Dopo che i criminali informatici hanno violato il più grande gasdotto degli Stati Uniti, causandone la chiusura per diversi giorni e mettendo in allarme i mercati energetici e i consumatori, una cosa era certa: le infrastrutture critiche della nazione — e le tecnologie che le proteggono e ne garantiscono il funzionamento — presentano gravi carenze.
L’attacco ransomware ai danni di Colonial Pipeline, che ha costretto l’azienda a chiudere i suoi 5.500 miglia di oleodotto per diversi giorni, ha provocato un’impennata dei prezzi della benzina, ha indotto 17 stati a dichiarare lo stato di emergenza e ha spinto la popolazione del Sud-Est a fare acquisti dettati dal panico di benzina.
Il presidente Biden ha recentemente emanato un atteso decreto presidenziale intitolato “ ” ( ) volto a rafforzare le difese del governo federale in materia di sicurezza informatica. Tale provvedimento prevedeva nuovi standard di sicurezza per i fornitori di software federali e l’istituzione di un comitato federale incaricato di esaminare gli incidenti informatici.
L'attacco alla Colonial Pipeline è solo l'ultimo di una serie di attacchi che hanno preso di mira le aziende di servizi pubblici, gli ospedali e le amministrazioni locali e federali degli Stati Uniti. Il problema, afferma Matthew Masterson, ricercatore in materia di politiche presso lo Stanford Internet Observatory dell’ ed ex consulente senior presso l’Agenzia per la sicurezza informatica e delle infrastrutture (CISA) del Dipartimento per la Sicurezza Interna, è che tali enti costituiscono facili bersagli.
«I sistemi e i software che supportano le infrastrutture critiche del nostro Paese necessitano di un aggiornamento in molti ambiti», afferma Masterson. Il suo consiglio: «Che si tratti di sistemi informatici a livello statale e federale, di server presso piccole imprese che supportano le forze dell’ordine o di software a supporto degli ospedali, questo è il momento giusto per investire».
«I sistemi e i software che supportano le infrastrutture critiche della nostra nazione necessitano di un aggiornamento in molti ambiti.»Matthew Masterson, Osservatorio Internet di Stanford
Gli esperti di sicurezza informatica ritengono che tali lacune nell’infrastruttura digitale si stiano ampliando. Ciò offre ai criminali informatici maggiori possibilità di penetrare in questi sistemi critici, sottrarre o alterare informazioni e di assumere il controllo o bloccare le operazioni. Oltre a costituire un disturbo della vita quotidiana, tali violazioni possono avere conseguenze gravi e persino decisive per la vita stessa.
Si considerino questi recenti attacchi. Ad aprile, alcuni hacker hanno sferrato un attacco ransomware di tipo “ ” contro il Dipartimento di Polizia di Washington, D.C., minacciando di rendere pubbliche le identità degli informatori sotto copertura. A febbraio, alcuni hacker hanno attaccato un impianto di trattamento delle acque in Florida e hanno tentato di avvelenare la rete idrica . Negli ultimi due anni, gli hacker hanno colpito almeno otto città, tra cui Atlanta, Baltimora e New Orleans, bloccando servizi e strutture e causando danni per milioni di dollari.
«La diffusione su vasta scala e distruttiva del ransomware a livello statale, di contea e comunale ha rappresentato un campanello d’allarme che ha spinto a investire nelle infrastrutture di sicurezza informatica», afferma Masterson, sottolineando che molte comunità non dispongono delle risorse necessarie per gli aggiornamenti digitali oppure hanno rinviato la questione a favore di altri progetti di spesa.
«I criminali si stanno spostando verso il basso per colpire le infrastrutture delle piccole città.»
I criminali informatici, d’altra parte, stanno seguendo l’evoluzione della situazione e si stanno spostando a valle per colpire le infrastrutture delle piccole città. E quando ne trovano una, riconoscono subito una vittima facile. Gli hacker colpiranno questi luoghi «più volte, sapendo che probabilmente verranno pagati più e più volte», afferma Masterson. Fortunatamente, esistono misure che i CIO possono adottare già oggi per prevenire o mitigare gli attacchi futuri.
