La corretta protezione delle infrastrutture critiche sembra ancora una sfida difficile da gestire. Gli operatori di infrastrutture critiche sono vitali per la nostra società: essi forniscono servizi cruciali come l’energia, le telecomunicazioni, i trasporti e l’acqua. Servizi di cui non possiamo fare a meno e la cui interruzione risulta impattante sulla sicurezza dei singoli Paesi.
Ne consegue che, a fronte del proliferare degli attacchi cyber, è quanto mai urgente e fondamentale implementare misure di cyber security e garantire la sicurezza a livello Paese.
Indice degli argomenti
Una questione di cyber security e resilienza “orchestrata”
La cyber security è sempre più importante quando si tratta di infrastrutture critiche dal momento che potenziali vulnerabilità pongono rischi sostanziali per la funzionalità e l’efficienza di tali infrastrutture che hanno un impatto diretto su Stati, economie e società.
Le infrastrutture critiche dipendono dai sistemi IT (Information Technology) e OT (Operational Technology) per la gestione, la sorveglianza e il controllo. Inoltre, i sistemi di controllo industriale (ICS) – chiamati anche SCADA (Supervisory Control and Data Acquisition) – sono essenziali per garantirne la funzionalità. Inoltre, il supporto remoto dei fornitori, se da un lato riduce i costi e previene le inefficienze, dall’altro lato rende le infrastrutture più vulnerabili in termini di data breach e cyber attack.
Pertanto, gli operatori di infrastrutture critiche devono migliorare la propria cyber security attraverso la segmentazione delle reti, il monitoraggio delle porte inutilizzate, l’applicazione delle patch, la sostituzione periodica delle password, la gestione degli accessi e via dicendo.
Pertanto, le misure di sicurezza e di protezione diventano essenziali in un ambiente sempre più complesso, interconnesso e in continua evoluzione, soprattutto considerando che i cyber attack sfruttano le vulnerabilità nei sistemi di infrastrutture critiche per ottenere informazioni rilevanti, per assumere il controllo di un’attività o di un’intera infrastruttura, fino a paralizzarla.
Normative di supporto alla gestione delle infrastrutture critiche
L’UE ha raggiunto, recentemente, un accordo politico su nuove regole con una portata più ampia per obbligare i fornitori di infrastrutture critiche a:
- proteggere i propri sistemi;
- promuovere la cooperazione internazionale nel cyber spazio;
- facilitare la condivisione delle informazioni e l’intelligence;
- garantire un approccio più olistico.
La Direttiva Network & Information Security 2 (NIS 2)
Di prossima approvazione, è da considerarsi un aggiornamento della Direttiva NIS vigente, atta a:
- rafforzare i requisiti di sicurezza;
- migliorare la sicurezza delle supply chain;
- semplificare gli obblighi di segnalazione;
- stabilire sia misure di supervisione più rigorose sia requisiti di applicazione più severi.
La NIS2 prevede l’obbligatorietà della creazione di un “Gruppo della Resilienza delle Infrastrutture Critiche” per supportare la Commissione europea nella cooperazione strategica e nello scambio di informazioni, oltre che a valutare le varie strategie.
Inoltre, la direttiva NIS2 aggiorna l’elenco dei settori soggetti agli obblighi in materia di cybersicurezza. Ovvero, essa si applicherà sia alle infrastrutture critiche identificate dalla prima NIS sia a tutti i soggetti – di medie e grandi dimensioni – che operano in settori critici (i.e. social media, gestione delle acque di scarico, spazio, produzione di materiale sanitario, servizi postali, alimentare e PA a livello centrale e regionale). Sono esclusi i soggetti operanti nei settori di difesa, pubblica sicurezza e giustizia.
La NIS2 prevede la creazione della rete europea EU-CyCLONe delle organizzazioni nazionali di riferimento per le crisi informatiche in modo da garantire la gestione coordinata degli incidenti di cyber sicurezza su vasta scala.
Sarà obbligatorio segnalare – entro le 24 ore – l’impatto di un attacco informatico che compromette il funzionamento del servizio o la divulgazione di dati sensibili (unitamente alle azioni che si intende intraprendere per mitigare il danno) all’autorità competente ed ai soggetti che usufruiscono il servizio. Inoltre, un report dettagliato dovrà essere inviato all’autorità pubblica di competenza, entro le 72 ora dalla scoperta dell’attacco, indicando informazioni in termini di severità dell’impatto, indicatori di compromissione e altri dettagli tecnici.
Gli inadempimenti da parte degli Stati membri comporteranno sanzioni severe:
- fino ad un massimo di 10 milioni di euro o di 2% dei ricavi a livello globale per entità essenziali;
- fino ad un massimo di 7 milioni di euro e 1.4% di ricavi a livello mondiale per entità importanti.
