La CISA presenta gli strumenti di verifica della sicurezza cloud per le agenzie federali «ScubaGear 2.0» e «ScubaGoggles 1.1»… Nuova politica per bloccare gli agenti di IA a rischio

WASHINGTON, Stati Uniti

La CISA (Agenzia per la cybersicurezza e la sicurezza delle infrastrutture degli Stati Uniti) ha annunciato importanti aggiornamenti per ScubaGear e ScubaGoggles, strumenti gratuiti che verificano le configurazioni di sicurezza degli ambienti di lavoro sul cloud per le agenzie federali e per le organizzazioni pubbliche e private. Il 27 ottobre (ora locale), la CISA ha annunciato sul suo blog ufficiale il rilascio di ScubaGear 2.0, strumento di valutazione per Microsoft 365 (M365), e di ScubaGoggles 1.1.0, strumento di valutazione per Google Workspace (GWS), nell'ambito del progetto «Secure Cloud Business Applications» (SCuBA).

L'articolo sul blog è stato pubblicato a nome di Chris Butera, vicedirettore senior aggiunto facente funzioni per la cybersicurezza della CISA. La CISA ha descritto questo aggiornamento come «un grande balzo in avanti» (a major leap forward) per il progetto SCuBA.

«Capacità per le agenzie federali di conformarsi alla Direttiva operativa vincolante 25-01»

Secondo la CISA, gli aggiornamenti agli strumenti di valutazione e alle linee guida di configurazione sicura (SCB, secure configuration baselines) per M365 e GWS forniscono alle agenzie federali la capacità di conformarsi alla Direttiva operativa vincolante (BOD, Binding Operational Directive) 25-01, offrendo al contempo alle organizzazioni pubbliche e private misure concrete per elevare il proprio livello di sicurezza sul cloud.

Nel suo blog, la CISA ha dichiarato: «Che si tratti di difendere un'agenzia federale, gestire l'IT per un governo statale, locale, tribale o territoriale (SLTT), o supervisionare la strategia cloud per un'impresa privata, la sfida è la stessa: proteggere i moderni ambienti cloud dalle minacce in continua evoluzione». La CISA ha annunciato che questi aggiornamenti sono il risultato diretto di rigorosi test, condivisione di competenze e continua collaborazione con i partner federali, i difensori delle reti SLTT e i portatori di interessi del settore privato.

Il 28 ottobre, la CISA ha inoltre pubblicato sul proprio account ufficiale X: «Dal rilascio iniziale di ScubaGear e ScubaGoggles, abbiamo collaborato con partner governativi e di settore per garantire che i nostri strumenti siano in grado di affrontare le minacce in evoluzione. Scoprite come questi aggiornamenti possono contribuire a migliorare il livello di sicurezza sul cloud della vostra organizzazione».

ScubaGoggles 1.1.0: eliminata la dipendenza dai registri di amministrazione e introdotta una GUI

Secondo la CISA, ScubaGoggles 1.1.0 offre agli amministratori di GWS e ai professionisti della cybersicurezza una migliore visibilità sullo stato di sicurezza di GWS. La nuova versione non dipende più dagli eventi dei registri degli amministratori, risolvendo problemi di visibilità di lunga data quali brevi periodi di conservazione dei registri e impostazioni predefinite nascoste. La barriera all'ingresso è stata notevolmente abbassata grazie all'introduzione di un'interfaccia grafica utente (GUI) con funzioni integrate di convalida ed esportazione, eliminando la necessità di creare e gestire file YAML tramite editor di testo.

Anche le linee guida sono diventate più precise e trasparenti. La CISA ha integrato la nuova baseline «Assured controls» (controlli garantiti), per consentire ai team con risorse limitate di distribuire una nuova serie di controlli ad alta affidabilità su misura per gli ambienti GWS. La CISA ha dichiarato che, mentre le organizzazioni integrano la superintelligenza generativa (SI, Super Intelligence) nei flussi di lavoro quotidiani, anche la sicurezza deve tenere il passo, annunciando l'ampliamento dei controlli per garantire che Google Gemini sia configurato in modo sicuro. L'integrazione con la Policy API di Google offre inoltre una visibilità quasi in tempo reale dello stato di sicurezza, consentendo ai responsabili della sicurezza di prendere decisioni più rapide e basate sui dati a partire dalle configurazioni correnti.

Secondo le note di rilascio di ScubaGoggles 1.1.0 pubblicate su GitHub, in questa versione non vi sono aggiunte, eliminazioni o modifiche di versione relative alle politiche di configurazione obbligatorie della BOD 25-01. Le note di rilascio indicano l'aggiunta della nuova politica GWS.MEET.6.3v1 relativa a Google Meet, funzionalità di verifica che sfruttano la Policy API di Google, la generazione di artefatti di distribuzione del catalogo OSCAL per le baseline SCuBA e il passaggio delle linee guida di Gemini dalla fase Alpha alla fase Beta.