Colmare il divario di competenze
Le tecnologie digitali hanno apportato numerosi benefici alle infrastrutture del Paese. Il software ha migliorato l'affidabilità della fornitura energetica grazie al bilanciamento automatico del carico. L'intelligenza artificiale ha migliorato le prestazioni delle dighe idroelettriche . L’automazione ha aumentato la produttività e ha consentito ai lavoratori chiave, dal settore sanitario a quello manifatturiero, di concentrarsi su attività di livello superiore che accrescono la soddisfazione professionale dei dipendenti e migliorano i risultati aziendali.
Ma la digitalizzazione ha un prezzo. Jim McKenney, direttore tecnico presso la società di consulenza in materia di sicurezza informatica NCC Group, afferma che, con l’aumentare dell’automazione, il personale necessario per gestire sistemi di grandi dimensioni, complessi e di importanza critica viene lasciato indietro. «Le conoscenze e le competenze necessarie per svolgere attività di base, quali la risoluzione dei problemi o la manutenzione delle infrastrutture, indipendentemente dalla tecnologia utilizzata, stanno venendo meno a causa delle prospettive offerte dalla trasformazione digitale», afferma McKenney.
[Leggi anche: La prossima generazione della sicurezza informatica]
Non è certo un segreto che gli Stati Uniti siano ostacolati da un deficit di competenze nel campo della sicurezza informatica che quest’anno comporterà il mancato reclutamento di 500.000 figure professionali nel settore tecnologico, secondo quanto afferma l’Aspen Institute nell’ambito dell’ . Sebbene il reclutamento per queste posizioni sia molto attivo presso le università quadriennali, le organizzazioni più consolidate e attente alla sicurezza stanno guardando oltre e attingendo a lavoratori “new collar” che possiedono competenze di base, formandoli come futuri talenti nel settore della sicurezza informatica.
Molti stanno inoltre cercando di diversificare il proprio organico, rivolgendosi a organizzazioni quali , Black Girls Code, , The Diana Initiative e l’Executive Women’s Forum dell’ per individuare e formare un gruppo eterogeneo di lavoratori qualificati. Alcuni stanno guardando all’altra estremità della scala aziendale e assumono lavoratori più anziani che si sono allontanati dalla propria professione e che possono essere riqualificati. Investire in programmi di apprendistato e di tutoraggio può consentire a quei lavoratori meno convenzionali di mettersi rapidamente al passo.
Spendete in modo proattivo
Ogni volta che accadono cose spiacevoli, c’è un detto che recita: «Seguite i soldi». Per quanto riguarda gli attacchi informatici, il principio dovrebbe essere il seguente: seguite la mancanza di denaro. Troppo spesso i progetti informatici e di sicurezza passano in secondo piano rispetto ad altre iniziative che tutti possono vedere e su cui tutti concordano. «Il finanziamento è sempre un problema», afferma l’avvocato Michael Bahar, ex vice consigliere giuridico del Consiglio di Sicurezza Nazionale presso la Casa Bianca e co-responsabile del dipartimento globale di sicurezza informatica e protezione dei dati dello studio legale Eversheds Sutherland.
Molti CIO e CISO hanno alle spalle un anno caratterizzato da successi senza precedenti nel garantire e proteggere la sicurezza della forza lavoro in remoto. Tuttavia, molti devono anche fare i conti con una riduzione dei bilanci, soprattutto negli enti pubblici e nelle agenzie che si occupano di infrastrutture. Per stare un passo avanti ai malintenzionati, le organizzazioni devono trovare il modo di investire in quelle iniziative e in quelle tecnologie in grado di salvaguardare la propria infrastruttura digitale. Tra questi progetti, il più importante è quello di investire risorse nella gestione delle infrastrutture su piattaforme cloud ibride, sia pubbliche che private.
