Secondo l’Osservatorio “Cybersecurity e certificazione” di Accredia, nella cyber security le imprese certificate offrono maggiore sicurezza.
Lo studio congiunto con il Cybersecurity National Lab del Cini afferma che i vendor dei dispositivi connessi certificati devono sottostare a maggiori obblighi, offrendo più garanzie ad aziende e consumatori. “Questa certificazione risponde a un obbligo normativo, quindi un requisito di legge che principalmente riguarda gli operatori di servizi essenziali ovvero per le infrastrutture critiche che devono usare prodotti autorizzati. Poiché non è possibile autorizzare ogni prodotto, si ricorre alla certificazione”, commenta Alessio Pennasilico, Information & Cyber Security Advisor presso P4I: “Il plauso va al direttore dell’Agenzia per la cybersicurezza nazionale (Acn), Roberto Baldoni, per la strategia pubblicata nei mesi scorsi”.
Indice degli argomenti
Osservatorio Accredia: più cybersecurity con le imprese certificate
La connessione a Internet rappresenta il punto di forza dei dispositivi IoT e smart (come videocamere per smart home eccetera), ma anche il loro principale punto debole.
Può avere vulnerabilità sia hardware che software un oggetto che diventa connesso e comunica grazie ai protocolli internet per lo scambio dei dati e, dunque, delle informazioni tra un dispositivo IoT e un sistema di gestione smart.
I dispositivi IoT finora subivano facilmente cyber attacchi, perché le aziende che li sviluppavano e costruivano prestavano in genere scarsa attenzione agli aspetti di cybersecurity. Ma qualcosa sta cambiando grazie all’introduzione della certificazione ISO/IEC 27001 e alla strategia dell’Agenzia per la cybersicurezza nazionale.
“Strategia che rappresenta l’ennesimo tassello che afferma che stiamo andando nella direzione giusta”, continua Alessio Pennasilico.
Secondo lo studio dell’Osservatorio “Cybersecurity e certificazione” di Accredia, dunque, emerge l’importanza della certificazione per le imprese che operano nel settore.
Le aziende certificate ISO/IEC 27001 sono risultate meno esposte al rischio di cyber attacchi rispetto a quelle dotate di sola certificazione ISO 9001. Su 1.207 vulnerabilità scoperte sui servizi web, 524 erano nel primo campione (43%) e 683 nel secondo (57%).
Tuttavia “di bollini sul mercato ce ne sono n: alcuni come la ISO/IEC 27001 riguardano il modo in cui un’azienda gestisce internamente alcuni processi”, spiega Pennasilico. “Altre certificazioni, invece, riguardano i prodotti: in questi casi il bollino comunica agli acquirenti che una telecamera connessa richiede un nome utente e una password e che è possibile modificare la password”. La certificazione dà più sicurezza alle imprese che comprano un dispositivo IoT certificato.
L’importanza della certificazione per un ecosistema più sicuro
In Italia le aziende con la certificazione ISO/IEC 27001 hanno registrato un aumento del 21% in un anno. Hanno raggiunto quota 3.474 le imprese certificate ISO/IEC 27001.
A rilasciare la certificazione sono 20 Organismi di certificazione accreditati, secondo Accredia, 5 Laboratori di test accreditati per svolgere vulnerability assesment e 687 professionisti certificati come responsabili della protezione dei dati personali (DPO).
“Non è la certificazione in sé a dire che l’azienda e il prodotto sono più sicuri, ma dice che abbiamo messo in piedi un metodo che ci permetterà di garantire che i dispositivi e i software saranno sempre più sicuri, perché c’è qualcuno che controlla, esegue monitoraggio e dunque migliora in generale l’ecosistema”, conclude Pennasilico. “Il miglioramento dell’ecosistema significa che tendenzialmente ci saranno meno attacchi e che chi usa dispositivi connessi certificati sarà meno vulnerabile ed esposto a cyber minacce per un motivo. Se un ricercatore rileva una vulnerabilità per la videocamera connessa che ho comprato oggi, essa è esposta ad attacchi. Però in assenza di certificazione la videocamera rimaneva senza aggiornamento per anni. Ora la certificazione garantisce che il produttore dovrà rilasciare la patch e chi la scarica e installa subito mette in sicurezza il suo prodotto certificato”.
I vendor dei dispositivi connessi certificati devono sottostare a maggiori obblighi ed essere più veloci nel rilasciare patch urgenti. La certificazione costringe i vendor dei dispositivi connessi a risolvere con maggiore tempestività vulnerabilità rispetto alle aziende non certificate. Chi acquista prodotti (IoT, smart home eccetera) da imprese certificate, dunque, ottiene una protezione maggiore ed è meno esposto a cyber minacce rilevate.
Perimetro cyber, operativo il processo di certificazione: quali implicazioni
ACN, Baldoni: l’Europa va nella direzione giusta
In occasione dell’evento di presentazione dello studio sull’importanza delle certificazioni in materia di cyber security, il Direttore dell’Agenzia per la Cybersicurezza Nazionale, Roberto Baldoni, e il Presidente di Accredia, Prof. De Felice, hanno quindi firmato la Convenzione per gestire gli accreditamenti degli organismi di valutazione della conformità (organismi di certificazione, di ispezione e laboratori di prova) che operano per garantire la cybersicurezza verso soggetti pubblici e privati.
“Le certificazioni di cybersicurezza”, ha dichiarato Roberto Baldoni, direttore dell’Agenzia per la cybersicurezza nazionale, “sono il mezzo per aumentare il livello di sicurezza dei prodotti e dei servizi informatici a disposizione dei cittadini e delle imprese, all’interno del mercato italiano ed europeo”.
“L’Europa sta mettendo a punto gli schemi iniziali di certificazione di servizi cloud e delle tecnologie 5G e l’Italia non deve farsi cogliere impreparata”, ha contnuato il Direttore dell’ACN.
“La convenzione di oggi dà attuazione alle disposizioni del Cybesecurity ACT europeo in materia di accreditamento della rete di laboratori nazionale di certificazione” conclude il Direttore Baldoni riferendosi alla rete di laboratori dedicata ai prodotti del mercato europeo che si aggiunge a quella dei “laboratori di prova” previsti all’interno del perimetro di sicurezza nazionale cibernetica. Queste due reti saranno l’ossatura del sistema di certificazione e valutazione nazionale.
Che la cyber sicurezza sia diventato un problema complesso per le aziende lo sottolinea anche il Presidente di Accredia, Prof. De Felice: “L’accelerata innovazione tecnologica in atto ne amplia il perimetro problematico: nei dettagli tecnici, nella normativa, per le risposte che si si dovranno dare a livello istituzionale”.
“Siamo fermamente convinti che una più stretta sinergia tra accademia, istituzioni e comparto privato sia indispensabile per rafforzare la sicurezza del ‘sistema Italia’, inteso come la complessità delle sue infrastrutture informatiche che costituiscono un vero e proprio asset strategico per il paese”, è invece il commento di Paolo Prinetto, direttore del Cybersecurity National Lab: “In tal senso va la collaborazione del Laboratorio con Accredia: un altro passo avanti concreto verso la prevenzione degli incidenti informatici e la creazione di un Paese sempre più resiliente agli attacchi nel cyberspace”.
