Sebbene la rapidità con cui si è diffuso il ransomware WannaCry non sia una novità, essa solleva tuttavia nuove questioni in materia di responsabilità – in particolare la responsabilità personale riguardo al modo in cui dovremmo proteggerci dagli attacchi informatici e, cosa ancora più importante, la necessità di ritenere sia i governi che i fornitori responsabili dello sviluppo di tecnologie sicure. Per arginare la prossima epidemia di WannaCry, occorre applicare alla sicurezza informatica lo stesso livello di impegno congiunto che è stato necessario per rendere sicure le automobili – dalle cinture di sicurezza e dagli airbag alle spie di controllo del motore e alle telecamere di retromarcia – affinché tutti comprendano il proprio ruolo nel proteggersi da futuri attacchi informatici.
(Immagine: Karen Nadine / Pixabay)
Nel 2010, il virus Stuxnet sferrato contro l’Iran ha catapultato molti esperti di sicurezza informatica nel mondo pericoloso e imprevedibile degli attacchi informatici su scala globale. Questa settimana, con i sospetti che ricadono sulla Corea del Nord, l’attacco del ransomware WannaCry ha catapultato il grande pubblico proprio in questo mondo pericoloso e imprevedibile. Questo attacco è stato talmente rilevante che persino le emittenti televisive locali ne hanno dato notizia, con titoli accattivanti sul tema del “caos informatico”.
In passato abbiamo assistito a innumerevoli attacchi informatici; cosa rende quindi questo caso diverso dagli altri? Questo attacco ransomware ha avuto un impatto un po’ troppo personale per molti di noi, soprattutto perché abbiamo dato per scontato quanto la tecnologia abbia permeato la nostra vita quotidiana. La maggior parte di noi agisce come se “le cose funzionassero e basta”. Non ci rendiamo conto degli innumerevoli sistemi utilizzati per generare il segnale di linea, far funzionare un ascensore o persino somministrare farmaci in un pronto soccorso. Quando un sistema è attivo e funzionante, nessuno si chiede se disponga o meno di un sistema operativo aggiornato, se sia al passo con tutte le patch software e se utilizzi password difficili da violare. Al contrario, facciamo la telefonata, entriamo nell’ascensore o prendiamo la pillola.
Ma cosa succede quando si alza il telefono per comporre il 911 e non risponde nessuno? Oppure l’ascensore si ferma tra due piani e il pulsante di emergenza non funziona? Oppure va in overdose di farmaci perché la sua cartella clinica è scomparsa? A questo punto, è troppo tardi per pensare a patch e password. Ciò che prima era noto ora è sconosciuto e addirittura fa davvero paura.
Nel pieno del panico causato da WannaCry, le vittime si affrettavano ad aggiornare i propri software obsoleti, le aziende si affrettavano a verificare se fossero state prese di mira e l’opinione pubblica si sentiva impotente, temendo di essere la prossima vittima.
Non illudiamoci: il recente attacco WannaCry non è affatto diverso, nella forma e nella struttura, dai numerosi casi di ransomware da 300 dollari in bitcoin che lo hanno preceduto, né da quelli che sicuramente seguiranno sulla sua scia. Ciò che ha fatto, invece, è stato mettere in evidenza che non ci siamo assunti la responsabilità personale della nostra sicurezza informatica. Questa situazione deve cambiare. Ognuno di noi deve essere più coinvolto e più consapevole delle tecnologie su cui facciamo affidamento ogni giorno.
Allora, cosa stiamo imparando ora che la situazione si sta stabilizzando? Per cominciare, questo attacco avrebbe potuto essere scongiurato mesi, se non anni, prima. Sì, gli aggiornamenti tecnologici rivestono un ruolo fondamentale nel dibattito sulla riduzione degli attacchi informatici su larga scala. Tuttavia, sono le persone – ovvero coloro che hanno la responsabilità di questi sistemi – a decidere in che modo tali tecnologie vengano implementate e protette. La mancanza di senso di responsabilità porta i professionisti IT a sviluppare software non sicuro, a non segnalare bug non corretti e persino a utilizzare software vecchio di decenni, contro il parere anche degli amministratori di sistema più inesperti.
Noi, come società, dobbiamo assumerci una maggiore responsabilità personale per la nostra sicurezza nel mondo cibernetico, proprio come facciamo nel mondo reale. Guiderebbe un’auto per anni senza mai cambiare l’olio? Probabilmente no. Allora, perché dovreste utilizzare una tecnologia dotata di software obsoleto? Prelevereste 200 dollari da un bancomat di notte in un quartiere scarsamente illuminato? Improbabile. Allora, perché mai dovreste visitare siti web sospetti o aprire e-mail sospette? Nessuno Le dirà di non guidare l’auto senza aver cambiato l’olio, né di evitare i bancomat di notte. Si capisce subito che è una pessima idea.