ScubaGear 2.0: «L'aggiornamento più completo dall'introduzione dello strumento»

La CISA ha annunciato che ScubaGear 2.0 rappresenta l'aggiornamento più completo dello strumento sin dalla sua introduzione. Il quadro delle linee guida è stato completamente ristrutturato, garantendo ai soggetti aziendali e governativi un maggiore controllo sui loro ambienti M365. Secondo la CISA, ScubaGear effettua ora chiamate dirette tramite REST API su tutti i prodotti M365 supportati per verifiche più rapide e accurate, introducendo inoltre controlli completamente automatizzati per Power BI.

Anche l'account Cyber della CISA (@CISACyber) ha annunciato sul profilo ufficiale X l'aggiornamento delle baseline di configurazione di Microsoft 365 e la pubblicazione di ScubaGear v2.0.0, evidenziando le chiamate dirette alle REST API, la copertura automatizzata di Power BI e la nuova baseline della Security Suite tra le principali novità.

La nuova linea guida «Security Suite» riunisce in un unico quadro integrato i controlli di Defender, Purview, Exchange Online e Teams, massimizzando l'efficacia difensiva. Sono state inoltre rafforzate le politiche di gestione delle applicazioni ed è stata introdotta una nuova funzione di punteggio di gravità per consentire ai team di sicurezza di individuare rapidamente le applicazioni a rischio e stabilirne le priorità. L'interfaccia utente di configurazione (Config UI) è stata migliorata per semplificare la migrazione delle policy e integra un visualizzatore di policy per facilitare la consultazione di documenti di baseline complessi.

Secondo le note di rilascio di GitHub: il blocco degli agenti IA a rischio diventa politica obbligatoria «SHALL»

Secondo le note di rilascio di ScubaGear v2.0.0 pubblicate su GitHub, sono state introdotte diverse policy che influiscono sulle configurazioni obbligatorie della BOD 25-01. La nuova policy MS.AAD.9.1v1 è una policy obbligatoria «SHALL» che impone il blocco degli agenti IA a rischio. Le note di rilascio precisano che, poiché gli agenti IA possono accedere alle risorse del tenant e agire in autonomia, il blocco di quelli che mostrano comportamenti rischiosi riduce il pericolo di accessi non autorizzati e di sfruttamento automatizzato. Questa politica richiede la licenza Microsoft Entra ID P2 e Microsoft Agent 365 o Microsoft 365 E7, e non si applica ai tenant GCC High e del Dipartimento della Difesa (DoD).

Secondo le note di rilascio, MS.AAD.3.5v2 richiede la disattivazione dei metodi di autenticazione più deboli: SMS, chiamate vocali e password monouso (OTP) via e-mail. Le politiche relative a SharePoint richiedono di limitare la condivisione esterna a domini esterni autorizzati o a utenti di gruppi di sicurezza approvati, di impostare la scadenza dei collegamenti «Chiunque» (Anyone) a non più di 30 giorni e di configurare i permessi di file e cartelle per tali collegamenti in sola visualizzazione.

Le nuove policy della Security Suite impongono il blocco delle e-mail con allegati eseguibili (.exe, .cmd, .vbe, ecc.), la nuova scansione dei messaggi dopo il recapito, la messa in quarantena e l'eliminazione delle e-mail contenenti malware, politiche di prevenzione della perdita di dati (DLP) che blocchino almeno i numeri di carta di credito, i numeri di identificazione fiscale individuale degli Stati Uniti (ITIN) e i numeri di previdenza sociale (SSN), impostazioni minime di avviso e l'attivazione del registro di controllo unificato. Le note di rilascio precisano che queste politiche sostituiscono le precedenti policy di Defender.

Le note di rilascio includono anche miglioramenti funzionali. Tra questi, la funzione di esportazione dei risultati dei controlli sulle applicazioni a rischio in formato CSV, il comando «Invoke-SCuBADiff» per confrontare i risultati tra due verifiche (ScubaResults.json), una tabella degli utenti con privilegi nei report e l'indicazione del nome di dominio del tenant nei report specifici per prodotto. Le verifiche di Exchange Online sono passate alle chiamate REST e le sessioni di Graph sono state limitate a livello di singolo processo, così da garantire che non rimangano token riutilizzabili dopo la disconnessione da un tenant.

BOD 25-01: rese obbligatorie le configurazioni di sicurezza sul cloud per le agenzie federali

Il 17 dicembre 2024 la CISA ha emanato la BOD 25-01, intitolata «Attuazione di pratiche sicure per i servizi cloud» (Implementing Secure Practices for Cloud Services). Secondo la CISA, una BOD è una disposizione vincolante emessa ai sensi della legge federale (44 U.S.C. §3552(b)(1)) che i dipartimenti e le agenzie dell'esecutivo federale devono rispettare per proteggere le informazioni e i sistemi informativi federali.

