All’inizio di settembre, la contea di Suffolk, la quarta contea più grande dello Stato di New York, è stata vittima di un attacco ransomware che ha messo fuori uso il sistema 911 della contea e altri servizi e ha rischiato di provocare la fuga di oltre 4 terabyte di dati rubati. Nel mese di ottobre, alcuni hacker di lingua russa hanno preso di mira l’aeroporto La Guardia di New York, a pochi mesi di distanza dall’attacco sferrato da hacker sostenuti dal governo cinese alle reti di almeno altri sei governi statali statunitensi.
Solo nei primi sei mesi del 2022 , 27 attacchi contro enti del settore pubblico statunitense hanno comportato il pagamento di quasi 220 milioni di dollari a titolo di riscatto per il ransomware “ ” . Questi attacchi non mostrano alcun segno di rallentamento.
Le organizzazioni del settore pubblico hanno molte meno possibilità di difendersi dagli attacchi informatici quando operano in modo isolato. Ma quando uniscono le forze per sviluppare una strategia a livello statale che coinvolga tutti i livelli, da quello statale a quello locale, in collaborazione con il settore privato, le probabilità cominciano a volgere a loro favore.
La mia recente nomina a vicepresidente del Forum dello Stato di New York dell’ (si apre in una nuova scheda), un’iniziativa di collaborazione pubblico-privata nel settore IT che coinvolge agenzie statali, contee e città, mi offre una prospettiva privilegiata sulla situazione. Il gruppo di lavoro sulla sicurezza del forum ha individuato l’approccio “a livello statale” come tema chiave e sta attualmente cercando relatori per gli eventi con l’obiettivo di informare, collaborare e condividere idee.
Superare gli ostacoli
La sicurezza informatica a livello statale è un approccio che pone l’accento sulla collaborazione tra i vari dipartimenti e le agenzie al fine di mitigare le minacce alla sicurezza informatica. Abbattendo le barriere tra i vari settori della pubblica amministrazione, questa metodologia consente alle entità di condividere risorse e informazioni in materia di sicurezza informatica al fine di migliorare il proprio livello di sicurezza collettivo.
Supponiamo che una contea sia sotto attacco. Grazie all’adozione di una strategia a livello statale, il personale addetto alla sicurezza informatica e alle operazioni IT dell’ in tutto lo Stato può condividere rapidamente informazioni su come difendere le rispettive organizzazioni e impedire che gli attacchi prendano piede.
Uno dei miei obiettivi principali per il Forum dello Stato di New York è quello di aiutare le organizzazioni pubbliche e private a collaborare per affrontare le complesse sfide nel settore dell’informatica. Per quanto riguarda il settore pubblico, tra i partecipanti figurano città, contee e lo Stato, nonché istituti scolastici, enti tribali e altre organizzazioni del settore pubblico. Per quanto riguarda il settore privato, contiamo circa 90 aziende associate, che spaziano dalle startup più piccole ai più grandi integratori di sistemi.
Il forum rappresenta un’occasione per i responsabili e il personale del settore IT di collaborare e instaurare rapporti mentre affrontano problemi complessi, quali la creazione di un unico quadro di riferimento per l’identità in tutti i servizi statali e la difesa contro attacchi informatici in continua evoluzione.
Detto questo, l’approccio non è semplice. In uno Stato di grandi dimensioni come lo Stato di New York — con 62 contee, centinaia di città e decine di enti pubblici — ho individuato quattro sfide principali nell’attuazione di un approccio a livello statale.
1. Superare la politica
Alcuni ritengono che la sicurezza informatica non abbia nulla a che vedere con la politica, ovvero che le reti siano al servizio di tutti, indipendentemente dalla loro appartenenza politica. Ed è vero. Ciononostante, talvolta le amministrazioni locali non hanno accettato l’aiuto dello Stato a causa di divergenze politiche. Ma la situazione può cambiare rapidamente quando i leader governativi vedono le contee limitrofe alle prese con interruzioni dei servizi a seguito di un attacco.
«Le organizzazioni del settore pubblico hanno molte meno possibilità di difendersi dagli attacchi informatici quando operano in modo isolato.”
