Il 10 febbraio 2023, la Presidenza svedese del Consiglio dell’Unione Europea ha condiviso un progetto di legge volto ad apportare modifiche alla categorizzazione dei prodotti nell’ambito del Cyber Resilience Act e a stabilire parametri per la cybersicurezza dei dispositivi connessi.
Nello specifico, questo testo, visionato dalla rivista EURACTIV, ha come focus gli strumenti basati sull’Internet delle Cose (IoT) che si connettono e scambiano dati con altri dispositivi.
Armonizzare le regole UE per una cibersicurezza fondata sulla privacy
Indice degli argomenti
La classificazione dei dispositivi critici
Mentre per la maggior parte di questi apparecchi i produttori sono in grado di autovalutare la conformità ai requisiti richiesti, per altri prodotti specifici, considerati “critici” o “altamente critici”, si renderebbe necessaria una valutazione da parte di un audit esterno.
In base a quanto espresso nel documento rilasciato dal Consiglio, tra i prodotti considerati “critici” figurano quelli che svolgono una funzione chiave per la sicurezza, come l’autenticazione, la prevenzione delle intrusioni o la protezione della rete. In questa categoria sono inclusi:
- i software di rilevamento dei malware;
- gli strumenti di monitoraggio del traffico di rete per il controllo della capacità di trasmissione e del flusso;
- i meccanismi di gestione delle informazioni e degli eventi riguardanti la sicurezza;
- i sistemi di distribuzione degli aggiornamenti e delle patch;
- i firewall;
- i certificati digitali;
- i dispositivi domestici intelligenti dotati di funzionalità di sicurezza, come i sistemi di allarme.
Altri prodotti qualificati come “critici” sono quelli che svolgono un ruolo centrale nella gestione di un sistema più ampio, la ci compromissione avrebbe il potenziale di danneggiare varie funzionalità, tra cui la gestione della rete e il controllo della configurazione.
Questo sottogruppo riguarda, fra gli altri, i browser autonomi e incorporati, le interfacce di rete fisiche e virtuali, i router, i microprocessori e i microcontrollori.
La classificazione dei dispositivi altamente critici
Per quanto concerne invece gli apparecchi “altamente critici”, questi ultimi comprendono quelli che hanno un’importante funzione di sicurezza e sono centrali in un ambiente IoT esteso.
In questa classe di prodotti, sono inclusi:
- i sistemi di gestione delle identità;
- gli strumenti di autenticazione;
- le VPN;
- i sistemi di gestione della rete per la configurazione, il monitoraggio e l’aggiornamento dei dispositivi di rete;
- gli ipervisori;
- i microprocessori per gli elementi sicuri;
- i dispositivi basati su chip a prova di manomissione;
- i modelli di sicurezza hardware;
- i criptoprocessori sicuri;
- i lettori delle smartcard.
Certificati di sicurezza per la conformità dei dispositivi IoT
Per dimostrare la conformità ad alcuni dei requisiti presentati nel regolamento in oggetto, la Commissione potrebbe imporre che specifiche categorie di prodotti, come quelli considerati “altamente critici”, ottengano certificati di sicurezza con un livello “sostanziale” o “elevato”, secondo quanto previsto dal Cybersecurity Act.
Nella prima classificazione sono annoverate le attestazioni caratterizzate da specifiche tecniche, norme e procedure, compresi i controlli tecnici, che indicano un livello inteso a ridurre al minimo i rischi noti connessi alla cyber sicurezza e i rischi di incidenti e di attacchi informatici causati da soggetti dotati di abilità e risorse limitate (art. 52, co. 6).
Un certificato europeo di cyber sicurezza che si riferisca al livello di affidabilità «elevato» assicura che i prodotti, servizi e processi TIC, per i quali è rilasciato tale certificato posseggano un livello inteso a ridurre al minimo il rischio di attacchi informatici avanzati commessi da attori che dispongono di abilità e risorse significative (art. 52, co. 7).
Al fine di determinare per quali prodotti “altamente critici” siano richiesti questi certificati, EURACTIV ritiene che l’UE dovrà considerare se tali dispositivi possano perturbare le entità identificate nella NIS2 o le catene di approvvigionamento critiche per il mercato comunitario.
Individuazione delle vulnerabilità
Oltre alla designazione dei prodotti maggiormente esposti ai rischi informatici, l’attenzione delle istituzioni europee si starebbe altresì concentrando sull’individuazione delle vulnerabilità. Il 16 febbraio l’ENISA ha pubblicato un rapporto dal titolo Developing National Vulnerability Programmes in cui viene riportato lo stato del tracciamento delle criticità a livello europeo.
