Clusit, ancora sottovalutiamo la minaccia informatica che incombe. Ecco gli ultimi dati

Quest’anno, anche in considerazione degli importanti casi portati all’attenzione delle cronache, il CLUSIT ha pubblicato una edizione di metà anno del consueto report annuale e i risultati sono stati oggetto di commento all’evento Cyber Security 360 Summit del 21 novembre 2016 organizzato da CorCom e da FPA.Dal rapporto emerge ancora una forte assenza di una adeguata consapevolezza a livello globale nei confronti delle minacce cibernetiche che si riflette in inadeguati investimenti in termini economici. Ovvia conseguenza, è l’assenza di una visione prospettica necessaria ad affrontare un problema che richiede tempi di reazione estremamente rapidi.Questa situazione è confermata dalla ricerca pubblicata dall’Osservatorio sulla sicurezza informatica del Politecnico di Milano che, interrogate 134 grandi aziende, ha riscontrato, in relazione alla esistenza o meno di un budget dedicato, la seguente situazione:

Dall’analisi dei dati raccolti emerge in modo inequivocabile che le tipologie di aggressori si sono moltiplicate e che gli aggressori stessi mirano sempre di più a un ritorno economico diretto se è vero che le perdite economiche stimate sono aumentate di 4 volte. Inoltre, appare evidente l’aumento in modo significativo della superficie di attacco, in conseguenza del crescente processo di digitalizzazione (basti pensare ai social media, allo sviluppo prepotente dei servizi di cloud computing sia nel mondo consumeristico che nel mondo aziendale, alla diffusione delle tecnologie mobile e all’Internet of Things. Fra il 2015 e il primo semestre 2016 i trend sono confermati. I dati dicono che nei primi sei mesi dell’anno sono cresciute del 9% le attività compiute con finalità criminale rispetto al semestre precedente. Tra le tipologie di attacco ovviamente si conferma in crescita il Cybercrime, prima causa di attacchi gravi a livello globale, che si attesta al 71% del totale delle cause di attacco nel primo semestre 2016. In crescita sempre del 9% l“espionage” (anche in questo caso +9%), fenomeno fortemente preoccupante per le conseguenze che ne possono derivare. Venendo alle tipologie di attacco si nota un aumento notevole degli attacchi tramite malware comuni (addirittura + 129%) e un incredibile aumento del phishing e del social engineering (+ 1500%).

Nel primo semestre 2016 la sanità è stata particolarmente esposta agli attacchi gravi rispetto al semestre precedente (+ 144%) così come il settore bancario e finanziario (+93%), che nel 2016 fa registrare in assoluto il maggior numero di attacchi degli ultimi 11 semestri. Sempre sotto attacco anche le infrastrutture critiche (+84%) e la grande distribuzione/commercio (+ 17%).

Tenendo presente che i dati sinteticamente illustrati rappresentano solo una frazione del totale degli attacchi gravi presumibilmente avvenuti ci si può facilmente rendere conto della portata del problema.

Il trend non appare in alcun modo decrescente e anzi è presumibile un sensibile aumento nei prossimi mesi e anni.

Per questo motivo, la sensibilizzazione sul problema deve aumentare così come deve crescere la conoscenza dei rischi sottesi all’uso delle tecnologie da parte dei cittadini, delle imprese e della Pubblica Amministrazione.

Senza maggiore sensibilità in merito ai rischi e alla importanza della protezione non si potrà mai efficacemente contrastare il fenomeno.

Gli interventi normativi in tema di Cybersecurity sono molteplici, sia a livello nazionale che europeo.

L’Italia ha previsto già dal 2013 (con il D.P.C.M. del 24 gennaio) un quadro strategico nazionale che coinvolge soggetti sia pubblici che privati e che ha ad oggetto tanto le fasi della prevenzione contro gli eventi dannosi, quanto le successive attività di repressione con riferimento a crimini cibernetici.

Successivamente, con la legge di stabilità 2016, è stato previsto un fondo per il potenziamento degli interventi e delle dotazioni strumentali in materia di protezione cibernetica e di sicurezza informatica nazionali, con una dotazione finanziaria di 150 milioni di euro per l’anno 2016. Un decimo dei 150 milioni di euro, ovvero 15 milioni di euro, sono destinati al rafforzamento della formazione del personale del servizio polizia postale e delle comunicazioni, e all’aggiornamento della tecnologia dei macchinari e delle postazioni informatiche.

In Europa, invece, Il futuro di questa tematica è nelle norme di un ampio pacchetto di riforma della UE approvato, entrato in vigore ed in parte applicabile già da quest’anno che comprende, tra gli altri, il Regolamento n. 679/2016, Regolamento Generale sulla Protezione dei Dati (RGPD) e la Direttiva n. 1148/2016, Direttiva Network and Information Security (Direttiva NIS), entrata in vigore l’8 agosto scorso, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione.

Ma non può essere solo la norma e la paura della sanzione a portare ad una protezione efficace. Occorre senza dubbio un coordinamento nazionale ed europeo delle istituzioni ma occorre anche consapevolezza e responsabilità personale degli utenti per contrastare le minacce del Cybercrime.