In lingua inglese per 'Sicurezza' si utilizzano le due parole safety e security per indicare rispettivamente la protezione di persone e di beni da eventi incidentali (incendi, alluvioni, terremoti, ecc), oppure la protezione di persone e di beni da attacchi volontari e dipendenti dal fattore umano (rapine, aggressioni).
A livello operazionale, e possibile distinguere tra sicurezza “reale” e sicurezza “percepita”. Sebbene le due accezioni afferiscano allo stesso concetto di sicurezza, non sempre risultano sovrapponibili. La sicurezza reale si fonda su leggi matematiche e varia tenendo conto del rapporto tra la probabilità che si verifichi un determinato rischio, e le misure di prevenzione adottate. Ma la sensazione di sicurezza, in misura indipendente dall’oggettività delle situazioni reali che ogni individuo sperimenta nel corso della propria vita, e correlata anche alle percezioni di coloro che vivono determinate situazioni.
Utilizzando un termine mutuato delle scienze economiche la sicurezza consiste nell’effettuare dei “trade-off”, delle scelte, ovvero nel bilanciare diverse esigenze tra i guadagni in relazione ad un certo obiettivo, e le perdite in relazione ad un altro. Per tali motivi non e mai possibile parlare di sicurezza in senso assoluto.
La sicurezza nell’informatica equivale ad attuare tutte le misure necessarie per la protezione dei sistemi hardware e software e dei dati da accessi non autorizzati, siano essi intenzionali o meno. Lo scopo finale è raggiungere un livello di protezione elevato, per evitare che tali sistemi possano essere compromessi e che venga fatto un uso illecito dei dati.
Nel linguaggio moderno si parla di “cybersecurity” come sinonimo di sicurezza informatica o sicurezza ICT2. Di fatto la cybersecurity è la componente tecnologica della sicurezza delle informazioni. Con il proliferare delle tecnologie e delle comunicazioni digitali, è sorta la necessità di estendere la sicurezza a tali nuovi ambiti di applicazione, non solo a tutela del singolo individuo ma per la protezione dei gruppi ai quali questi appartiene, in ambito privato e/o a maggior ragione professionale (anche se questo concetto è, come noto, molto piu sfumato del passato).
Diviene pertanto fondamentale analizzare tutti i domini che fanno parte della cybersecurity, laddove alcuni risultano essere più specificamente tecnici, in relazione per esempio alle architetture o alla sicurezza fisica, altri invece riguardano maggiormente gli aspetti procedurali in relazione alla governance o gli standard, ovvero la parte normativa e di linee guida da prendere in considerazione per mantenere alto il livello di sicurezza. Assolutamente da non sottovalutare le aree afferenti in maniera più specifica alle persone, che come vedremo più avanti risultano essere, nella maggior parte dei casi, l’anello più debole di tutta la catena di sicurezza. Infatti, negli ultimi anni si è registrato un trend di crescita in relazione agli attacchi e agli incidenti di natura informatica. E necessario effettuare degli interventi anzitutto in ottica preventiva, ma anche di analisi delle vulnerabilità, nonché sviluppare sistemi che siano efficaci nel ripristinare un buon livello di sicurezza qualora l’attacco fosse già in atto o addirittura terminato.
Ma cosa si intende, quindi, con “minaccia cyber”?
Al di là delle numerose interpretazioni e sofismi, è prassi che per minaccia cyber si intenda l’insieme di condotte che possono essere realizzate nel e tramite il cyberspace, ovvero in danno di quest’ultimo e dei suoi elementi costitutivi (utenti compresi). Lo scenario che cambia. Secondo l’Agenzia europea per la sicurezza delle reti e dell’informazione (Enisa) nei primi sei mesi del 2020 le violazioni informatiche sono aumentate del 54% rispetto allo stesso periodo del 2019, con il 71% delle violazioni di dati che ha implicato una richiesta di denaro. Inoltre, in questo periodo storico molte persone stanno lavorando da casa, il perimetro della cybersecurity non e più limitato alla rete aziendale che si è allargata entrando nelle case dei dipendenti. Le ultimissime statistiche, anche dell’Fbi, ci avvertono che sono aumentati gli attacchi che sfruttano questa situazione: si e isolati, la rete di casa e meno sicura e anche l’utente nella propria abitazione ha una percezione di sicurezza che lo porta ad abbassare il livello di guardia che ha in ufficio. In aumento ci sono anche i malware che infettano i computer per chiedere un riscatto.
Gli aspetti peculiari nella cybersecurity
Differenza delle minacce tradizionali, quelle informatiche presentano caratteristiche peculiari, che mettono a dura prova la capacita degli stati di fronteggiarle in modo adeguato e ne rendono ardua l’azione repressiva:
- Compressione spazio-temporale: il breve intervallo di tempo che intercorre tra il lancio di un attacco informatico e le sue conseguenze, non consente di organizzare una pronta risposta;
- Trasversalità: e difficile individuare l’artefice dell’attacco, il quale può colpire a grandissima distanza dal bersaglio, da dovunque nel mondo, restando anonimo o comunque difficilmente localizzabile;
- Asimmetricità: l’attacco e asimmetrico perché la forza dei due “partecipanti” e di natura diversa;
- A-territorialità: la peculiarità del cybercrime, rispetto alla criminalità tradizionale risiede nella circostanza che le violazioni effettuate tramite il cyberspace sono di fatto prive di confini fisici e di limiti geografici, dunque spesso il crimine informatico e più conveniente, anche per via della mancanza della sua percezione fisica da parte della vittima;
- Continua mutevolezza: in virtù del costante progresso digitale.