Secondo quanto emerso, malgrado i progressi fatti di recente, l’ecosistema dell’UE per la Divulgazione Coordinata delle Vulnerabilità (CVD) rimarrebbe frammentato. Belgio, Francia, Lituania e Paesi Bassi sarebbero gli unici Stati Membri dell’UE ad averne uno pienamente consolidato; altri quattro Paesi starebbero sperimentando progetti pilota; 10 starebbero attuando una politica nazionale in materia di CVD o si starebbero preparando a farlo; e altri 9 non avrebbero attuato una politica in tal senso e il processo per istituirla non sarebbero ancora iniziato.
Alcuni operatori avrebbero sviluppato politiche e programmi di vulnerabilità a livello di organizzazione. Tuttavia, fra le principali aspettative del settore c’è quella che la definizione di una CVD unitaria possa agevolare le aziende e le amministrazioni pubbliche a dare priorità alla gestione delle vulnerabilità e a incoraggiare pratiche di sicurezza più incisive.
Per quanto riguarda i progetti sullo studio delle vulnerabilità, i Bug Bounty Programs (BBP) sono uno strumento il cui utilizzo è cresciuto negli ultimi anni. Diverse aziende, come Intel, hanno adattato i loro modelli di business offrendo diversi tipi di servizi BBP, coperture di sistemi IT e livelli di coinvolgimento nei processi di gestione delle vulnerabilità.
Oggi i fornitori di questi servizi collaborano con le principali istituzioni pubbliche per gestire programmi personalizzati adattati alle rispettive esigenze e infrastrutture IT. Vi sarebbe un consenso generale sul fatto che questi programmi debbano essere considerati come elementi complementari al concetto di security-by-design.
Secondo l’ENISA, l’aumento delle interazioni tra tutti gli attori coinvolti nella catena di fornitura dei prodotti dovrebbe far sì che questo paradigma venga rafforzato. Allo stesso tempo, la security-by-design comporta importanti sfide soprattutto in termini di costi.
Questi ultimi potrebbero essere ridotti adottando una prospettiva che vede i BBP come soluzioni sostenibili grazie al loro contributo.
Software open source e gestione delle vulnerabilità
Un altro strumento ampiamente impiegato per rilevare le criticità sarebbero i software open source (OSS). Nel 2019, è stato rivelato che le applicazioni IT media erano costituite per il 70% da componenti open source.
Malgrado la loro diffusione, questi applicativi presenterebbero elementi contrastanti in merito al trattamento delle vulnerabilità al loro interno.
Da un lato, alcuni esperti affermano che le falle negli OSS dovrebbero essere più facili da affrontare attraverso un approccio cooperativo; gli OSS sarebbero altresì completamente pubblici, mentre i software proprietari potrebbero non rivelare alcune delle loro vulnerabilità.
Altri ricercatori, invece, sostengono che una divulgazione aperta delle vulnerabilità degli OSS possa portare a ulteriori vulnerabilità e creare un ecosistema più instabile e meno sicuro.
Per ovviare a questa contrapposizione, viene consigliata l’implementazione di una rete internazionale di coordinamento sulla gestione delle vulnerabilità. Questo strumento potrebbe facilitare la condivisione delle informazioni e sostenere l’implementazione di procedure congiunte tra gli Stati Membri.
Il valore del fattore umano per la cyber resilienza
In termini di capitale umano, sostiene il report, sarebbe interessante capire gli aspetti che motivano gli esperti e che favoriscono la loro crescita professionale.
Uno degli incentivi per questo fine sarebbe garantire la notorietà ai ricercatori, in quanto essi sperano di ottenere un guadagno in termini di reputazione. La notorietà potrebbe anche portare a referenze professionali, lettere di apprezzamento per gli studi realizzati o offerte lavorative.
Uno stimolo altrettanto importante sarebbe la tutela legale degli esperti, in particolar modo dei cosiddetti “hacker etici”. Con la garanzia di una chiarezza normativa, la protezione che deriva dalla segnalazione di una vulnerabilità attraverso i canali legali motiverebbe a evitare quelli illeciti.
Infine, l’investigazione rappresenterebbe un ulteriore stimolo a investigare le falle. Gli esperti di sicurezza cibernetica inseguirebbero infatti la sfida intellettuale che deriva dalla ricerca e dalla scoperta di vulnerabilità e l’opportunità di imparare per far progredire le proprie conoscenze e competenze.
