Da tempo i governi statali e locali non dispongono dei fondi necessari, e in alcuni casi nemmeno della volontà, per rafforzare le proprie difese informatiche; tuttavia, è in arrivo un aiuto indispensabile, grazie a 1 miliardo di dollari stanziati per la sicurezza informatica a livello statale e locale nell’ambito della legge bipartisan sulle infrastrutture “ ” , che il presidente Biden ha firmato a novembre.
Tale finanziamento, sebbene rappresenti solo una piccola frazione del costo complessivo della legge, pari a 1,2 trilioni di dollari — che stanzia inoltre 65 miliardi di dollari per il potenziamento delle infrastrutture a banda larga e altri 65 miliardi di dollari per l’ammodernamento della rete elettrica degli Stati Uniti — è comunque significativo, in quanto costituisce il più grande investimento federale mai effettuato fino ad oggi nella sicurezza informatica a livello statale e locale, un investimento che, secondo i sostenitori, è sia urgente che atteso da tempo.
«Al momento, solo 15 Stati dispongono di un bilancio dedicato alla sicurezza informatica», afferma Matt Pincus, direttore degli affari governativi presso l’Associazione Nazionale dei Responsabili Informatici degli Stati (NASCIO). «Coloro che lo fanno destinano alla sicurezza informatica solo una quota compresa tra l’1% e il 3% della propria spesa IT complessiva, rispetto a una quota compresa tra il 10% e il 20% nel settore privato.»
Quei soldi non arriveranno mai abbastanza presto. Negli ultimi anni, i responsabili della sicurezza informatica degli Stati, delle contee, delle città e degli enti municipali degli Stati Uniti si sono trovati sotto pressione. Innumerevoli enti governativi sono stati vittime di attacchi ransomware, che hanno comportato un costo stimato di 18,8 miliardi di dollari in termini di costi di ripristino e tempi di inattività in 30 Stati nel 2020, l’ultimo anno completo per cui sono disponibili dati. Secondo un rapporto pubblicato dal sito dedicato alla sicurezza dei consumatori Comparitech, gli attacchi hanno colpito 71 milioni di cittadini.
Solo nei primi cinque mesi del 2021 si sono verificati almeno 75 attacchi ransomware rivolti contro enti statali, locali e tribali. Gli hacker hanno persino tentato di infiltrarsi nei distretti idrici dell’ , nell’area della Baia di San Francisco, , nella California meridionale e , nella Florida centrale, tra gli altri. Se fossero riusciti a violare sistemi di accesso remoto poco sicuri, avrebbero potuto contaminare la rete idrica locale.
Affrontare una tempesta perfetta
I nuovi finanziamenti destinati alla sicurezza informatica non costituiranno un'iniezione di liquidità una tantum. Si articolerà su un arco di quattro anni, passando da 200 milioni di dollari nel 2022 a un massimo di 400 milioni di dollari nel 2023 , per poi diminuire progressivamente a partire dal 2025.
«Il Congresso sta riconoscendo che le risorse devono essere destinate alle persone più vulnerabili.”Matt Pincus, direttore degli affari governativi, Associazione Nazionale dei Responsabili Informatici Statali (NASCIO)
In particolare, la legge prevede che il 80% dei fondi sia destinato alle amministrazioni statali e locali, che spesso dispongono delle infrastrutture di sicurezza meno solide. «Con tale disposizione, il Congresso riconosce che le risorse devono essere destinate alle persone più vulnerabili», afferma Pincus. Le amministrazioni statali e locali si trovano ad affrontare le stesse sfide che l’Agenzia per la sicurezza informatica e delle infrastrutture (Cybersecurity and Infrastructure Security Agency, CISA) dell’e l’Ufficio per la sicurezza informatica e delle infrastrutture ( ) del Senato stanno affrontando a livello federale.
Le amministrazioni statali e locali dovranno superare alcuni ostacoli per poter accedere ai fondi. Devono presentare alla CISA una proposta di spesa annuale per l’approvazione. Devono inoltre condividere l’onere finanziario con un contributo di pari importo rispetto ai fondi federali, che aumenterà gradualmente passando da un contributo locale pari al 10% dei fondi federali nel 2022 a un contributo pari al 40% entro il 2025.