Prima del prossimo WannaCry: come ciascuno di noi può dare il proprio contributo
Al di là delle nostre responsabilità individuali, abbiamo la responsabilità collettiva di garantire il bene comune. Proprio come esistono linee guida concordate per la guida su strade e autostrade, così abbiamo bisogno di linee guida concordate anche per il nostro comportamento nel mondo digitale. Ecco alcuni esempi:
Public Sector: Government leaders urgently need a crash course in cybersecurity 101. Solo allora potranno comprendere appieno le capacità (e, francamente, i limiti) delle agenzie governative nel corso di una crisi informatica. I vostri esperti di sicurezza informatica dispongono delle competenze e degli strumenti necessari per svolgere il proprio lavoro? Se non comprende i principi fondamentali della sicurezza informatica, come può rispondere a questa domanda?
Settore privato: Una buona sicurezza informatica parte dai vertici. Gli amministratori delegati devono colmare il divario in materia di responsabilità informatica e adottare una cultura della responsabilità, impegnandosi a sostituire le tecnologie obsolete con soluzioni più sicure. In parole povere, i sistemi non gestiti non vengono aggiornati con le patch e i sistemi privi di patch sono esposti ad attacchi informatici; pertanto, i sistemi non gestiti sono esposti ad attacchi informatici. Le aziende devono individuare questi sistemi non gestiti prima che lo facciano i criminali. Collaborate con un fornitore esterno? Chieda al Suo team legale di inserire le norme di sicurezza nei contratti prima della firma. Inoltre, qualsiasi azienda che non disponga di un team dedicato alla sicurezza informatica, ovvero un team che operi in modo indipendente da coloro che gestiscono quotidianamente le attività informatiche, sta inviando un chiaro segnale ai propri clienti: la sicurezza informatica non è importante per la vostra azienda.
Pubblico in generale. I cittadini devono esigere di più dai leader governativi e dagli amministratori delegati. Le infrastrutture che ci forniscono l’elettricità e i bancomat, nonché la larghezza di banda dello spettro radio che trasporta i nostri flussi video in diretta e consente il funzionamento dei nostri smartphone, dei baby monitor e dei dispositivi Alexa, sono tutte frutto di uno spirito di collaborazione tra settore pubblico e privato. Ma la responsabilità personale non si ferma qui. Per ciascuno di noi, la sicurezza informatica significa ben più di un semplice antivirus e di una preghiera. Significa applicare costantemente le patch ai computer di casa, non solo di tanto in tanto, ed evitare di cliccare su “ricordamelo più tardi”. In questo modo, il Suo computer non potrà essere facilmente compromesso in occasione del prossimo attacco di ransomware o di botnet. Significa applicare a casa le stesse buone pratiche di sicurezza informatica che adottate sul posto di lavoro e insegnare ai vostri figli a comportarsi da buoni cittadini digitali. Significa comportarsi da consumatori responsabili, chiedendo conto alle aziende quando queste non adempiono ai propri obblighi in materia di sicurezza informatica. Premiate le aziende che garantiscono la sicurezza dei vostri dati ed evitate quelle che non lo fanno.
Per arginare la prossima epidemia informatica del tipo WannaCry – che provenga dalla Corea del Nord o da qualche studente universitario nella sua stanza del dormitorio – occorre lo stesso livello di impegno congiunto che è stato necessario per rendere sicure le automobili. Proprio come disponiamo di cinture di sicurezza e airbag, spie di controllo del motore e telecamere di retromarcia, abbiamo bisogno di protezioni analoghe applicate alla sicurezza informatica. Solo in questo modo ciascuno di noi comprenderà la propria responsabilità personale nel proteggere se stesso, le proprie aziende e la nostra società da futuri attacchi informatici.
Per saperne di più:
- Le cinque domande a cui è necessario rispondere per garantire una corretta prassi di sicurezza (si apre in una nuova scheda)
- Alla ricerca dei migliori dati sulle minacce (si apre in una nuova scheda)
Informazioni sull’autore: Nel suo ruolo di direttore della sicurezza presso Tanium, Andre McGregor si occupa in particolare di sicurezza informatica. Egli possiede una profonda conoscenza delle tecniche informatiche di natura criminale e di controspionaggio utilizzate per attaccare le reti e le infrastrutture informatiche degli Stati Uniti. Prima di entrare a far parte dell’ Tanium, Andre ha ricoperto il ruolo di agente speciale dell’FBI specializzato in crimini informatici a New York City, per poi essere promosso ad agente speciale supervisore presso la sede centrale dell’FBI. Presso l’FBI, McGregor ricopriva il ruolo di agente tecnico senior e di responsabile principale della gestione degli incidenti in occasione di diverse intrusioni informatiche su larga scala. Inoltre, ha ricoperto il ruolo di referente dell’FBI per la sicurezza informatica presso le Nazioni Unite, nonché di referente dell’FBI per la sicurezza informatica presso il DHS, l’US-CERT e l’ICS-CERT. Prima di entrare nell’FBI, McGregor ha frequentato la Brown University, ha iniziato la sua carriera presso Goldman Sachs e successivamente ha ricoperto il ruolo di direttore IT presso Advogent (Cardinal Health), dove era responsabile di tutte le operazioni IT a livello nazionale. Nel tempo libero, Andre ricopre anche il ruolo di consulente tecnico e dell’FBI per la serie “Mr. Robot”.
