Cybersecurity, una nuova architettura industriale per un problema di salute pubblica

L’utilizzo sempre più ampio delle tecnologie digitali, trasversali e pervasive a tutte le attività della vita quotidiana, produttive e non, sta fortemente influenzando e modificando il modo di operare e interagire tra loro di cittadini, imprese e Istituzioni. Il sistema economico e sociale dei paesi avanzati è diventato fortemente dipendente dal cyberspace, quell’insieme di reti e sistemi informativi con i quali vengono erogati servizi da parte degli enti governativi, delle imprese e della Pubblica Amministrazione. Il digitale è da tempo entrato in contatto con il mondo degli oggetti fisici, favorito dalla crescente disponibilità di sensori e infrastrutture di rete che ne assicurano la connessione e lo scambio di informazioni.

Case e città sempre più smart, veicoli connessi, Tv intelligenti, impianti che rendono i consumi efficienti, robot che entrano negli appartamenti, agricoltura informatizzata: tutto quello che non pensavamo fino ad ora, verrà pervaso dall’ Internet of Things (IoT) che coprirà molte delle attività umane. Si apre un nuovo scenario di sviluppo dell’economia digitale, nel quale non si può prescindere dalla cybersecurity. Se da un lato infatti si ipotizzano benefici in svariati campi applicativi, dall’altro è necessario porre l’accento sulla necessità di garantire adeguati livelli di sicurezza alle grandi quantità di dati che saranno scambiati autonomamente.

La digitalizzazione delle informazioni, anche riservate, unita alla scarsa percezione dei pericoli derivanti dall’utilizzo delle tecnologie informatiche, hanno reso lo spionaggio informatico, da dieci anni a questa parte, una delle principali minacce alla sicurezza nazionale e alla competitività economica dei sistemi Paese.

L’insicurezza cibernetica è di fatto ormai un problema di salute pubblica . I crimini informatici nel nostro Paese e più in generale nel mondo, secondo il rapporto Clusit 2016, fanno registrare il numero di attacchi gravi più elevato degli ultimi 5 anni: 1.012 solo quelli di dominio pubblico nel 2015, contro gli 873 che si erano verificati nel 2014.
Dal rapporto emerge che gli attacchi compiuti con finalità criminali sono cresciuti nell’ultimo anno del 30%, con l’esplosione dei ransomware e, in particolare, dei più insidiosi crypto-ransomware, i codici che criptano i documenti presenti nei sistemi degli utenti finali (aziende, ma anche comuni cittadini), chiedendo il pagamento di un vero e proprio riscatto per riottenerli in chiaro.

Aumentano a un ritmo molto sostenuto e crescente anche gli attacchi ai servizi online e cloud (sistemi di webmail, social network, siti di e-commerce e piattaforme Cloud pubbliche): +81% rispetto al 2014, il più elevato valore assoluto registrato fino a oggi. Nel mirino degli hacker finiscono sempre più spesso anche i media online e le piattaforme di gaming, nei confronti dei quali l’incremento degli attacchi nel 2015 è stato pari al +79% rispetto all’anno precedente. A seguire l’Automotive (+67%) e il settore Ricerca e Educazione (+50%). (Fonte: Rapporto Clusit 2016)

Questo scenario richiede una decisa e attenta riflessione da parte del mondo industriale sui possibili rischi connessi all’adozione delle tecnologie digitali e su quali strumenti utilizzare per far fronte al crescente fenomeno delle minacce informatiche.

Le minacce che oggi possono danneggiare il business sono diverse e numerose. Oltre il 90% delle aziende italiane ha rilevato un incremento, rispetto agli anni precedenti, del numero di attacchi e delle minacce informatiche.

L’ampliamento del perimetro dei sistemi informativi aziendali insieme ad altri fattori sia interni sia esterni, tra cui la progressiva adozione di dispositivi e strumenti mobili che consentono ai dipendenti di accedere a dati e informazioni presenti su server aziendali, ma sempre più in cloud, sta contribuendo a rendere maggiormente vulnerabili le aziende con un conseguente incremento delle minacce di attacco informatico.

Questi elementi generano nelle aziende alcune potenziali criticità: perdita di dati sensibili, furto di dati (informazioni personali relativi alla clientela o ai dipendenti, brevetti, progetti di ricerca e sviluppo), interruzione del funzionamento dei sistemi aziendali e conseguentemente anche dei servizi erogati.

A queste si aggiungono le minacce tradizionali (spam, phishing, malware/spyware/troyan), amplificate dall’utilizzo di dispositivi mobile e soluzioni su web, che hanno un impatto sull’operatività delle aziende, fino ad arrivare in alcuni casi al blocco dei sistemi.

Il tradizionale approccio alla sicurezza IT, associato prevalentemente al concetto di protezione delle attività aziendali, non risulta soddisfacente, soprattutto per le aziende che hanno sempre più la necessità di operare in maniera agile e aperta.