Ho riscontrato inoltre una certa riluttanza a condividere informazioni relative alle vulnerabilità. Sono poche le organizzazioni disposte a condividere informazioni su un attacco ransomware, per poi essere additate come esempio da non seguire in materia di difesa della rete.
Parte della mia missione in seno al forum consiste nell’aiutare a instaurare un clima di fiducia tra i partecipanti alla nostra strategia a livello statale: fiducia nel fatto che gli esperti ascolteranno il personale IT locale, che la loro disponibilità a condividere gli insuccessi non sarà penalizzata e che le informazioni saranno condivise in modo trasparente. Desidero instaurare un clima di fiducia riunendo le persone e incoraggiandole a collaborare per risolvere i problemi che riguardano tutti noi.
2. Attrarre e trattenere i talenti
Una delle principali sfide per le organizzazioni del settore pubblico consiste nell’ attrarre e trattenere i talenti nel campo della sicurezza informatica (si apre in una nuova scheda). Secondo la sezione dedicata a New York della mappa sul divario di competenze “ ” (si apre in una nuova scheda) su Cyberseek.org, oltre un terzo di tutte le posizioni nel settore della sicurezza informatica nello Stato di New York non viene ricoperto, nonostante il fatto che gli analisti di sicurezza informatica alle prime armi nello Stato possano guadagnare più di 140.000 dollari (si apre in una nuova scheda) all’anno.
«Esiste un mondo sommerso di consulenti che lavorano da un incarico all’altro mettendo a frutto le proprie competenze informatiche, scegliendo con cura le migliori opportunità per ottenere la tariffa oraria più vantaggiosa», afferma Kevin Carpenter, direttore senior dello sviluppo aziendale presso MVP Consulting ed ex presidente della tavola rotonda aziendale sull’IT del New York State Forum. “Durante la pandemia di Covid, quando il lavoro da casa è diventato la norma, la ricerca di talenti al di fuori del proprio codice postale ha permesso di acquisire esperienze e competenze che in passato non erano disponibili. Ora che stiamo entrando nel mondo post-pandemia, gran parte di questi talenti ha deciso: «No, non voglio più stare seduto a una scrivania ad Albany come facevo un tempo», e stanno dando le dimissioni in massa.
Anche i professionisti della sicurezza informatica più altruisti sceglieranno ciò che è meglio per la propria carriera e per le proprie famiglie. Se il settore pubblico non è in grado di soddisfare le loro esigenze, i talenti si rivolgeranno altrove. Uno dei vantaggi di una strategia a livello statale è che, collaborando tra loro, gli enti pubblici di dimensioni più ridotte possono avvalersi di esperti informatici altamente qualificati, senza doverli assumere direttamente.
3. Il raggiungimento della standardizzazione
Un’altra difficoltà è rappresentata dalla mancanza di standardizzazione, nella maggior parte degli Stati, delle modalità con cui ci si difende dai criminali informatici. È evidente che non esiste un unico metodo per garantire la sicurezza informatica. Tuttavia, il fatto di riunirsi offre ai partecipanti l’opportunità di definire standard unificati, quali ad esempio le competenze da ricercare nelle assunzioni, le modalità per mappare la superficie di attacco di ciascuna organizzazione e le procedure per la raccolta dei dati relativi agli attacchi. Se nel vostro Stato esistono 50 modi diversi di fare una cosa, diventa molto più difficile agire rapidamente — o agire tout court.
Il settore privato ha un ruolo importante da svolgere nella definizione degli standard. Le migliori aziende tecnologiche collaborano con il settore pubblico e offrono soluzioni che possono essere facilmente integrate in sistemi eterogenei.
4. Ottenere maggiori finanziamenti
L'attuazione di una strategia a livello statale non è gratuita. Sebbene gran parte del lavoro iniziale consista nel costruire relazioni e fiducia, a un certo punto le organizzazioni devono implementare strumenti e tecnologie. A New York siamo fortunati, poiché lo Stato ha stanziato 61,9 milioni di dollari per misure di sicurezza informatica nel bilancio statale n. 2023 e altri 30 milioni di dollari per aiutare le amministrazioni locali a implementare difese informatiche di alta qualità. Nel mese di ottobre, il governatore Hochul ha annunciato ulteriori 246 milioni di dollari di finanziamenti federali per contrastare, tra le altre minacce, gli attacchi informatici al sistema elettorale dello Stato.
