Sicurezza Software sotto attacco: le vulnerabilità che mettono a rischio il business

Eng (Veracode): bisogna affrontare il debito di sicurezza mediante la correzione delle falle

Veracode, azienda di soluzioni di intelligent software security, ha reso pubblico il suo recente rapporto State of Software Security (SoSS) 2024, evidenziando una problematica presenza di un debito di sicurezza in molte organizzazioni. Il 42% delle applicazioni e il 71% delle aziende presentano vulnerabilità irrisolte da oltre un anno, di cui il 46% è classificato come "critico," mettendo a serio rischio la riservatezza, integrità e disponibilità. La ricerca rivela che il 63% delle applicazioni mostra vulnerabilità nel codice proprietario, mentre il 70% presenta falle in quello di terze parti. La correzione delle falle di terze parti richiede il 50% di tempo in più, con una risoluzione in 11 mesi rispetto ai sette necessari per quelle nei codici proprietari. In un contesto confortante, le falle di sicurezza più gravi sono diminuite del 50% rispetto al 2016, evidenziando progressi nelle pratiche di sicurezza del software. I team che risolvono rapidamente le vulnerabilità riducono il loro debito di sicurezza critico del 75%. Chris Eng, Chief Research Officer di Veracode, avverte che, nonostante i miglioramenti, le organizzazioni devono affrontare il loro debito di sicurezza mediante la correzione delle falle, concentrandosi sulla sicurezza del codice di terze parti e adottando pratiche di sviluppo efficienti.

Affrontare IA e Software Supply Chain

Il rapporto sottolinea una tendenza preoccupante nell'era dell'intelligenza artificiale. Nonostante la velocità e l'efficienza apportate dall'IA allo sviluppo del software, il 36% del codice generato da GitHub CoPilot contiene falle di sicurezza, rappresentando un rischio significativo per l'intera software supply chain.

Prioritizzazione del Rischio

La ricerca evidenzia limitazioni nella capacità dei team di porre rimedio alle falle, con solo il 64% delle applicazioni dotate di funzionalità di remediation sufficienti. Solo il 3% di tutte le falle costituisce un debito critico di sicurezza, rappresentando il rischio maggiore. Dando priorità a questo 3%, le organizzazioni possono ridurre al minimo i rischi concentrando gli sforzi.

Nuova Frontiera della Software Security

Chris Eng conclude che l'IA apre la strada a una nuova frontiera della software security, consentendo alle aziende di affrontare il lungo arretrato di debiti di sicurezza e le nuove falle emergenti.

La stragrande maggioranza delle Common Weakness Enumeration con valutazione da media ad alta può essere affrontata attraverso modifiche al codice generate dall'intelligenza artificiale di Veracode Fix.