Ripensate ai primi giorni della pandemia. Le amministrazioni statali e locali hanno immediatamente potenziato, il più rapidamente possibile, i servizi essenziali disponibili online, per aiutare i cittadini a reperire informazioni su vaccini, test, assistenza all’infanzia e indennità di disoccupazione. All’epoca facevo parte del Dipartimento dell’Amministrazione dell’Arizona e ho potuto constatare di persona l’urgenza di avviare servizi fondamentali.
Si considerino, ad esempio, le indennità di disoccupazione. All’improvviso, ci siamo trovati di fronte a un massiccio afflusso di disoccupati che avevano un disperato bisogno di aiuto, il che ha messo a dura prova i sistemi esistenti, talvolta scritti in linguaggi di programmazione risalenti a decenni fa.
Nel complesso, i governi hanno svolto un lavoro eroico nel rispondere alla crisi. Tuttavia, gli addetti all’informatica dell’amministrazione statale non sono sempre stati in grado di garantire la sicurezza completa dei nuovi siti o servizi online, né di sottoporli a un’adeguata verifica al fine di proteggere i preziosi dati personali contenuti in tali sistemi. Ciò ha creato delle gravi falle nella sicurezza di , che gli hacker si sono affrettati a sfruttare.
Secondo i dati più recenti disponibili, nel 2020 si sono verificati almeno 79 attacchi ransomware di tipo “ ” rivolti contro enti statali, locali e tribali. Gli attacchi hanno causato interruzioni di servizio in 30 stati e hanno colpito 71 milioni di cittadini, secondo un rapporto pubblicato dal sito dedicato alla sicurezza dei consumatori Comparitech.
Alcuni dei pericoli maggiori riguardavano le applicazioni di terze parti. Alcuni utilizzavano sistemi obsoleti, difficili da aggiornare . Gli enti statali dispongono di un’architettura e di infrastrutture obsolete, messe insieme alla bell’e meglio nel corso di decenni, e non sanno come un nuovo strumento si comporterà in tale contesto finché non iniziano a utilizzarlo.
Spesso le agenzie sono collegate tramite una rete condivisa. Tuttavia, la sicurezza delle reti dipende dal loro anello più debole. Anche se un dipartimento si occupi di tutte le operazioni di applicazione delle patch e di manutenzione informatica necessarie, rimane comunque vulnerabile se l’agenzia successiva nella catena non ha svolto il proprio compito.
Inoltre, molte amministrazioni statali e locali non sanno nemmeno quanti sistemi possiedono, né a cosa siano collegati. Sono a conoscenza di un’agenzia statale dell’Arizona che ha effettuato una ristrutturazione, ma ha lasciato alcuni computer collegati alla presa di corrente e alla vecchia rete — e ha letteralmente costruito delle pareti attorno a essi. Fino a quando non sono stati introdotti i moderni servizi di protezione " endpoint ", nessuno sapeva della loro esistenza. E questo, ovviamente, le rendeva impossibili da mettere in sicurezza.
Immagini di voler mettere in sicurezza la propria casa senza sapere quante porte e finestre ci siano, né quali potrebbero essere rimaste aperte. Se non si prende la briga di comprendere le proprie vulnerabilità in materia di sicurezza, non è difficile per i criminali introdursi nel sistema e appropriarsi di tutto ciò che desiderano.
La carenza di professionisti nel campo della sicurezza informatica
È incoraggiante constatare che le amministrazioni statali e locali stiano finalmente riprendendo fiato e ponendo una rinnovata enfasi sulla sicurezza informatica. Purtroppo, il personale è insufficiente, spesso in misura sconcertante. Si registra una carenza di personale in tutti i settori della sicurezza informatica. Molti governi semplicemente non dispongono del personale necessario per svolgere tale lavoro.
“Sono a conoscenza di un’agenzia statale che ha lasciato i computer collegati alla corrente e ha letteralmente costruito delle pareti attorno ad essi. Nessuno sapeva che fossero lì.”
Spesso non sanno nemmeno quante persone abbiano a disposizione. Ad esempio, in Arizona non disponevamo di un team centralizzato addetto alla sicurezza informatica. Le grandi agenzie, come il Dipartimento dei Trasporti dello Stato, disponevano di team propri. Quando sono diventato responsabile del programma di sicurezza aziendale incaricato della sicurezza informatica dell’Arizona, volevamo scoprire quanti professionisti del settore informatico lavorassero per lo Stato. Abbiamo chiesto più volte al team delle risorse umane dello Stato. E la risposta che abbiamo ricevuto è stata: «Non ne abbiamo idea».
Le denominazioni delle mansioni possono essere molto generiche e variare da un’agenzia all’altra. In alcuni casi, alle persone incaricate di occuparsi di sicurezza informatica non era richiesta alcuna formazione o esperienza specifica. Stavano semplicemente facendo del loro meglio.
Nel frattempo, i team governativi addetti alla sicurezza informatica lavorano più ore per una retribuzione inferiore a quella che potrebbero ottenere da un’azienda privata. I lavoratori potrebbero trovare lavoro nel settore privato in un batter d’occhio e raddoppiare la propria retribuzione.
