Mese nazionale della sicurezza e della resilienza delle infrastrutture critiche
Novembre è il Mese nazionale della sicurezza e della resilienza delle infrastrutture critiche, e non c’è momento migliore per sottolineare l’importanza di garantire la sicurezza di una delle infrastrutture più critiche della nostra nazione: il settore energetico.
Sebbene spesso lo diamo per scontato, il nostro stile di vita dipende dalla sicurezza e dalla stabilità del settore energetico del nostro Paese. Le recenti segnalazioni di attacchi informatici alle infrastrutture energetiche in tutto il mondo, tra cui la rete elettrica ucraina (si apre in una nuova scheda) e una centrale nucleare in Germania (si apre in una nuova scheda), evidenziano il rischio a cui è esposto il nostro settore energetico: le violazioni potrebbero comportare non solo il furto di dati, ma anche danni fisici.
Le nostre infrastrutture energetiche statunitensi si trovano in una situazione particolarmente critica. Da un lato, la maggior parte della nostra rete elettrica si basa ancora su tecnologie obsolete. L’American Society of Civil Engineers ha riferito (si apre in una nuova scheda) che il 70 % delle linee di trasmissione del nostro Paese ha più di 25 anni. D'altra parte, la tecnologia sta trasformando il modo in cui opera l'intero settore energetico. I dispositivi energetici presenti nelle nostre abitazioni e nei nostri edifici, i sistemi di controllo delle centrali elettriche e quelli che gestiscono gli oleodotti e i gasdotti sono sempre più connessi a Internet — spesso senza le misure di sicurezza necessarie per garantirne la protezione e la gestione. Sono disponibili online oltre 89.000 sistemi di controllo industriale, molti dei quali presentano misure di sicurezza minime. Data la natura interconnessa del settore energetico e la rapidità virale dei social media, il blocco anche di un solo di questi sistemi potrebbe causare il panico tra la popolazione e sollevare preoccupazioni riguardo alla resilienza della rete elettrica.
Elemento fondamentale per ridurre il rischio
La chiave per ridurre tale rischio risiede nella collaborazione tra le aziende energetiche e gli enti governativi, che va oltre i confini stabiliti dalla North American Electric Reliability Corporation-Critical Infrastructure Protection (NERC-CIP). Fortunatamente, stiamo osservando segnali provenienti da tutto il settore che indicano che si stanno adottando le misure necessarie per rafforzare la collaborazione internazionale.
Otto grandi società energetiche internazionali, tra cui Shell e la norvegese Statoil, hanno avviato una collaborazione con l’ente di certificazione del settore DNV GL per elaborare linee guida specifiche in materia di sicurezza informatica per il settore. Nello specifico, elaboreranno una linea guida per i sistemi di automazione e controllo industriale, che potrebbe diventare uno standard di settore entro un anno. Questa collaborazione rappresenta un segnale positivo per il settore, e incoraggio un maggior numero di aziende a partecipare a questa iniziativa.
Tuttavia, per migliorare realmente la sicurezza informatica, è necessario un cambiamento culturale più ampio all’interno delle aziende del settore energetico — e tale cambiamento deve partire dalla sala del consiglio di amministrazione (si apre in una nuova scheda). I membri del consiglio di amministrazione e gli amministratori delegati devono comprendere i rischi informatici a cui sono esposti e quali misure possono adottare per mitigarli. Alcuni segnali iniziali indicano che ciò stia avvenendo. Un recente rapporto del Consiglio Mondiale dell’Energia, The Road to Resilience – Managing Cyber Risk (si apre in una nuova scheda), afferma che le aziende del settore energetico riconoscono sempre più gli attacchi informatici come una minaccia fondamentale per la propria attività.
Conclusione
Sebbene questo cambiamento culturale debba partire dall’interno di un’organizzazione, anche in questo caso le imprese e il governo possono fare molto per ridurre il proprio rischio informatico condividendo tra loro le informazioni sulle minacce. Molti attacchi potrebbero essere prevenuti se le aziende (e gli enti governativi) disponessero di linee guida che specificassero esattamente quali informazioni dovrebbero condividere e con chi dovrebbero condividerle. Tuttavia, le aziende temono spesso che vengano intraprese azioni legali nei loro confronti qualora segnalino una violazione; oppure, peggio ancora, non sono in grado di agire sulla base delle informazioni o degli indicatori forniti a causa di infrastrutture e strumenti obsoleti. Si tratta di una questione che la prossima Amministrazione dovrebbe affrontare per promuovere una maggiore collaborazione tra il settore pubblico e quello privato.
Ci troviamo in un momento cruciale, in cui la nostra rete elettrica sta subendo rapidi cambiamenti e un numero sempre maggiore di dispositivi energetici connessi a Internet entrerà in funzione. Meanwhile, the oil and gas industries are expected to spend $1,87 billion (opens in a new tab) on cybersecurity annually by 2018—a sign that they are taking the threat seriously. Ma la spesa non è la soluzione definitiva. Al contrario, una combinazione di collaborazione e un cambiamento nella nostra cultura, volta a impegnarsi nell’aggiornamento delle tecnologie obsolete, contribuirà in misura ben maggiore a migliorare la nostra sicurezza.
Informazioni sull’autore: Nel suo ruolo di direttore della sicurezza presso Tanium, Andre McGregor si occupa in particolare di sicurezza informatica. Egli possiede una profonda conoscenza delle tecniche informatiche di natura criminale e di controspionaggio utilizzate per attaccare le reti e le infrastrutture informatiche degli Stati Uniti. Prima di entrare a far parte dell’ Tanium, Andre ha ricoperto il ruolo di agente speciale dell’FBI specializzato in crimini informatici a New York City, per poi essere promosso ad agente speciale supervisore presso la sede centrale dell’FBI. Presso l’FBI, McGregor ricopriva il ruolo di agente tecnico senior e di responsabile principale della gestione degli incidenti in occasione di diverse intrusioni informatiche su larga scala. Inoltre, ha ricoperto il ruolo di referente dell’FBI per la sicurezza informatica presso le Nazioni Unite, nonché di referente dell’FBI per la sicurezza informatica presso il DHS, l’US-CERT e l’ICS-CERT. Prima di entrare nell’FBI, McGregor ha frequentato la Brown University, ha iniziato la sua carriera presso Goldman Sachs e successivamente ha ricoperto il ruolo di direttore IT presso Advogent (Cardinal Health), dove era responsabile di tutte le operazioni IT a livello nazionale. Nel tempo libero, Andre ricopre anche il ruolo di consulente tecnico e dell’FBI per la serie “Mr. Robot”.
