Mentre venerdì le Nazioni Unite celebrano la Giornata mondiale dell’acqua , per sensibilizzare l’opinione pubblica sulle questioni idriche globali, i funzionari statunitensi mettono in guardia da un’ondata di attacchi informatici ai sistemi idrici e fognari in tutto il Paese, riaccendendo le preoccupazioni circa la vulnerabilità di questo settore spesso trascurato e sottofinanziato.
Una riunione straordinaria dei vice responsabili statali per la sicurezza interna tenutasi giovedì, una lettera congiunta inviata martedì dalla Casa Bianca e dall’Agenzia per la protezione dell’ambiente (EPA), nonché un’audizione del Congresso tenutasi a gennaio hanno tutte sottolineato la necessità di rafforzare la difesa informatica del settore idrico; ciò a seguito del fatto che, a novembre, gli investigatori hanno attribuito una serie di attacchi a hacker sostenuti dall’Iran e l’FBI ha segnalato minacce in corso provenienti dalla Cina.
Per una parte così cruciale della nostra infrastruttura, le misure di protezione sono tristemente insufficienti.
«Le reti idriche e fognarie rappresentano un obiettivo allettante», hanno scritto l’amministratore dell’EPA Michael Regan e il consigliere per la sicurezza nazionale Jake Sullivan nella lettera inviata ai governatori degli Stati per metterli in guardia dagli attacchi informatici iraniani e da potenziali attacchi futuri da parte di un gruppo sostenuto dalla Cina. In troppe strutture idriche, hanno scritto, “non sono state adottate nemmeno le misure di sicurezza informatica di base” e ciò “può fare la differenza tra il normale svolgimento delle attività e un attacco informatico devastante”.
Si considerino i dati più recenti:
- 150.000 – Il numero di aziende idriche che forniscono acqua potabile e servono (insieme a 16.000 sistemi pubblici di trattamento delle acque reflue) fino al 90% degli americani (EPA, CISA)
- Meno del 25% – La percentuale di operatori del settore idrico e delle acque reflue che effettuano valutazioni annuali dei rischi legati alla sicurezza informatica (EPA)
- 25% – La percentuale stimata dei sistemi idrici mondiali che, secondo le previsioni, avranno subito una violazione della sicurezza informatica entro il 2025. (GHD)
- 98% – La percentuale di attacchi informatici che potrebbero essere prevenuti o ridotti al minimo adottando misure di sicurezza informatica di base (EPA)
Tenendo presenti queste statistiche che fanno riflettere, abbiamo preparato qui una breve guida introduttiva alla sicurezza informatica nel settore idrico, che include una rassegna degli attacchi più recenti e delle audizioni governative, oltre a una vasta gamma di consigli e risorse tratti dagli archivi del punto di riferimento dell’ , .
[Legga anche: Che cos’è la resilienza informatica?] (si apre in una nuova scheda)
Sul fronte delle risorse idriche (e delle acque reflue): hacker e audizioni
Il mese scorso, l’Agenzia per la sicurezza informatica e le infrastrutture degli Stati Uniti ( ) ha imposto sanzioni a sei funzionari iraniani collegati a un gruppo di hacker che lo scorso autunno ha preso di mira diverse aziende idriche statunitensi, tra cui l’Autorità municipale per l’acqua di Aliquippa, in Pennsylvania. In quel caso, gli hacker hanno disattivato i monitor digitali della pressione dell’acqua, costringendo i responsabili dell’impianto a passare ai comandi manuali. Sebbene il servizio abbia continuato a funzionare senza interruzioni e la qualità dell’acqua sia rimasta sicura, si è trattato di un caso in cui si è rischiato grosso, soprattutto considerando che molte autorità idriche non dispongono di tali sistemi di comando manuale.
«Il settore idrico, e in particolare quello delle acque reflue, non è certo un campo affascinante.»Rick Jeffares, presidente della Georgia Rural Water Association
A gennaio, Veolia North America, che gestisce i sistemi idrici e fognari in 200 comunità degli Stati Uniti, ha segnalato un attacco ransomware ai danni della propria divisione municipale per l’approvvigionamento idrico, che ha compromesso alcune delle sue applicazioni software per la gestione delle fatture e potrebbe aver esposto i dati personali di un “numero limitato” di persone.