Ne deriva la necessità di rivedere il concetto di sicurezza, senza che questo rappresenti un elemento di rigidità o un ostacolo nello sviluppo di modelli di business innovativi basati su una maggiore apertura dell’azienda all’esterno.

Una corretta sensibilizzazione delle imprese rispetto alle problematiche e ai rimedi in materia di sicurezza informatica e delle informazioni, rappresenta un’esigenza legata non più soltanto alla tutela del know-how italiano e all’eventuale protezione dei dati personali trattati dall’azienda, ma costituisce un’azione necessaria per garantire la sicurezza nazionale e la competitività economica del Paese.

Nel corso del 2014 le aziende hanno continuato a investire in tecnologie, ma si è assistito anche ad una maggiore attenzione al ruolo della security, con la creazione di team interni dedicati alla cybersecurity e il ricorso a servizi di risk e vulnerability assessment erogati da fornitori specializzati.

Oggi c’è una grande innovazione nel settore della sicurezza. Il mercato italiano della sicurezza nel 2014 ha continuato il percorso di crescita intrapreso già nel 2013, registrando un’espansione del 2% per un valore paria 772 milioni di euro, a conferma dell’importanza crescente data dalle aziende alla tematica, e anche della spinta derivante dalla compliance normativa. (Fonte: Rapporto Assinform 2015)

Quello che serve è un quadro organizzativo, una vera architettura con cui tutti i protagonisti possano allinearsi in modo che la sicurezza possa essere progettata al suo interno. Il più significativo ostacolo per la sicurezza informatica sono i problemi dell’architettura IT: adottando un framework comune le aziende possono allineare le proprie policy con soluzioni di sicurezza innovative.

E si muove in questa direzione il Framework Nazionale per la Cyber Security , realizzato dal CIS (Research Center of Cyber Intelligence and Information Security) dell’Università La Sapienza e dal Laboratorio Nazionale CINI di CyberSecurity (Consorzio Interuniversitario Nazionale per l’Informatica), con la collaborazione del NIST, l’Istituto USA per gli Standard e le Tecnologie. Ispirato al framework americano, il modello italiano è stato modulato in base al contesto nazionale, realizzando uno strumento che raccoglie le linee guida per la gestione del rischio informatico, adattabile ai processi, ai rischi specifici del settore e del tipo di aziende e di mercato.

Gli attacchi informatici, cresciuti negli ultimi anni in modo esponenziale per complessità e risorse utilizzate, non possono essere fermati dalle singole organizzazioni, ma hanno bisogno di una risposta a livello di sistema paese.

E’ evidente come i governi di tutto il mondo abbiano ormai posto la cybersecurity come tema prioritario nella propria agenda politica e che, dall’analisi comparata delle cyber strategy attualmente pubbliche, uno dei pilastri strategici condivisi a livello internazionale sia proprio quello di incrementare i livelli di sicurezza, affidabilità e resilienza delle reti e dei sistemi informatici. Durante il World Economic Forum di Davos di quest’anno è stata sottolineata l’importanza di un coordinamento internazionale tra paesi e di un approccio collaborativo tra pubblico e privato per contrastare la criminalità informatica.

E anche il Governo italiano, dopo l’innalzamento del budget destinato alla sicurezza informatica già previsto dall’ultima Legge di Stabilità 2016, sembra deciso ad accelerare sull’innalzamento del livello di guardia sulla protezione dei sistemi IT, con un impegno dell’esecutivo pronto a stanziare 150 milioni per la cybersecurity. Lo stesso Documento di sicurezza nazionale – allegato alla Relazione sulla politica dell’informazione per la sicurezza che ogni anno il Governo presenta al Parlamento – dedica quest’anno una sezione specifica alla trattazione della minaccia cibernetica.

E’ necessaria una programmazione nazionale per catturare un mercato in espansione “ultra veloce”. Questo mercato creerà una domanda di competenze che si svilupperà, sia dentro le aziende che stanno evolvendo verso sistemi e processi più sicuri, sia nell’offerta dei servizi di sicurezza. Droni, robot, IOT, big data stravolgeranno i mestieri e il mercato del lavoro e lo faranno a velocità accelerata. Assisteremo ad una richiesta crescente di competenze nell’ambito della sicurezza informatica da parte delle aziende ICT, con conseguenti ricadute occupazionali e nuove opportunità lavorative per i giovani.

Internet of things, smart cities, Industria 4.0 non potranno essere realizzati senza un sufficiente livello di cybersecurity. Si tratta di una sfida che va indirizzata e gestita, con il coinvolgimento e la collaborazione di tutti, e soprattutto con la consapevolezza che la sicurezza delle informazioni non deve essere vista come un costo o un ostacolo alle attività, ma piuttosto come un enabler, una opportunità che produrrà vantaggio competitivo , rappresentando un fattore decisivo per la crescita economica delle imprese e dell’intero Paese.