E la pressione a cui sono sottoposti è enorme. Stanno proteggendo i “gioielli della corona”. Le amministrazioni statali e locali dispongono di alcuni dei dati più appetibili per gli hacker: nomi, numeri di previdenza sociale, date di nascita, indirizzi, informazioni sui conti bancari, cartelle cliniche. È come un buffet a volontà per i criminali informatici. I team, a corto di personale, lavorano duramente ogni giorno per proteggere i dati sensibili, ma sono stanchi e sopraffatti dal carico di lavoro.
In tutto il Paese ho constatato una rinnovata attenzione verso l’acquisizione di maggiori risorse e personale. Quando mi trovavo in Arizona, abbiamo avviato un programma di tirocini universitari per attirare talenti. Abbiamo inserito i tirocinanti nel nostro Centro di comando informatico e li abbiamo inoltre assegnati a rotazione a diversi team di sicurezza informatica, al fine di garantire loro un’esperienza a tutto tondo. Abbiamo inoltre parlato con gli studenti del programma “ ” delle scuole superiori dell’ , illustrando loro le opportunità nel settore della sicurezza informatica e accompagnandoli in una visita guidata al Cyber Command. E mentre ci dedicavamo a ciò, ci siamo impegnati a colmare il divario di genere nell’ e nel settore IT , parlando con le ragazze delle loro opportunità di carriera in questo ambito.
Rafforzare il ruolo della sicurezza informatica all’interno della dirigenza
Gli Stati stanno finalmente riconoscendo l'importanza della sicurezza informatica. L’Arizona e il New Jersey, ad esempio, hanno sottratto la figura del CISO all’ambito di competenza del CIO. Il CISO dell’Arizona è a capo del Dipartimento statale per la sicurezza interna, mentre il CISO del New Jersey fa parte dell’Ufficio statale per la sicurezza interna e la preparazione alle emergenze.
". Volevamo scoprire quanti professionisti della sicurezza informatica lavorassero per lo Stato. La risposta che abbiamo ricevuto è stata: «Non ne abbiamo idea».”
Queste iniziative sono importanti poiché i CIO hanno il compito di garantire il corretto funzionamento delle operazioni e di rendere disponibili i servizi. Tuttavia, i CISO hanno il compito di impedire che si verifichino situazioni non sicure. I due leader possono trovarsi di fronte a priorità contrastanti. Separando la figura del CISO da quella del CIO, le amministrazioni pubbliche possono garantire tale separazione delle responsabilità.
Il governatore dell’Arizona, Doug Ducey, ha infatti trasformato la carica di CISO in una posizione di livello ministeriale che fa capo direttamente a lui. Ciò ha posto la sicurezza informatica sullo stesso piano dei servizi di emergenza, dei buoni alimentari e di tutto il resto di ciò che lo Stato offre. Ritengo che nel settore si assisterà a un aumento di questo fenomeno.
I governi devono considerare la sicurezza informatica una priorità
Sono disponibili nuovi finanziamenti federali per aiutare gli Stati e gli enti locali, ma il denaro da solo non basterà a risolvere i problemi. Il modo in cui spendete ciò che avete fa una grande differenza.
«: I buoni devono avere ragione il 100% delle volte.» Ai cattivi basta avere ragione una sola volta.”
Le amministrazioni statali e locali stanno ricorrendo ad aiuti esterni. Stanno cercando di sostituire le loro soluzioni puntuali ormai obsolete, specifiche per ciascun tipo di vettore di minaccia, con piattaforme facilmente espandibili. Grazie alle soluzioni moderne e scalabili di endpoint offerte da Tanium , l’Arizona è riuscita a correggere circa 326.000 vulnerabilità nell’arco di 72 ore. Era più di quanto fossimo riusciti a fare nei sei mesi precedenti, dopo essere passati al lavoro esclusivamente da remoto.
La situazione che abbiamo affrontato in Arizona è simile a quella che si riscontra in altre amministrazioni statali e locali. Ma le persone non comprendono le sfide che devono affrontare. A volte chiedo: «Qual è il suo livello di fiducia nelle operazioni di patch?» E i dirigenti rispondono: «Probabilmente abbiamo applicato il 95% delle patch». A quel punto esaminiamo la loro rete e scopriamo che, effettivamente, hanno applicato le patch al 95% dei sistemi che riescono a monitorare, ma non hanno applicato le patch ad almeno il 30% degli endpoint che non riescono a monitorare.
In sintesi: non è possibile proteggere ciò che non si vede. Come può proteggersi se non ha la minima idea di cosa debba proteggere? Senza visibilità, non sarete mai in grado di garantire la sicurezza del vostro ambiente.
Dopotutto, i buoni devono avere ragione il 100% delle volte. I cattivi possono prendersi un giorno di riposo. Basta che abbiano ragione una sola volta. È giunto il momento che i governi statali e locali prendano sul serio tale avvertimento.