Tutto ciò è stato al centro dell’attenzione in occasione di una recente audizione dal titolo “ ” ( ) tenutasi presso la Commissione per l’Energia e il Commercio della Camera dei Rappresentanti, durante la quale i rappresentanti delle associazioni di categoria hanno esortato il Congresso ad approvare una legge o a stanziare fondi per aiutare le aziende di servizi idrici a ottenere formazione in materia di sicurezza informatica e aggiornamenti software. Le precedenti leggi, quali la Legge n. 2002’s sul bioterrorismo e la Legge n. 2018’s sulle infrastrutture idriche, prevedevano finanziamenti per individuare i punti deboli, ma ben poco in termini di interventi correttivi. «Ehi, abbiamo individuato un problema: dove sono le risorse per risolverlo?» ha dichiarato Cathy Tucker-Vogel, responsabile della sezione per l’approvvigionamento idrico pubblico del Dipartimento della Salute e dell’Ambiente del Kansas ed ex presidente dell’Associazione degli amministratori statali per l’acqua potabile.
A seguito dell’audizione, l’American Water Works Association, un’associazione di categoria che conta circa 50.000 membri, ha avviato una serie di incontri con i responsabili politici per sollecitare l’approvazione di un modello normativo collaborativo elaborato da esperti del settore idrico, che sarà supervisionato dall’EPA. Anziché una normativa uguale per tutti, ciò offrirebbe un quadro articolato su più livelli, che tenga conto della natura (e delle capacità) eterogenea delle aziende idriche, osserva Kevin M. Morley, responsabile delle relazioni federali dell’AWWA, in un’intervista esclusiva concessa a Focal Point.
«[Abbiamo bisogno di] requisiti di sicurezza informatica ragionevoli che puntino su soluzioni pratiche, protettive e attuabili», afferma Morley. «Confidiamo che nei prossimi mesi venga presentata una proposta di legge».
La posta in gioco non potrebbe essere più alta – e ricade su una forza lavoro che sta invecchiando.
«Quando compro un nuovo cellulare, ho bisogno che mia nipote me lo configuri», ha ammesso Rick Jeffares, presidente della Georgia Rural Water Association, durante la sua testimonianza davanti al Congresso. Non che tutti coloro che lavorano per un’azienda idrica siano disorientati dalla tecnologia, ma è innegabile che la forza lavoro delle aziende idriche stia invecchiando. L’età media di un operatore del settore idrico in Georgia è di 58 anni, ha affermato Jeffares. Inoltre, in tutto il settore idrico degli Stati Uniti, i lavoratori tendono ad avere un’età più avanzata rispetto ad altri settori e, secondo un rapporto dell’EPA del 2020 , nei prossimi anni migliaia di essi raggiungeranno l’età pensionabile.
Questo problema demografico di fondo limita in larga misura l’azione politica. Inoltre, i bilanci ridotti limitano la possibilità di offrire stipendi competitivi in grado di attrarre nuove leve.
Poi, naturalmente, c’è il fattore “disgusto”.
«Il settore idrico, e in particolare quello della gestione delle acque reflue, non è certo un settore affascinante», ha ammesso Jeffares.
Tali evidenti problemi di reclutamento hanno spinto la NRWA a collaborare con il Dipartimento del Lavoro degli Stati Uniti alla realizzazione di un programma di apprendistato. La prossima generazione di operatori del settore idrico sarà sicuramente più esperta in materia di sicurezza informatica, ma nel frattempo è essenziale impegnarsi a favore di programmi di formazione completi e di una corretta igiene informatica , ha sottolineato.
IT e OT H2O
L'acqua sta diventando sempre più tecnologica di minuto in minuto. La convergenza tra tecnologia dell’informazione (IT) e tecnologia operativa (OT) ha consentito al personale delle aziende di servizi pubblici, sempre più ridotto, di gestire da remoto le infrastrutture critiche . L’ e nell’automazione ha quindi salvato il settore, ma lo rende anche sempre più vulnerabile agli attacchi informatici.
