I governi statali e locali da tempo non hanno i finanziamenti, e in alcuni casi la volontà, per rafforzare le loro difese informatiche, ma l’aiuto tanto necessario è in arrivo, grazie a 1 miliardo di dollari stanziati per la sicurezza informatica statale e locale nella legge bipartisan che il presidente Biden ha firmato in legge a novembre.
Che il finanziamento, anche se una piccola frazione della legge di $1,2 trilioni di prezzo complessivo — che stanzia anche $65 miliardi di euro per migliorare le infrastrutture a banda larga e altri $65 miliardi di euro per aggiornare la rete elettrica degli stati UNITI — è ancora significativo, che rappresenta il più grande investimento federale statale e locale di sicurezza informatica fino ad oggi, uno che i sostenitori dicono è urgente e lungo in ritardo.
“Al momento, solo 15 stati hanno un budget dedicato alla sicurezza informatica”, afferma Matt Pincus, direttore degli affari governativi presso la National Association of State Chief Information Officers (NASCIO). “Quelli che lo fanno stanno stanziando solo tra l’1% e il 3% della loro spesa IT complessiva per il cyber, rispetto al 10%- 20% del settore privato”.
I soldi non arriveranno abbastanza presto. Negli ultimi anni, i responsabili della sicurezza delle informazioni di stati, contee, città e agenzie municipali degli Stati Uniti sono stati sotto assedio. Innumerevoli agenzie governative sono state tenute in ostaggio da attacchi ransomware, che sono costati circa 18,8 miliardi di dollari in recupero e tempi di inattività in 30 stati in 2020 stati, il più recente anno completo disponibile. Gli attacchi hanno colpito 71 milioni di cittadini, secondo un rapporto del sito di sicurezza dei consumatori Comparitech.
Almeno 75 attacchi ransomware hanno preso di mira entità statali, locali e tribali solo nei primi cinque mesi di 2021. Gli hacker hanno persino cercato di infiltrarsi nei distretti idrici della San Francisco Bay Area, della California meridionale e della Florida centrale, tra gli altri. Se fossero riusciti a sfondare i deboli sistemi di accesso remoto, avrebbero potuto avvelenare l’approvvigionamento idrico locale.
Combattere una tempesta perfetta
Il finanziamento informatico appena coniato non sarà un'infusione di denaro una tantum. Sarà distribuito su quattro anni, passando da $ 200 milioni nel 2022 a un massimo di $ 400 milioni nel 2023 prima di diminuire di 2025.
“Il Congresso sta riconoscendo che le risorse devono andare verso i più vulnerabili”.Matt Pincus, direttore degli affari governativi, National Association of State Chief Information Officers (NASCIO)
In particolare, la legge richiede che il 80% del denaro vada ai governi statali e locali, che spesso hanno l'infrastruttura di sicurezza meno robusta. "Con questa disposizione, il Congresso sta riconoscendo che le risorse devono andare verso i più vulnerabili", dice Pincus. I governi statali e locali affrontano le stesse sfide che la Cybersecurity and Infrastructure Security Agency (CISA) e il Senato stanno trovando a livello federale.
I governi statali e locali dovranno superare alcuni ostacoli per accedere ai fondi. Devono presentare una proposta di spesa annuale al CISA per l'approvazione. Devono anche condividere l'onere finanziario con una partita dei fondi federali che aumenterà in modo incrementale da una corrispondenza locale del 10% di dollari federali in 2022 a una corrispondenza del 40% di 2025.
Questi sforzi varranno la pena, data la “tempesta perfetta” delle sfide informatiche dall’inizio della pandemia di COVID-19, afferma Rita Reynolds, Chief Information Officer presso la National Association of Counties (NACo).
“Il COVID ha intensificato il progresso delle soluzioni tecnologiche per le contee, ma allo stesso tempo ha creato un panorama molto più ampio per i cattivi attori da infiltrarsi”, afferma Reynolds. Con l’aumento di incidenti e violazioni, i premi assicurativi informatici sono in aumento, con gli assicuratori che spesso richiedono alle agenzie governative di mettere in atto pratiche protettive di igiene informatica come l’autenticazione a più fattori (MFA). "L'autenticazione a più fattori non è più un'opzione piacevole", afferma Reynolds. “È una necessità”.
Mentre tattiche come MFA e Zero Trust sono in cima alle liste dei desideri informatici di molti governi statali e locali, altre protezioni di sicurezza necessarie includono l’aggiornamento delle reti legacy, l’implementazione del monitoraggio in tempo reale, la protezione della vulnerabilità degli endpoint e la protezione dei domini “.gov” dedicati.
Più di un problema di finanziamento
Ci vorrà molto più del denaro per rafforzare la sicurezza dei governi statali e locali.
"La resilienza è fondamentale", afferma la rappresentante Yvette Clarke (D-N.Y.), presidente della sottocommissione per la sicurezza interna della Camera sulle minacce emergenti, la sicurezza informatica e la scienza e la tecnologia. “Gli avversari determinati hanno tutto il tempo del mondo per investire nella sconfitta delle difese della rete.” Clarke dice che gli stati dovrebbero mettere in atto piani di risposta agli incidenti informatici, in modo che le operazioni possano continuare se i sistemi sono compromessi.
In 2020, l’ultimo anno di dati disponibili, le vittime statali e locali di attacchi ransomware hanno registrato 773 giorni di operazioni governative perse a causa del crimine informatico e degli sforzi di recupero. Le risorse chiave del governo, come le utility e i servizi 911 , sono diminuite. Una stima pone il prezzo medio per i tempi di inattività a $ 8.662 al minuto. E il numero di attacchi all’anno continua a crescere.
I governi erano preoccupati per il furto di dati personali da parte degli hacker. Ora un hacker potrebbe "chiudere un intero stato", dice Pincus di NASCIO. "Non è più un problema IT", afferma. “È una questione di continuità del governo”.
[Leggi anche: L'ex CIO del Texas afferma che gli stati devono aiutare a combattere il ransomware]
Con il requisito che i governi statali e locali corrispondano ai finanziamenti federali, la scelta di investire nel mantenere le luci digitali accese spetterà a ciascuna entità del settore pubblico. Si tratta di gruppi perennemente a corto di liquidità, con budget che ora si riducono ulteriormente a causa dei costi aggiuntivi legati alla pandemia. Pincus dice che se un'agenzia governativa non vuole contribuire con la piccola percentuale del disegno di legge - l'anno prossimo la partita è ancorata a solo il 10% - non sarà in grado di richiedere una sovvenzione. “Questo è denaro sprecato e un’opportunità sprecata”, crede.
In altre parole, mentre 1 miliardo di dollari stanziati nella nuova legge sulle infrastrutture ha costruito una rampa per migliorare la sicurezza informatica statale e locale, è una questione aperta se i legislatori accelereranno nella corsia di sorpasso.
I primi segni di interesse arriveranno all’inizio del 2022 , quando i governi statali e locali stipuleranno le loro priorità annuali. Nel bel mezzo di una pandemia, l’ironia è che molte delle loro discussioni si svolgeranno online su reti vulnerabili piuttosto che in uffici legislativi ancora chiusi.
