Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Il CISA e 17 Paesi hanno aggiornato i requisiti minimi della SBOM, il documento che descrive tutti i componenti di un software. Le nuove linee guida introducono firme digitali, tracciamento completo delle dipendenze, checksum, licenze e supporto a cloud e AI per accelerare la risposta alle vulnerabilità.
Il consueto elenco dei componenti del programma si trasforma in un passaporto a tutti gli effetti della sua origine. L’Agenzia statunitense per la sicurezza informatica e la protezione delle infrastrutture (CISA), insieme ad agenzie di altri 17 paesi, ha aggiornato i requisiti minimi per l’elenco dei componenti software noti come SBOM.
Questo elenco mostra da quali librerie, moduli e dipendenze è composto il programma. Sviluppatori e clienti possono verificare rapidamente se un prodotto contiene un componente vulnerabile, chi lo ha creato e quale versione è installata. Le nuove linee guida sostituiscono il documento del 2021, che non affrontava le funzionalità dei moderni strumenti di analisi del software.
La modifica principale riguarda la completezza dei dati. La SBOM dovrebbe ora coprire tutti i componenti del prodotto, comprese le dipendenze nidificate. Non ci sono più restrizioni sulla profondità. Se una biblioteca ne utilizza un’altra e questa ne collega una terza, l’intera catena dovrebbe essere tracciata nell’elenco. Questo approccio consentirà alle aziende di eliminare i rischi con maggiore sicurezza una volta pubblicata una nuova vulnerabilità, anziché perdere tempo rivedendo manualmente ciascun prodotto.
Gli autori del documento hanno aggiunto dieci nuovi campi. Questi includono la firma digitale del creatore della SBOM, il nome e la versione del formato, le condizioni in base alle quali è stato formato l’elenco, il nome e la versione dello strumento utilizzato, la versione del documento stesso, il checksum del componente, l’algoritmo per calcolarlo e le informazioni sulla licenza. La firma aiuterà a confermare l’origine del file e a rilevare le modifiche, mentre il checksum aiuterà a verificare l’integrità del componente software.
Requisiti separati si riferiscono a informazioni sconosciute o nascoste. Il soggetto deve dichiarare esplicitamente di quali dati non dispone e quali informazioni non divulga intenzionalmente. Le organizzazioni potrebbero considerare un elenco incompleto se un fornitore nasconde informazioni critiche sulla composizione di un prodotto. Anche i componenti di origine non chiara richiederanno un’etichettatura esplicita.
La nuova versione estende i requisiti di base ai programmi open source, ai servizi cloud e ai sistemi di intelligenza artificiale. I prodotti cloud e l’intelligenza artificiale potrebbero richiedere dati aggiuntivi, ma gli autori non li hanno ancora inclusi nel minimo complessivo. Le modifiche frequenti ai servizi cloud rimangono un problema separato, poiché si consiglia di rilasciare una nuova SBOM per ogni versione o build del programma.
Il documento stabilisce inoltre come principio obbligatorio il trattamento automatizzato. Si consiglia alle organizzazioni di adottare i formati aperti comuni SPDX e CycloneDX e di abbandonare le versioni legacy. L’elaborazione della macchina ti consentirà di confrontare la composizione dei programmi con i database delle vulnerabilità e gli avvisi di sicurezza in pochi minuti, invece di controllarli manualmente.
Le regole non introducono obblighi legali, ma stabiliscono linee guida generali per sviluppatori, acquirenti e operatori di programmi. Gli autori si aspettano che requisiti uniformi semplificheranno lo scambio di dati e accelereranno la risposta alle vulnerabilità nelle catene di approvvigionamento.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/