«. Le aziende idriche sono bloccate in un “canyon digitale”.»Kevin M. Morley, responsabile delle relazioni con le autorità federali, AWWA
Le autorità idriche sono oggi spesso gestite tramite sistemi di monitoraggio remoto, che utilizzano software, hardware e reti di dati per controllare pompe, valvole, sensori e i processi di distribuzione e trattamento. Gli hacker possono sfruttare tali componenti per, ad esempio, spegnere le pompe che forniscono acqua potabile (come è avvenuto ad Aliquippa a novembre) o contaminare le riserve idriche (come nel famigerato attacco « 2021 » contro un impianto di trattamento delle acque a Oldsmar, in Florida, dove un hacker non ancora identificato ha alterato il livello di idrossido di sodio – noto anche come liscivia – un incidente rapidamente individuato e risolto dal personale dell’impianto, ma che ha destato grave preoccupazione tra gli esperti di sicurezza informatica).
Tali beni materiali comportano alcune difficoltà di natura fiscale.
«Le aziende idriche si trovano in una sorta di canyon digitale», ha affermato Morley nella sua testimonianza davanti al Congresso. L’OT che gestisce pompe e motori, ha spiegato, si è rivelato «incapace di stare al passo con i progressi dei sistemi aziendali, che vengono aggiornati alle nuove versioni a un ritmo molto più rapido».
Le autorità idriche devono implementare strumenti completi di gestione dell’ endpoint a per favorire una migliore visibilità su , la gestione delle, l’applicazione delle , gli aggiornamenti di e le misure di conformità normativa . In alcuni casi, ha aggiunto Morley, le infrastrutture OT obsolete richiederanno un progetto di investimento di tipo “rip and replace”, reso più oneroso dal fatto che tali servizi devono continuare a funzionare durante l’esecuzione degli interventi di aggiornamento.
“Water-as-a-service”: una nuova soluzione commerciale (e controversa)
Negli ultimi anni, alcuni Stati (Indiana, Missouri, California, New Jersey e Tennessee) hanno approvato leggi volte a rafforzare le misure di protezione della sicurezza informatica delle reti idriche. In altri Stati (Pennsylvania, Maryland) una legge sul “ ” è stata respinta quando i disegni di legge sostenuti da società idriche private hanno suscitato la reazione delle autorità idriche pubbliche, le quali hanno affermato che tali disegni di legge non erano altro che tentativi malcelati di favorire la privatizzazione, il che avrebbe inevitabilmente comportato un aumento delle tariffe a carico dei consumatori.
Sebbene ciò possa essere vero, la portata e l’ampiezza di questo problema suggeriscono che potrebbe essere necessaria una soluzione articolata, frutto di uno sforzo congiunto tra settore pubblico e privato. E i sistemi idrici autonomi stanno suscitando crescente interesse.
Così afferma Riggs Eckelberry, “ CEO ” di OriginClear, il quale intende creare un potente e redditizio “Airbnb dell’acqua”, privatizzando il trattamento delle acque e finanziandolo con rendite idriche ad alto rendimento garantite da attività. Lo scorso anno Eckelberry è intervenuto nel podcast “ ” (), prodotto da “Focal Point” e dedicato a “ ” (), disponibile all’indirizzo Let’s Converge, , e le sue opinioni appaiono ancora più attuali alla luce dell’accresciuto senso di urgenza che caratterizza il contesto odierno.
«Nel 2016, quando ho iniziato a parlare di gestione decentralizzata delle risorse idriche, la gente reagiva dicendo: “Eh? «Cosa?»” Eckelberry ha ricordato. «Oggi la gente sta cominciando a capirlo. «Sempre più persone sono consapevoli del fatto che l’autosufficienza è estremamente importante».
In qualità di presidente e direttore operativo della società di software di sicurezza CyberDefender, Eckelberry ha guidato l’azienda verso la quotazione al NASDAQ. Ora è ottimista riguardo al modello “acqua come servizio”, ovvero “acqua su richiesta”, una soluzione che consente ai complessi residenziali e alle imprese, in particolare alle piccole imprese, di trattare autonomamente la propria acqua. È proprio questa mentalità high-tech orientata alla rivoluzione che spiega perché «Airbnb ha soppiantato gli hotel e Uber i taxi», afferma. «E accadrà in acqua.»
[Per saperne di più: Ep. 5: La verità sugli hacker e (sì) sul vostro WC]
In che modo le password e le buone pratiche di sicurezza informatica possono aiutare i sistemi di approvvigionamento idrico e di trattamento delle acque reflue
Infrazioni di base, quali una scarsa sicurezza delle password e sistemi operativi obsoleti, hanno avuto un ruolo in molti di questi attacchi. Ad Aliquippa, gli investigatori della CISA hanno scoperto che l’ente idrico utilizzava ancora un software con la password predefinita dal produttore, ovvero “ “1111” ”.