«[Grazie a un approccio a livello statale], i dirigenti possono avvalersi di competenze di alta qualità in materia di sicurezza informatica senza dover aumentare l’organico — e potrebbero persino risparmiare sui premi delle loro assicurazioni contro i rischi informatici.”
I sostenitori a livello statale possono inoltre fare riferimento al disegno di legge federale sulle infrastrutture da 1,2 trilioni di dollari, che aumenta la spesa pubblica per la sicurezza informatica di quasi 2 miliardi di dollari. Le amministrazioni statali, locali, tribali e territoriali possono utilizzare i finanziamenti per proteggere meglio i dati sensibili e le infrastrutture critiche, rispondere più rapidamente alle violazioni della sicurezza informatica e adottare altre misure volte a rafforzare le difese informatiche. Gli Stati che instaurano rapporti di collaborazione tra i propri enti statali e locali possono mettere in comune le proprie risorse finanziarie per raggiungere obiettivi comuni.
Rendere realtà l’approccio a livello statale
In passato, molti enti pubblici si sono mostrati riluttanti a migliorare la sicurezza informatica nella misura necessaria. La minaccia degli attacchi ransomware ha attirato la loro attenzione, ma lo stesso vale per l’aumento del costo delle assicurazioni contro i rischi informatici. Quest'anno, la contea di Clinton, nello Stato di New York, ha pagato quasi 50.000 dollari per la propria copertura assicurativa contro i rischi informatici. L’assicuratore della contea ha comunicato ai dirigenti di prevedere un premio stimato di 72.000 dollari per 2023, con un aumento di quasi il 50%.
Un modo importante con cui gli enti pubblici possono evitare tali aumenti astronomici consiste nel dimostrare di stare adottando misure concrete per contrastare gli attacchi informatici — e di disporre dei dati a sostegno di tale affermazione. Anche i college, le università e i laboratori statali che ricevono finanziamenti esterni stanno constatando che molti enti finanziatori stanno iniziando a richiedere lo stesso tipo di documentazione. Operando in sinergia con una strategia a livello statale, gli enti pubblici possono apprendere come ridurre i premi, ad esempio implementando l’autenticazione multifattoriale, la valutazione del rischio e una raccolta dati ottimizzata.
Nel definire una strategia a livello statale, le organizzazioni possono iniziare condividendo le pratiche di base in materia di sicurezza informatica , per poi passare alla condivisione di strumenti e tecnologie e collaborare allo sviluppo di strategie di difesa informatica. Infine, possono aiutarsi a vicenda a contrastare gli attacchi informatici in tempo reale. Grazie a questa collaborazione, i dirigenti hanno accesso a competenze di alto livello nel campo della sicurezza informatica senza dover aumentare l’organico e potrebbero persino risparmiare sui premi delle loro assicurazioni contro i rischi informatici.
Al momento, la nazione è divisa, e questa divisione può impedirci di organizzare una difesa unitaria contro i nostri nemici. Se il nostro Paese fosse attaccato da una forza militare convenzionale, metteremmo da parte le nostre divisioni politiche e lavoreremmo insieme come americani. Gli attacchi informatici che stiamo subendo nei settori pubblico e privato, a tutti i livelli di governo, costituiscono di fatto una forma di guerra moderna .
Per far fronte a minacce in rapida escalation, i responsabili della sicurezza delle organizzazioni del settore pubblico di uno Stato devono unirsi ai propri colleghi — dal livello più basso a quello più alto — per ascoltarsi a vicenda, aiutarsi reciprocamente e instaurare rapporti di collaborazione. Sebbene la tecnologia sia molto importante, una mentalità collaborativa è ancora più fondamentale. Adottando una strategia che coinvolga l’intero Stato, i leader possono accelerare il loro percorso comune verso un solido sistema di sicurezza in grado di far fronte alle minacce incombenti.
