La cybersecurity è la seconda emergenza in Europa, dopo il cambiamento climatico e prima dell’immigrazione.
Lo ha detto il presidente della Commissione Europea Jean Claude Junker nel discorso sullo stato dell’Unione del 13 settembre 2017.
In realtà da diversi anni le cancellerie di tutto il mondo mettono la cybersecurity ai primissimi posti delle loro agende. Blocco della operatività di aziende, controllo surrettizio di servizi di infrastrutture critiche, furto della proprietà intellettuale o di informazioni cruciali per la sopravvivenza di un’azienda sono esempi delle maggiori minacce che un paese deve affrontare.
Le recenti campagne di malware wannacry e notpetya sono stati gli eventi visibili di una serie impressionante di attacchi in ogni angolo del pianeta.
In un mondo sempre più digitalizzato, gli attacchi informatici suscitano allarme nella popolazione, causano danni ingenti all’economia e mettono in pericolo la stessa incolumità dei cittadini quando colpiscono reti di distribuzione di servizi essenziali come la sanità, l’energia, i trasporti, vale a dire le infrastrutture critiche della società moderna.
Immaginate cosa potrebbe succedere se si spegnessero all’improvviso tutti i semafori di una metropoli, si bloccassero gli ascensori, e le ambulanze non potessero più ricevere l’indirizzo giusto per recuperare i feriti.
Inoltre, un attacco informatico di successo potrebbe anche rappresentare un momento di non ritorno per la credibilità di un’azienda, lo sviluppo del suo business e la capacità di vendere prodotti in un regime di sana concorrenza.
Ugualmente, un attacco informatico riuscito potrebbe destabilizzare il mercato azionario facendo sprofondare interi paesi nel caos, oppure bloccare i rifornimenti di gas in inverno o il ciclo dei rifiuti urbani; il conseguente scenario politico sarebbe drammatico.
Molte volte i danni di attacchi informatici dipendono da un anello debole identificabile.
L’anello debole della cybersecurity è il fattore umano. L’uomo ormai è parte integrante del cyberspace e quindi il fattore umano rappresenta la più importante e impredicibile vulnerabilità di questo macrosistema.
Un click sbagliato può infatti distruggere qualsiasi linea di difesa tecnologica di un singolo apparato, di una organizzazione, di un paese. Sono le persone che si fanno “pescare” da una campagna di phishing, che usano come password il nome del gatto o del consorte, che usano lo stesso smartphone per farci giocare i figli e poi accedere alla rete aziendale.
Queste persone sono le prime ad aprire le porte ai criminali verso i siti, le reti e i database della loro organizzazione, con effetti pericolosi e imprevedibili.
Prima dell’avvento del cyberspace, il mondo era basato su informazioni stampate su carta o immagazzinate su computer isolati e collocati in perimetri fisici ben delineati. Questo mondo aveva sviluppato dei modelli di minaccia molto precisi, permettendo la definizione di politiche nazionali, aziendali e individuali di sicurezza e di protezione sufficientemente chiare e dettagliate.
Nel cyberspace le minacce sono invece in continua mutazione e molte rimangono sconosciute per mesi o anni prima di emergere. Ci troviamo, quindi, a dover definire delle politiche di sicurezza in un mondo dove è fortemente incompleta l’informazione sulla minaccia.
Quando si è immersi nel cyberspace guardare da un solo punto di vista significa non avere alcuna possibilità di affrontare la minaccia, poiché le vulnerabilità sono potenzialmente nascoste nell’hardware, nel firmware, nel software applicativo, ma anche nei processi organizzativi, nei contratti, nelle leggi.
In Italia, interi settori di eccellenza, come la meccanica, la cantieristica, il made-in-Italy, il turismo, l’agroalimentare e i trasporti, potrebbero subire pesanti ridimensionamenti di fatturato a causa di attacchi perpetrati nel cyberspace da stati sovrani o da concorrenti.
Non solo l’industria, ma anche la democrazia è sotto attacco. Le Fake newssono l’evoluzione degli attacchi basati su ingegneria sociale: create e diffuse attraverso il cyberspace, le false informazioni tendono a confondere e destabilizzare i cittadini di un paese immergendoli in uno spazio informativo non controllato, con un insieme pressoché infinito di sorgenti di notizie.
Dobbiamo dunque essere pronti a monitorare, come cittadini, imprese e Pubblica Amministrazione (PA), il nostro mondo digitale. Questo monitoraggio deve entrare nel nostro modo di vivere, esattamente come l’avvento delle automobili ha reso naturale guardare a destra e a sinistra prima di attraversare una strada trafficata.
Tenere sotto controllo i nostri dispositivi, aggiornarne i software, conoscere le nostre eventuali vulnerabilità, sono tutte azioni che devono far parte di un processo di monitoraggio senza fine e di gestione continua del rischio informatico.
I processi di monitoraggio e controllo non possono essere scoordinati, né isolati tra loro: vanno raccordati e coordinati attraverso delle azioni multidimensionali che coinvolgano tutti gli attori in gioco: pubblico, privato, ricerca.
Sensibilizzazione, formazione, comunicazione, lingua cyber comune, certificazione e impiego di best practice sono solo alcuni degli aspetti trasversali di questo complesso coordinamento.