La NIS 2, inoltre, prevede il coinvolgimento di ENISA (European Union Agency for Cybersecurity) per strutturare una base-dati europea di vulnerabilità conosciute, sul modello del National Vulnerability Database (NVD) americano.
Minacce alla cyber security: le tendenze per la seconda metà del 2022
La Direttiva RCE (Resilience of Critical Entities)
In fase di approvazione, riguarderà 11 aree a rischio tra cui: pericoli naturali, attacchi terroristici, minacce interne e sabotaggi, eventuali emergenze di salute pubblica come la recente pandemia di COVID-19.
Gli Stati membri dovranno effettuare ogni quattro anni la valutazione del rischio delle loro infrastrutture critiche, verificando quali sistemi sono critici per le nostre società, per le nostre economie, per la nostra sicurezza in generale, in modo da individuare le possibili vulnerabilità, segnalare gli incidenti ed attuare i miglioramenti necessari.
Gli Stati membri dovranno assicurarsi che gli operatori delle infrastrutture critiche adottino misure tecniche e organizzative per garantire la loro resilienza, in termini di:
- prevenzione degli incidenti;
- protezione fisica delle aree sensibili;
- mitigazione delle conseguenze degli incidenti;
- recupero dagli incidenti;
- gestione della sicurezza dei dipendenti;
- aumento della consapevolezza della resilienza tra il personale.
Le nuove normative a livello EU obbligano i singoli Paesi dell’area a garantire, da un lato, il miglioramento dei servizi essenziali per la collettività propedeutico ad aumentarne la resilienza e, dall’altro lato, il rafforzamento del livello comune di cyber security in modo da gestire la crescente interconnessione tra il mondo fisico e quello digitale e, al contempo, progettare valide strategie di sicurezza nazionali e comunitarie.
Resilienza delle infrastrutture critiche: un cammino sine die
La resilienza delle infrastrutture critiche è garantita dalla calibrata sintesi dei principi di Risk Management, Business Continuity & Cybersecurity.
Gli obiettivi
Un cammino sine die, che comporta essere in grado di “anticipare l’inaspettato” attraverso un processo continuo di conoscenza atto ad acquisire la consapevolezza del proprio stato e fissare i propri obiettivi di resilienza attraverso:
- l’analisi dei rischi;
- l’implementazione di una governance della sicurezza;
- la progettazione dell’Operational Resilience;
- la definizione di un’architettura di Operation Security;
- la garanzia della sicurezza dei software di base;
- il controllo adeguato dell’accesso ai sistemi;
- la misurazione continua della sicurezza;
- la garanzia di un’adeguata formazione;
- la programmazione periodica di esercitazioni.
In sintesi
Ogni Paese dovrà essere in grado di riconoscere qualsiasi minaccia, di saperla gestire e di implementare adeguate strategie atte a:
- Migliorare la sicurezza delle informazioni, la privacy dei dati e le pratiche di sicurezza informatica all’interno delle infrastrutture critiche.
- Incoraggiare le organizzazioni a investire, a sostituire/aggiornare asset “obsoleti”, adottando un approccio di “sicurezza e privacy-by-design”
- Sostenere gli sforzi degli Stati membri per includere obbligatoriamente misure sulla cybersicurezza nei loro piani nazionali di valutazione del rischio.
- Sensibilizzare e promuovere ampie discussioni nei settori critici, poiché la cooperazione e la fiducia tra le parti interessate (pubbliche-private) e gli Stati membri sono aspetti fondamentali quando si tratta di sicurezza informatica, a causa dei potenziali effetti a cascata e transfrontalieri.
- Scambiare le migliori pratiche tra gli Stati membri in materia di identificazione, mitigazione e gestione dei rischi informatici ai sensi della direttiva NIS2, RCE e CRA.
Conclusioni
Non esiste una pozione magica che permetta di preservare completamente le infrastrutture critiche dagli attacchi informatici; tuttavia, l’implementazione di good practices di risk management, business continuity unite ad una visione globale della cyber security può contribuire a garantire la cyber resilience delle infrastrutture critiche.
In futuro sarà sempre più necessario garantire partnership pubblico-private e, al contempo, sviluppare una stretta collaborazione tra i vari Paesi dell’area europea, condividendo informazioni e attività di intelligence.
Di fatto, abbiamo bisogno di un approccio più olistico a livello di UE, dato che la necessità di rafforzare i sistemi di difesa delle infrastrutture critiche è ormai diventata un’urgenza imprescindibile.
