una visione politica, strettamente legata al quadro internazionale di precario equilibrio che si è venuto a creare a seguito della sconsiderata invasione dell’Ucraina da parte della Russia.

Fin dall’inizio del conflitto una delle preoccupazioni dei Governi occidentali è l’escalation di cyber attacchi che potrebbe investire i Paesi dell’Alleanza Atlantica. Da qui il decreto legge del Governo italiano che prevede la “diversificazione dei prodotti in uso” con l’obiettivo di “prevenire pregiudizi alla sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche”.

Perché? I motivi sono molteplici. Uno è per esempio lo scenario distopico nel quale la Russia potrebbe precettare le imprese nazionali per sfruttarne il know-how a scopo di rappresaglia contro quelli che Putin definisce “paesi ostili”. In altre parole, obbligare le aziende di security a distruggere i propri clienti occidentali o a sfruttare i dati di cui è in possesso per danneggiare loro o, indirettamente, i Paesi in cui operano.

Il secondo è uno scenario che ha preso forma di recente, con l’ordine esecutivo del Cremlino che a partire dal 2025 "impone un bando all'esportazione di prodotti o materie prime, realizzati oppure estratte in Russia". In quest’ottica, avviare una transizione software oggi sarebbe una delle rare mosse preventive della security della PA italiana, nell’eventualità che i fornitori russi lascino il Paese abbandonando i clienti a sé stessi.

Si potrebbero mettere sul tavolo decine di scenari più o meno fantasiosi, anche partendo dal fatto che all’ombra del Cremlino opera un alto numero di criminali informatici di alto livello. Alcuni sono APT e hanno legami stretti e pubblicamente noti con il Governo russo e con la sua costola di intelligence militare GRU. Altri sono “solo” motivati finanziariamente o attivisti. Le aziende di software russe finora hanno aiutato i clienti occidentali a bloccare queste attività. Lo farebbero anche in futuro se il loro Governo gli vietasse di farlo?

Scenari imprevedibili

Lo scenario in continua evoluzione non permette di fare previsioni nemmeno nel medio periodo. Molto dipende dalla data – ignota - in cui si concluderà il conflitto ucraino, dalla soddisfazione occidentale per gli eventuali accordi di pace, e dalla durata dei sentimenti antirussi nel Vecchio Continente.

La transizione verso la diversificazione dei prodotti di cyber security della PA richiederà molto tempo. Sarebbe impegnativa anche per un’azienda privata, figuriamoci per una infrastruttura pubblica con i tempi di reazione di quella nazionale. Non si può escludere a priori che se il conflitto terminasse a breve, tale transizione sarebbe tutt’al più in fase embrionale. E a quel punto non è detto che proseguirebbe.

Un altro elemento sul tavolo è che l’evoluzione del conflitto – che in questa fase sembra sfavorire Putin - sta alleggerendo la pressione europea sull’ulteriore inasprimento delle sanzioni economiche contro la Russia. Sta facendo chiudere più di un occhio sulla dibattuta questione dell’apertura di conti correnti in rubli per il pagamento delle forniture di gas russo, che solo un mese fa sembrava un ostacolo invalicabile. È un segnale che anche altre iniziative adottate dall’inizio del conflitto potrebbero “cadere” in disuso o essere aggirate.

Di questo passo, rimpiazzare i fornitori russi di cyber security potrebbe diventare l’ultima delle priorità. Salvo che i cyber criminali russi non si accaniscano pesantemente contro il nostro Paese, imponendo un’evoluzione frenetica della transizione, con l’innesto di rischi cyber di proporzione incalcolabile.

Non ultimo, c’è una questione culturale: per indole siamo un popolo che dimentica tanto e dimentica in fretta. Un popolo che segue maniacalmente le notizie di attualità finché suscitano una forte emotività, ma che impiega poco a stufarsi della “solita minestra” e a rivolgere il proprio interesse altrove. Con la fine del conflitto i provvedimenti sui fornitori russi potrebbero cadere in disuso. Resta da capire se passeranno agli annali quegli elementi tecnici che non sono mai stati messi in discussione, e che non hanno a che vedere con la situazione geopolitica.