In vista della NIS2: come si presentano i segnali di sicurezza di base delle maggiori aziende?
La NIS2 impone alle organizzazioni di affrontare la cybersicurezza con serietà, con la responsabilità diretta del management. Abbiamo eseguito sei controlli di sicurezza pubblici e di base sulle homepage e sulle impostazioni email delle maggiori aziende del mercato, del tipo che chiunque può effettuare dall'esterno senza accedere ai sistemi interni. Rappresentano un livello minimo, non un audit completo: superarli significa che le basi più elementari sono in ordine, non superarli significa che esistono lacune visibili a qualsiasi malintenzionato.
30 aziende esaminate con successo, su 36 delle maggiori del mercato; le restanti hanno bloccato l'accesso automatizzato e sono escluse da tutti i dati.
Principali risultati
Risultati per controllo
| Controllo pubblico di sicurezza | Quota di aziende interessate |
|---|---|
| Nessun DMARC applicato (il dominio email può essere falsificato in attacchi di phishing apparentemente provenienti dall'azienda) | 43% |
| Intestazioni di sicurezza web di base assenti (protezioni contro il clickjacking e il content-type sniffing) | 33% |
| Nessun HSTS (i browser non sono forzati a utilizzare la versione cifrata del sito) | 33% |
| La homepage non impone HTTPS | 3% |
| Versione del software server esposta nelle intestazioni (fornisce agli attaccanti informazioni utili per sfruttare vulnerabilità note) | 3% |
| Nessun record SPF (un controllo di base anti-spoofing per le email è assente) | 0% |
I risultati migliori
Il merito va riconosciuto: queste aziende hanno superato tutti o quasi tutti i nostri controlli di base.
- ✓ enel.it
- ✓ eni.com
- ✓ gruppotim.it
Metodologia
Per ciascuna azienda abbiamo effettuato una singola richiesta ordinaria alla homepage pubblica e letto le intestazioni di risposta rilevanti per la sicurezza, eseguendo inoltre ricerche DNS pubbliche per i record di autenticazione email SPF e DMARC. Si tratta delle stesse informazioni che qualsiasi browser web o server di posta già riceve. Non abbiamo effettuato scansioni di porte, analizzato sistemi interni, tentato alcun accesso né inviato più di una richiesta normale. Questo è uno snapshot esterno di igiene di base, non un penetration test né una valutazione completa della sicurezza, e non formula alcuna affermazione sulla sicurezza interna delle singole aziende. Le aziende che hanno bloccato l'accesso automatizzato sono state escluse da tutte le percentuali.
Pronti per la NIS2?
Scoprite quali strumenti di conformità aiutano a coprire le misure di sicurezza richieste dalla NIS2 e verificate se la vostra organizzazione rientra nell'ambito di applicazione.
Vedi il confronto degli strumenti NIS2 →Per i giornalisti
La metodologia e i dati aggregati per singolo controllo sono disponibili su richiesta a fini di verifica. Non pubblichiamo i nomi delle singole aziende che non hanno superato i controlli. Contatti: [email protected]
Questo rapporto è uno studio indipendente su dati esterni, non una valutazione della sicurezza né un'accusa nei confronti di alcuna azienda nominata.