Quanto è a rischio oggi la sicurezza delle infrastrutture critiche? Se si legge il recente State of the Connected World 2023 del World Economic Forum (WEF), uno dei focus si concentra proprio sul tema della cyber security.
Il report sostiene che l’impatto finanziario degli attacchi ransomware dovrebbe costare al mondo 7.000 miliardi di dollari nel 2022, rendendo la criminalità informatica la terza economia mondiale dopo Cina e Stati Uniti.
Tra i punti fondamentali che i governi insieme a tutti gli stakeholder che operano nella filiera dell’IoT e dei dispositivi connessi sono chiamati ad affrontare, il documento cita i seguenti:
- quadri normativi poco sviluppati;
- rapida espansione dei mercati e delle aziende nel settore dell’IoT e delle tecnologie correlate;
- limitazioni tecniche;
- mancanza di conoscenza da parte degli utenti finali;
- incentivi insufficienti per le aziende a proteggere gli utenti;
- mancanza di standardizzazione.
Abbiamo chiesto di affrontare questi punti insieme ad Andrea Monteleone di Axis Communications. La società, parte del gruppo Canon, è specializzata in sistemi di videosorveglianza e di rete. Monteleone, in veste di Business Development Manager dell’azienda, segue i clienti EMEA che operano nell’ambito delle infrastrutture critiche.
Indice degli argomenti
Principali normative UE sul fronte della cyber security
«I quadri normativi nazionali sono ancora incompleti per forza di cose. Sono stati pubblicati una serie di regolamenti europei che poi devono ancora essere recepiti. Non si tratta di una sola norma, ma di diverse: dal Cyber Resilience Act alla Direttiva NIS2, passando per il regolamento DORA» ricorda il manager, elencando i principali provvedimenti emanati dall’Unione europea in materia di cyber security.
Se il legislatore sta cercando di mettere ordine all’interno di una disciplina in continuo divenire, è stata soprattutto la pandemia a rimarcare la nostra dipendenza dalla tecnologia, facendo da traino a un mercato che è esploso letteralmente.
Basti pensare che, dall’oggi al domani, la richiesta di figure esperte in cybersecurity è cresciuta in maniera esponenziale, come se non servisse un know-how specifico maturato nel corso degli anni.
Sul fronte delle limitazioni tecniche che secondo il report del WEF caratterizzerebbero sistemi e infrastrutture connessi, Monteleone mette in campo anche la sua esperienza di vicepresidente per la sicurezza in ANIE, la Federazione nazionale imprese elettrotecniche ed elettroniche che aderisce a Confindustria: «Le aspettative sui prodotti in termini di componentistica, progettazione e sicurezza intrinseca – quindi tutto ciò che afferisce al concetto di “security by design” e alla sicurezza della supply chain – sono diventate così stringenti da prendere in contropiede il mercato, soprattutto quando vengono coinvolte le PMI, tipiche del tessuto industriale italiano».
Dalla consapevolezza degli utenti alla standardizzazione delle tecnologie
Il problema della consapevolezza degli utenti finali non è solo di adesso. Semmai oggi è cambiata, aprendo la strada a una falsa percezione di sicurezza.
«Non è sempre chiaro l’uso dei servizi e delle tecnologie. Tutto ormai è così liquido e permeabile che, senza una piena percezione a livello sistemico, diventa impossibile gestire le varie risorse» dice ancora Monteleone che, per lo stesso motivo, diffida della politica degli incentivi.
«Spesso questo vantaggio temporaneo non è una strada che porta buoni risultati, soprattutto se l’incentivo è calato in un contesto destrutturato. Anzi, in questo caso può contribuire ad aumentare il livello di complessità di un sistema, ma senza fornire gli strumenti corretti e le capacità per gestirlo. E questo è in contraddizione con quanto specifica il Cyber Resilience Act e con linee guida della NIS2».
Un discorso a parte merita la standardizzazione delle tecnologie: «Ci sono ormai standard de facto, ma ciò che manca è una diffusa adozione degli standard aperti, tra l’altro auspicata a livello europeo, che permetta una migliore capacità di comunicazione tra sistemi eterogenei, sulla base di un substrato informatico condiviso, tale da rendere meglio gestibili eventuali criticità».
Se tutto questo si cala nella sfera delle infrastrutture critiche, le cose si complicano ulteriormente. La proliferazione di dispositivi IoT e IIoT in ogni contesto, da quelli casalinghi a quelli più critici, implica infatti un perimetro molto più vasto in termini di superficie di attacco a favore dei malintenzionati.
Doversi orientare tra una pletora di protocolli diversi, spesso proprietari e concepiti per contesti di utilizzo ben diversi da quelli attuali, diventa una sfida che in pochi possono permettersi di affrontare.
Sicurezza delle infrastrutture critiche, quali sono i settori interessati
La NIS2 fa un elenco molto dettagliato dei settori critici le cui infrastrutture devono essere protette, aggiungendo a quelli ritenuti di “elevata criticità” nella precedente NIS, altri definiti “importanti”.
Si tratta di una percentuale elevatissima di organizzazioni per le quali la dimensione aziendale non è più dirimente. Qualunque impresa che ricada nei settori indicati deve mettere in atto le indicazioni della Direttiva europea, pena l’essere sottoposta al suo quadro sanzionatorio. Per i soggetti “importanti” fino a 7 milioni di euro o 1,4% del fatturato, per quelli considerati “essenziali” fino a 10 milioni di euro o 2% del fatturato.
Al di là della normativa, per garantire la sicurezza delle infrastrutture di questa vasta platea di società occorre quello che Andrea Monteleone definisce «un approccio olistico» che sfrutti il know-how di tutti gli attori coinvolti, coinvolgendo in termini di responsabilità tutta la filiera.
In altri termini, «vendor, consulenti e progettisti, distributori e installatori devono lavorare in sintonia affinché un sistema funzioni e sia sempre possibile aggiornarlo nel tempo con modalità rapide ed efficaci».
Il che implica anzitutto che ci sia del personale formato adeguatamente. «La formazione che eroghiamo ad esempio non si limita a illustrare come si installano le telecamere, ma abbraccia l’intero processo – dalla messa in esercizio alla più complessa delle configurazioni – per renderle sicure all’interno dell’ecosistema presente presso il cliente finale. Questo, in aggiunta al fatto che sviluppiamo internamente i chip così come ogni software e firmware, nel rispetto delle più stringenti normative e best practice del settore, ci permette di offrire una risposta ad ogni esigenza».
Formazione e qualità progettuale, prima ancora del timore di incorrere in una sanzione, dovrebbero rappresentare delle buone prassi per garantire la sicurezza delle infrastrutture critiche.
Contributo editoriale sviluppato in collaborazione con Axis Communications
