Sicurezza delle email in un ambiente regolamentato dalla SEC: cosa sapere

Cosa serve per proteggere un fondo da 18 miliardi di dollari da un attacco informatico? Il 1° dicembre abbiamo ospitato Dan Bennett, CTO di Castlelake, per un webinar per scoprirlo. Con noi c'era anche Rois Ni Thauma, Head of Cyber Governance qui a Red Sift. Oltre a questa sfida individuale, eravamo interessati a capire come la sicurezza di un'unica azienda in un settore molto compatto possa innescare un effetto rete che contribuisce a proteggere tutte le aziende e gli investitori da attacchi di impersonificazione via email pericolosi e costosi.

Castlelake è una società di investimento privata globale specializzata in opportunità basate su asset. Come CTO, Dan è responsabile sia della sicurezza informatica complessiva dell'azienda sia dell'utilizzo del software per ottimizzare i rendimenti e aumentare l'efficacia delle operazioni sui loro asset.

Ho iniziato la mia carriera nel settore finanziario, quindi per me è un po' un ritorno alle origini. Prima di entrare in Red Sift, ho trascorso circa sette anni nell'investment banking e nel private equity lavorando con aziende che, in superficie, sembrano proprio come Castlelake. Nessuna, però, sfruttava il software in modo così elegante ed efficace come Dan e il suo team.

I team che utilizzano il software come strumento per fare le cose più velocemente e in modo più affidabile hanno maggiori probabilità di vincere. Mi piace pensare che sia stato proprio questo approccio a portare Dan a scegliere OnDMARC di Red Sift come soluzione dell'azienda per l'autenticazione delle email in uscita e per DMARC.

In una recente conversazione telefonica con Dan, abbiamo parlato del numero di controparti che effettuano transazioni con un'autenticazione in uscita debole. Mi sono offerto di approfondire e utilizzare la nostra tecnologia per scansionare l'intero universo regolamentato dalla SEC alla ricerca di politiche di autenticazione email, o della loro assenza.

Abbiamo iniziato prendendo un elenco di tutte le 18.281 aziende registrate presso la Securities and Exchange Commission. Poi, per le 15.254 aziende per cui è stato possibile trovare un dominio web, abbiamo analizzato il loro DNS per individuare la loro politica DMARC e i record SPF. Per un settore che dipende così tanto dalla fiducia, i risultati sono piuttosto desolanti.

Solo il 5% di tutte le aziende ha adottato DMARC in modalità di protezione, una politica in base alla quale le email non autenticate inviate per loro conto vengono rifiutate o messe in quarantena dal destinatario.

Appena il 12% raccoglie report DMARC, creando un enorme punto cieco che gli attaccanti possono sfruttare.

Vale la pena notare l'enorme diversità tra le aziende regolamentate dalla SEC. Vanno dalle grandi banche di primo livello alle piccole società di brokeraggio a conduzione familiare con clienti retail, fino alle fintech in rapida crescita con licenza per innovare. Questo espone un'enorme varietà di controparti al rischio di diventare vittime di impersonificazione, tutte con diversi livelli di sofisticazione nella difesa informatica.

Durante la nostra conversazione, abbiamo ipotizzato che sia forse proprio questa diversità ad aver portato a un'adozione lenta. Sebbene le grandi banche siano state tra i primi ad adottare DMARC, questo non è riuscito a diffondersi verso la grande maggioranza delle aziende più piccole, come mostrano i nostri dati. In altri settori, come quello delle costruzioni, i grandi appaltatori esercitano un'enorme influenza su intere catene del valore, portando a una rapida adozione di standard come la sicurezza sul posto di lavoro. Tali effetti sono più deboli nel settore finanziario, dove le catene di fornitura sono più diffuse o addirittura di natura circolare. Se la pressione non arriva dal regolatore, spetta alle aziende proteggersi e influenzare la propria rete immediata.

Dan ha osservato che “l'email è di gran lunga il modo predominante in cui il settore finanziario comunica con il proprio ecosistema di controparti, fornitori e vendor. Probabilmente con un volume e un livello di dipendenza che supera altri settori a causa della natura delle relazioni”.

Quando si tratta di email, per ballare il tango serve davvero essere in due. È tanto responsabilità del destinatario verificare la provenienza di un messaggio quanto lo è del mittente rendere quella provenienza verificabile fin dall'inizio. Questo è esattamente il ruolo di DMARC e dei due protocolli, SPF e DKIM, su cui si basa lo standard.

CISO e CTO come Dan di Castlelake stanno sempre più portando questo principio un passo oltre, insistendo affinché le controparti mettano in ordine la propria autenticazione in uscita. Lo fanno aumentando la propria vigilanza in entrata e sottoponendo a un controllo più severo le email che non soddisfano gli standard di autenticazione di base. “Chi vive in una casa di vetro non può tirare pietre. Non posso alzare i controlli sul mio gateway per limitare un'email in base all'aderenza a questi protocolli se la mia casa non è in ordine”.

L'autenticazione delle email in uscita è spesso più difficile da far accettare: essendo in uscita, sembra per definizione un problema di qualcun altro. Ma nel settore finanziario, ciò che sembra il problema di qualcun altro può rapidamente trasformarsi in un rischio sistemico. È quindi una parte fondamentale dello stack di sicurezza odierno e una componente necessaria per “mettere in ordine la propria casa”.

“We have an obligation to secure every email we send out as well as those we receive. You need to be careful who you let in through your front door, but equally as cautious if you’re sending nasty people out of your house.” Dan Bennett, CTO at Castlelake

Quando i rendimenti aziendali dipendono da transazioni frequenti e fluide con un insieme crescente di partner e controparti di fiducia, impedire agli attori malintenzionati di impersonare Castlelake esternamente è tanto importante quanto difendersi dalle minacce esterne che cercano di entrare.

Fortunatamente, implementare l'autenticazione delle email in uscita è molto più semplice di quanto non fosse in passato. Grazie ai report DMARC e a soluzioni software come OnDMARC, il lavoro può essere in gran parte automatizzato. La paura più grande della maggior parte delle aziende che implementano per la prima volta la protezione DMARC è quella di bloccare accidentalmente email legittime, sia durante l'implementazione sia successivamente, quando si aggiungono nuovi servizi di invio. Il nostro software è progettato pensando ad ambienti email dinamici e rende la configurazione chiara, osservabile e affidabile, così che team come quello di Dan possano concentrarsi sulla prossima minaccia rendendo al contempo i servizi finanziari più sicuri per tutti i soggetti coinvolti: “Ora fa parte dell'architettura della nostra azienda. È qualcosa che funziona e che semplicemente monitoriamo.”