In base alla direttiva, essa non si applica ai «sistemi di sicurezza nazionale» previsti dalla legge né a determinati sistemi gestiti dal Dipartimento della Difesa o dalla comunità di intelligence; il suo campo di applicazione riguarda i sistemi del ramo esecutivo civile federale (FCEB, Federal Civilian Executive Branch).

Nel delineare il contesto di emanazione della BOD 25-01, la CISA ha evidenziato che «i soggetti ostili prendono sempre più di mira gli ambienti cloud e hanno affinato tecniche per ottenere l'accesso iniziale a essi», aggiungendo che «nei recenti incidenti di cybersicurezza, l'inadeguata configurazione dei controlli di sicurezza negli ambienti cloud ha comportato rischi significativi ed è sfociata in vere e proprie violazioni». La direttiva specifica che, per rispondere a tali minacce, la CISA ha avviato il progetto SCuBA, attraverso cui ha sviluppato standard di configurazione di sicurezza e strumenti di verifica coerenti e gestibili per il cloud.

La direttiva richiede a ciascuna agenzia di implementare le linee guida di configurazione di sicurezza SCuBA, di distribuire gli strumenti automatizzati di valutazione delle configurazioni sviluppati dalla CISA, di integrarsi con le funzionalità di monitoraggio continuo della CISA e di correggere le impostazioni non conformi alle baseline. Gli obblighi si applicano esclusivamente alle policy contrassegnate con «deve» (shall) nei documenti di baseline, mentre quelle indicate con «dovrebbe» (should) sono lasciate alla discrezionalità dell'agenzia. In base alla direttiva, le linee guida non aggiornate entro un anno usciranno automaticamente dal campo di applicazione e verranno rimosse dall'elenco delle baseline. La direttiva ha imposto alle agenzie federali di censire i rispettivi tenant cloud interessati entro il 21 febbraio 2025, di distribuire gli strumenti di valutazione della CISA entro il 25 aprile 2025 e di attuare le policy obbligatorie entro il 20 giugno 2025. L'inventario dei tenant deve essere aggiornato ogni anno nel primo trimestre. I risultati delle verifiche devono essere trasmessi automaticamente attraverso l'integrazione con le soluzioni di monitoraggio continuo della CISA oppure comunicati direttamente ogni trimestre utilizzando i risultati dell'ultima versione degli strumenti di verifica in un formato leggibile meccanicamente e approvato dalla CISA.

Secondo la CISA, il progetto SCuBA è stato avviato nel 2022 per colmare le lacune di visibilità e cybersicurezza emerse a seguito di intrusioni e compromissioni nelle piattaforme Software-as-a-Service (SaaS). Sebbene l'obiettivo primario sia la protezione delle informazioni dell'FCEB negli ambienti cloud, tutte le organizzazioni possono avvalersi di SCuBA per rafforzare la sicurezza del proprio SaaS. Entrambi gli strumenti confrontano le attuali configurazioni dei tenant M365 e GWS dell'organizzazione con le linee guida della CISA, illustrando le aree in cui sono necessari miglioramenti di sicurezza mediante report visivi. Sulla pagina web di SCuBA, la CISA ha inoltre finalizzato e pubblicato la guida «Hybrid Identity Solutions Guidance», dedicata agli approcci e alle problematiche di interoperabilità tra gestione delle identità on-premise e basata su cloud. La CISA rende disponibili gratuitamente questi strumenti di valutazione sulla pagina web del progetto SCuBA. La CISA ha invitato gli utenti delle agenzie federali, i soggetti interessati alla sicurezza del cloud, gli amministratori degli enti SLTT e i cittadini che fanno affidamento su infrastrutture digitali sicure a scaricare gli strumenti di valutazione aggiornati e a implementare le baseline. Richieste di informazioni e osservazioni per migliorare le linee guida applicative o gli strumenti di verifica possono essere inviate via e-mail al team di SCuBA (scuba@cisa.dhs.gov).

Fonti (KST)

• Blog dell'Agenzia per la cybersicurezza e la sicurezza delle infrastrutture degli Stati Uniti (CISA), «CISA Publishes Significant Updates to ScubaGear and ScubaGoggles» (27-10-2026): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• Direttiva operativa vincolante dell'Agenzia per la cybersicurezza e la sicurezza delle infrastrutture degli Stati Uniti (CISA), «BOD 25-01: Implementing Secure Practices for Cloud Services» (17-12-2024): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• Agenzia per la cybersicurezza e la sicurezza delle infrastrutture degli Stati Uniti (CISA), «Secure Cloud Business Applications (SCuBA) Project»: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• Note di rilascio GitHub della CISA, «ScubaGear v2.0.0»: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• Note di rilascio GitHub della CISA, «ScubaGoggles v1.1.0»: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• Post ufficiale su X dell'Agenzia per la cybersicurezza e la sicurezza delle infrastrutture degli Stati Uniti (CISA) (28-10-2026): https://x.com/CISAgov/status/2115414807931199727
• Post ufficiale su X di CISA Cyber: https://x.com/CISACyber/status/2115069767019077977