«I finanziamenti per l’IT e la sicurezza sono sempre un problema.»Michael Bahar, del dipartimento di sicurezza informatica di Eversheds Sutherland
Nel complesso, l’infrastruttura soffre di una mancanza di visibilità e la gestione di più piattaforme cloud complica un quadro già poco chiaro: le organizzazioni non possono proteggere ciò che non riescono a vedere. Possono ottenere maggiore chiarezza grazie a , alle piattaforme di rilevamento e risposta endpoint , nonché alle funzionalità di monitoraggio.
[Leggi anche: È ora di smetterla di accontentarsi di dati di scarsa qualità]
Tuttavia, afferma Bahar, la sicurezza informatica non deve necessariamente essere costosa né richiedere una nuova voce di bilancio. Le imprese che gestiscono infrastrutture critiche — che si tratti di energia, sanità, settore bancario o risorse idriche — devono dedicare tempo alla conduzione delle proprie valutazioni dei rischi e delle vulnerabilità. Ciò comprende la valutazione dei fornitori a cui si avvalgono, nonché la condivisione efficace delle informazioni relative alle minacce informatiche.
«Spesso», aggiunge, «la soluzione ai problemi high-tech è in realtà molto low-tech». A titolo di esempio, Bahar sottolinea come sia noto che gli hacker prendano di mira le luci nelle sale di controllo energetico per compromettere le operazioni. La soluzione economica: torce a batteria, affinché il personale della sala di controllo non rimanga (in senso letterale e figurato) al buio.
Adottate buone pratiche di sicurezza informatica
Le ricerche dimostrano che la mancanza di buone pratiche di sicurezza informatica rende il 90% delle aziende vulnerabili agli attacchi informatici. Adottando pratiche di “igiene digitale”, quali l’abbandono dei sistemi obsoleti e l’applicazione regolare delle patch , i gestori delle infrastrutture possono ridurre il rischio di violazioni.
Altri aspetti fondamentali includono la creazione di password utente sicure , l’utilizzo dell’autenticazione a più fattori e l’adozione di un modello “zero-trust”, in cui ogni dispositivo deve verificare la propria autenticità ogni volta che tenta di connettersi alla rete.
È inoltre fondamentale ottenere visibilità e controllo sulla propria rete, che comprende le migliaia di dispositivi ed endpoint — dai PC alle macchine virtuali nel cloud — che si connettono al proprio sistema. Masterson raccomanda un monitoraggio accurato delle prestazioni e una gestione della configurazione di tutti gli endpoint. Egli suggerisce inoltre di «garantire la segmentazione della rete e investire nelle capacità di risposta». Ha visto da vicino le conseguenze del mancato rispetto di tali obblighi. Quando i suoi team della CISA hanno effettuato test di penetrazione presso enti statali e locali, afferma: «Queste erano le tipologie di vulnerabilità che vedevamo sfruttate».
Investite nelle relazioni, non solo nella tecnologia
L'infrastruttura digitale degli Stati Uniti è costituita da alcune delle tecnologie più all'avanguardia al mondo. Purtroppo, afferma l’avvocato specializzato in diritto informatico Bahar, essi sono «vulnerabili e le conseguenze sono enormi».
Per questo motivo, egli e altri ritengono che i CIO del settore pubblico e di quello privato debbano collaborare – obiettivo che il decreto presidenziale del presidente Biden in materia di sicurezza informatica mira a raggiungere – per contribuire a individuare le vulnerabilità del software in fase precoce e il più rapidamente possibile. Solo in questo modo potranno contribuire a scongiurare quel tipo di interruzione dei sistemi vitali come la Colonial Pipeline.
«È necessario uno sforzo congiunto tra organizzazioni civili, agenzie governative e il settore della sicurezza informatica», afferma Om Moolchandani, CISO e responsabile della ricerca presso Accurics, azienda specializzata in sicurezza cloud con sede a . Solo in tal modo, afferma, potremo evitare violazioni alle reti energetiche, alle scuole, agli impianti di trattamento delle acque e ad altre infrastrutture critiche.