È il momento di portarsi le mani al viso.
È un ottimo promemoria per i dirigenti aziendali di ogni parte del mondo: non si sottolineerà mai abbastanza l’importanza delle norme di base in materia di sicurezza informatica.
Certo, non si tratta esclusivamente di un problema legato ai dipendenti. I lavoratori ricorrono alle scorciatoie per un motivo ben preciso. Le procedure di accesso complesse e altre operazioni di rete inducono il personale a ricorrere a soluzioni alternative. La soluzione? I dirigenti aziendali devono migliorare l’esperienza digitale dei propri dipendenti , una strategia che può contribuire a mantenere una forza lavoro ibrida più produttiva e a ridurre lo stress del reparto IT.
Ma torniamo alle password… è fondamentale trovare il giusto equilibrio tra sicurezza e praticità. Scoprite questi quattro miti fondamentali sulle password che vale la pena sfatare.
[Continua a leggere: Gli esperti di Tanium sfatano i miti più diffusi sulle password]
Finanziamenti per il settore idrico e delle acque reflue: i segreti per ottenerli
, referente del progetto, ha illustrato le nozioni di base su come richiedere una parte del fondo di 1 miliardo di dollari stanziato dal Programma statale e locale di sovvenzioni per la sicurezza informatica in un articolo pubblicato su “” in 2022 e in un episodio del podcast “Let’s Converge” lo scorso anno. La concorrenza per il terzo anno di finanziamento sta per diventare più agguerrita, pertanto gli operatori del settore idrico dovrebbero iniziare a pianificare fin da ora. Aprire canali di comunicazione con i leader della contea rappresenta un buon primo passo.
Per ulteriori consigli su come affrontare il processo di candidatura e per un’analisi sull’andamento del programma fino ad oggi, vi invitiamo a consultare il nostro aggiornamento sul SLCGP pubblicato a gennaio.
Per segnalare un incidente:
Tutte le organizzazioni sono tenute a segnalare eventuali incidenti di sicurezza informatica, effettivi o sospetti, a…
- CISA – Per il Centro Operativo 24/7 dell’agenzia, inviate un’e-mail all’indirizzo report@cisa.gov oppure chiamate il numero 888-282-0870.
- FBI – Si rivolga all’ufficio locale dell’FBI più vicino oppure segnali eventuali informazioni all’indirizzo tips.fbi.gov.
Per ulteriori risorse sulla sicurezza informatica nel settore idrico e delle acque reflue
Eric Goldstein, vicedirettore esecutivo della CISA per la sicurezza informatica, definisce il settore dell’acqua e delle acque reflue «ricco di obiettivi, ma povero in termini di sicurezza informatica». È vero – per ora. Tuttavia, una vasta gamma di risorse e strumenti può contribuire a invertire la tendenza. Si consideri una delle seguenti opzioni:
Agenzia per la protezione dell'ambiente (EPA)
- Valutazione della sicurezza informatica e assistenza tecnica – L’EPA offre valutazioni gratuite e riservate in materia di sicurezza informatica e assistenza tecnica, fornite in collaborazione con Horsley Witten Group, una società di consulenza ingegneristica e ambientale.
- Esercitazione teorica sulla sicurezza informatica (TTX) – Questa guida dettagliata illustra come le aziende di servizi idrici e fognari possano progettare la propria esercitazione teorica.
- Lista di controllo per la gestione degli incidenti di sicurezza informatica – Innanzitutto, un piano di risposta agli incidenti solido come una roccia richiede rapidità. Questo PDF offre proprio questo: concepito per garantire “praticità in ogni situazione”, suddivide le istruzioni in tre sezioni “pronte all’uso” da consultare in caso di incidenti informatici che colpiscano gli impianti idrici e di trattamento delle acque reflue. C'è persino spazio per aggiungere le proprie note e le proprie informazioni di contatto. (È inoltre possibile trovare liste di controllo relative all’approvvigionamento idrico e alla gestione delle acque reflue in caso di incendi boschivi, inondazioni, tornado e altre emergenze sul sito , all’indirizzo.)