Questi sforzi saranno ampiamente ripagati, vista la “tempesta perfetta” di sfide informatiche che si è abbattuta dall’inizio della pandemia di COVID-19, afferma Rita Reynolds, responsabile informatico presso l’Associazione Nazionale delle Contee (NACo).
«Il COVID ha accelerato lo sviluppo di soluzioni tecnologiche per le contee, ma allo stesso tempo ha creato un contesto molto più ampio in cui i malintenzionati possono infiltrarsi», afferma Reynolds. Con l’aumento degli incidenti e delle violazioni, i premi delle assicurazioni contro i rischi informatici stanno aumentando e gli assicuratori richiedono spesso alle agenzie governative di adottare misure di protezione e di buona prassi informatica , quali l’autenticazione a più fattori (MFA). «L’autenticazione a più fattori non è più un semplice optional», afferma Reynolds. «È una necessità.»
Sebbene soluzioni quali l’autenticazione a più fattori (MFA) e il modello “zero trust” figurino in cima alla lista delle priorità in materia di sicurezza informatica di molte amministrazioni statali e locali, altre misure di protezione necessarie includono l’aggiornamento delle reti legacy, l’implementazione del monitoraggio in tempo reale, la protezione endpoint delle vulnerabilità e la messa in sicurezza dei domini dedicati “.gov”.
Non si tratta solo di una questione di finanziamenti
Ci vorrà ben più del denaro per rafforzare la sicurezza delle amministrazioni statali e locali.
«La resilienza è fondamentale», afferma la deputata Yvette Clarke (D-N.Y.), presidente della sottocommissione per le minacce emergenti, la sicurezza informatica, la scienza e la tecnologia della Commissione per la sicurezza interna della Camera dei Rappresentanti. «Gli avversari determinati hanno tutto il tempo del mondo da dedicare al superamento delle difese di rete.» Clarke sostiene che gli Stati membri dell’ e dovrebbero adottare piani di risposta agli incidenti informatici, in modo che le operazioni possano proseguire anche in caso di compromissione dei sistemi.
Nel 2020, l’ultimo anno completo per il quale sono disponibili dati, le vittime statali e locali di attacchi ransomware hanno registrato 773 giorni di interruzione delle attività governative a causa della criminalità informatica e delle operazioni di ripristino. Le principali risorse pubbliche, quali i servizi di pubblica utilità e i servizi 911 , hanno smesso di funzionare. Secondo una stima di , il costo medio dei tempi di inattività è pari a 8.662 dollari al minuto. E il numero di attacchi all’anno continua ad aumentare.
In passato i governi erano preoccupati dal fatto che gli hacker potessero sottrarre dati personali. «Un hacker potrebbe ora “paralizzare un intero Stato”», afferma Pincus della NASCIO. «Non si tratta più di una questione informatica», afferma. «Si tratta di una questione di continuità governativa.»
Data l’esigenza che le amministrazioni statali e locali contribuiscano con fondi pari a quelli federali, la scelta di investire per garantire il funzionamento dei servizi digitali spetterà a ciascun ente del settore pubblico. Si tratta di gruppi che versano in condizioni di costante carenza di liquidità, con bilanci ormai ancora più ridotti a causa dei costi aggiuntivi legati alla pandemia. Pincus afferma che, qualora un ente governativo non intenda contribuire con quella piccola percentuale della spesa — il prossimo anno il contributo è fissato al 10% — non potrà presentare domanda di sovvenzione. «Si tratta di denaro sprecato e di un’occasione sprecata», sostiene.
In altre parole, sebbene il miliardo di dollari stanziato nella nuova legge sulle infrastrutture abbia gettato le basi per un miglioramento della sicurezza informatica a livello statale e locale, resta da vedere se i legislatori decideranno di passare alla corsia di sorpasso.
I primi segnali di interesse si manifesteranno all’inizio del 2022 , quando le amministrazioni statali e locali definiranno le proprie priorità annuali. Nel pieno di una pandemia, l’ironia è che molte delle loro discussioni si svolgeranno online, su reti vulnerabili, anziché negli uffici legislativi ancora chiusi.