ENISA (The European Union Agency for Network and Information Security) fornisce un framework per la tassonomia completa delle minacce e definisce ‘minaccia’ qualsiasi circostanza o evento che possa avere un impatto negativo su una risorsa attraverso l’accesso, la distruzione, la divulgazione, la modifica dei dati e/o il diniego di un servizio. Occorre tener presente che le minacce non sono rappresentate solo ed esclusivamente da attacchi fisici a infrastrutture, apparati e risorse hardware e software; esistono diverse minacce non IT altrettanto meritevoli della massima attenzione, quali la social engineering (ingegneria sociale) e lo spionaggio.
Di seguito una schematizzazione:
- gli ‘attacchi fisici’ sono rappresentati da azioni offensive finalizzate a distruggere, esporre, alterare, disabilitare, sottrarre o ottenere l’accesso non autorizzato a risorse fisiche come l’infrastruttura, l’hardware o l’interconnessione. Si tratta generalmente di atti di vandalismo, furto, sabotaggio, perdita di informazioni e attacchi massivi. Questo tipo di minaccia può ovviamente riguardare qualsiasi tipo di infrastruttura e dunque anche quella Internet;
- lo status di ‘insufficiente o mancato funzionamento’ dell’infrastruttura e definita come guasto o malfunzionamento. Ne sono esempi guasti o interruzioni di dispositivi di rete o sistemi, bug di software o errori di configurazione;
- le ‘interruzioni’ sono disordini inattesi del servizio o riduzione della qualità che scendono al di sotto di un livello richiesto;
- il ‘danno involontario’ o accidentale si riferisce a distruzione, danni fisici e perdite di informazioni per lo più dovuti ad alterazioni del sistema o all’utilizzo inadeguato dei sistemi;
- il ‘danno intenzionale’ si riferisce principalmente alle risorse IT; le minacce attengono sia alla perdita di dati che al danneggiamento dello stesso hardware;
- gli ‘abusi dissimulati’ sono azioni che mirano ai sistemi, alle infrastrutture e/o alle reti mediante azioni dannose; le minacce comuni sono generalmente definite come attacchi informatici e azioni correlate (ad es. spam, malware, spyware, botnet, manipolazione di hardware e software, alterazioni delle configurazioni, DDoS, ingegneria sociale, sfruttamento di bug software, violazione di dati, furto di identità);
- la ‘intercettazione’ e la ‘disattivazione’ si riferiscono ad azioni mirate ad ascoltare, interrompere o prendere il controllo di una comunicazione di terzi senza il consenso;
- le minacce ‘legali’ comprendono la violazione di norme e leggi, nonché il mancato rispetto dei requisiti contrattuali da parte di prestatori di servizi verso gli utilizzatori dell’infrastruttura di rete.
Le 3 “P” della cybersecurity
Come emerge da molte statistiche ed analisi nazionali ed internazionali, appare chiaro che la minaccia cyber agisce sfruttando le vulnerabilità organizzative, tecniche e delle persone, spesso in combinazione tra loro:
√ Le vulnerabilità organizzative e di processo sono riconducibili non solo alla mancata implementazione di misure per garantire la protezione da malware attraverso best practice e applicativi anti-virus aggiornati, ma anche all’assenza o alla non corretta attuazione di misure di sicurezza fisica che contemplino, ad esempio, la continuità del servizio e minimizzino l’impatto di eventi dannosi sull’infrastruttura fisica.
√ Le vulnerabilità tecniche, invece, sono dovute a falle di sicurezza del software applicativo, ovvero dei protocolli di comunicazione (con l’evoluzione tecnologica si manifestano anche nuove vulnerabilità tecniche, si pensi al Cloud, e i sempre più potenti dispositivi mobili). Suddette falle non sempre sono scoperte e risolte tempestivamente dai fornitori, e rimangono sfruttabili dai cyber criminali anche per lunghi tempi. Gli aggiornamenti disponibili per ovviare alle vulnerabilità software, le cd. “patch”, non sempre vengono installate per tempo, ed i motivi spesso sono organizzativi (chiaro esempio di combinazione tra due o più vulnerabilità): la non conoscenza della disponibilità di patch, la mancanza di procedure per il test del software, il non rinnovo dei contratti di manutenzione del software, causato in molte realtà dal perdurare della crisi economica.
√ Infine, si parla di vulnerabilità delle persone, perché spesso il punto debole e proprio “l’uomo”,
l’utilizzatore degli strumenti informatici, che per ignoranza o per superficialità costituisce il tallone d’Achille dell’intera struttura informatica di riferimento, rendendola vulnerabile.
In conclusione, possiamo pertanto parlare delle c.d. “3 P”: processi (o procedure), persone e prodotti (intesi come tecnologie). In realtà nessuna delle tre e più importante rispetto alle altre, ma tutte partecipano tra loro in maniera equilibrata per incrementare il livello di sicurezza e far fronte alle differenti tipologie di minacce che potrebbero presentarsi.
Gerardo Costabile
Amministratore Delegato
DeepCyber