- Migliori pratiche in materia di sicurezza informatica per il settore idrico – Questa galleria offre una vasta gamma di informazioni e link a risorse relative al settore idrico e delle acque reflue che trattano temi quali i finanziamenti, la formazione, la pianificazione in materia di sicurezza informatica e altro ancora.
Agenzia per la sicurezza informatica e delle infrastrutture (CISA)
- Centro risorse sulla sicurezza informatica nel settore idrico e delle acque reflue – Questa raccolta di link fornisce informazioni aggiornate sulle opportunità di finanziamento, oltre alle ultime notizie relative al ransomware “ ”, alle truffe di phishing “ ” e ad altre questioni.
- Guida alla gestione degli incidenti nel settore idrico e delle acque reflue – Pubblicata a gennaio in collaborazione con l’FBI e l’EPA, questa nuova guida completa accompagna gli operatori del settore idrico e delle acque reflue attraverso le quattro fasi della gestione degli incidenti. Ma soprattutto, è scritto in un linguaggio accessibile a tutti: non è richiesta alcuna competenza tecnica.
- Obiettivi in materia di sicurezza informatica Performance – Una serie di misure di protezione intersettoriali destinate alle entità che gestiscono infrastrutture critiche, sia di grandi che di piccole dimensioni, volte a ridurre la probabilità e l’impatto delle minacce informatiche. Esso comprende una serie di best practice di riferimento in materia di sicurezza informatica e un quadro di riferimento per la maturità informatica ( Benchmark ) volto a misurare e migliorare la maturità informatica.
- Scansione delle vulnerabilità nell’ambito della “cyber igiene” – Offerto gratuitamente a qualsiasi sistema che si registri, questo servizio, in gran parte automatizzato, esegue scansioni e genera rapporti settimanali, evidenziando configurazioni non sicure e vulnerabilità note.
Istituto Nazionale di Standard e Tecnologia (NIST)
- Centro risorse per la sicurezza informatica (si apre in una nuova scheda) – Questa è la pagina principale, che contiene informazioni e collegamenti ai progetti, alle pubblicazioni, alle notizie e agli eventi relativi alla sicurezza informatica dell’ NIST, oltre a un glossario dei termini (le servirà).
- Il Cybersecurity Framework (CSF) 2,0 dell’ NIST (si apre in una nuova scheda) – Questa ultima versione, pubblicata il mese scorso, offre istruzioni complete e risorse supplementari per aiutare le organizzazioni a comprendere, valutare, stabilire le priorità e comunicare i rischi legati alla sicurezza informatica. Il quadro di riferimento di NIST costituisce la base degli obiettivi di sicurezza informatica ( Performance , CPG) della CISA ed è concepito per le imprese di tutti i settori.
- Controlli di sicurezza e privacy per sistemi informativi e organizzazioni (si apre in una nuova scheda) – Una pubblicazione dedicata alla sicurezza che offre gli ultimi aggiornamenti, modelli, fogli di calcolo e altre risorse pensate per fornire un piano personalizzabile per la gestione del rischio.
American Water Works Association (AWWA)
- Pagina iniziale dedicata alla sicurezza informatica e alle linee guida (si apre in una nuova scheda) – Un centro risorse online dedicato alla sicurezza informatica con una vasta gamma di informazioni per i sistemi idrici, tra cui le linee guida e lo strumento di valutazione della sicurezza informatica “ ” dell’AWWA: Pubblicato per la prima volta nel 2014, questo strumento interattivo, aggiornato regolarmente, pone alle aziende di servizi pubblici domande sulle tecnologie specifiche che utilizzano e genera un elenco personalizzato e ordinato per priorità di misure di controllo.
- Linee guida sulla gestione della sicurezza informatica nel settore idrico Risk per i piccoli sistemi (si apre in una nuova scheda) – Elaborata in collaborazione con il Dipartimento dell’Agricoltura degli Stati Uniti, questa “guida introduttiva” aiuta le piccole aziende di servizi pubblici rurali a valutare e attuare le migliori pratiche in materia di sicurezza informatica.
- Quadro normativo proposto (si apre in una nuova scheda) – L’AWWA ha sollecitato l’adozione di un quadro normativo simile a quello del settore elettrico, in cui un’organizzazione di servizi idrici elaborerebbe standard che sarebbero sottoposti alla supervisione e alla verifica dell’EPA.
