A partire da George W. Bush, ogni presidente ha varato una nuova Strategia nazionale per la sicurezza informatica. Fa semplicemente parte del gioco e, di solito, non cambia granché.
Tuttavia, il piano dell’amministrazione Biden, intitolato « » (Un’America più forte: un piano per la sicurezza nazionale e la difesa) e presentato a marzo con l’obiettivo di pubblicare un piano di attuazione di follow-up entro l’inizio dell’estate, rompe gli schemi tradizionali grazie al suo approccio proattivo, improntato alla «difesa proattiva».
A differenza degli approcci precedenti, di natura più reattiva, l’ultimo piano della Casa Bianca affronta le violazioni dei dati di grande risonanza e gli attacchi ransomware di tipo “ ” sferrati da Stati ostili attraverso una combinazione di misure offensive e difensive. Il documento è inteso a fungere da linea guida generale per le iniziative federali in materia di sicurezza informatica e fornirebbe inoltre solide linee guida alle imprese private.
Nello specifico, la strategia si articola in cinque pilastri:
- Difendete le infrastrutture critiche.
- Contrastare e smantellare gli autori delle minacce di tipo “ ”.
- Influenzare le forze di mercato dell’ e per promuovere la sicurezza e la resilienza.
- Investite in un futuro resiliente.
- Stabilire partnership internazionali nell’ambito dell’ e per perseguire obiettivi comuni.
Sebbene le parole possano sembrare banali, i concetti che racchiudono sono tutt’altro che tali.
In particolare, l’idea che il governo si adoperi per contrastare e smantellare gli attori che rappresentano una minaccia si fonda su diversi anni di dibattiti — discussioni controverse e rivoluzionarie — promossi dal Cyber Command del Dipartimento della Difesa degli Stati Uniti. In questa sede, gli esperti hanno discusso una nuova strategia volta a strappare l’iniziativa agli hacker e a perseguitarli in tutto il mondo attraverso il “” (coinvolgimento persistente) e attività di collaborazione. Il Dipartimento della Difesa (DOD) definisce l’impegno persistente come una “difesa in prima linea” volta a contrastare le attività informatiche dannose alla fonte, comprese quelle che non raggiungono il livello di conflitto armato. Pertanto, qualora un dispositivo, una rete, un’organizzazione o una nazione avversaria venga identificato come una minaccia per le reti e le istituzioni statunitensi o stia attivamente sferrando attacchi contro di esse all’interno o attraverso il cyberspazio, «deve aspettarsi che gli Stati Uniti impongano delle conseguenze in risposta», afferma una scheda informativa dell’U.S. Cyber Command intitolata “ ” (Risposta degli Stati Uniti alle minacce informatiche), disponibile all’indirizzo.
Oltre a tali misure di disturbo e smantellamento, la strategia della Casa Bianca mira anche a cambiare le regole del gioco in materia di sicurezza informatica, suggerendo apertamente che il settore tecnologico debba impegnarsi maggiormente per rafforzare i propri prodotti e servizi. Oltre ai pilastri, il piano si distingue anche per la presenza di un'intera sezione dedicata alle modalità di attuazione.
«[Il nuovo piano di Biden in materia di sicurezza informatica] è molto più dettagliato, contiene alcune idee politiche più avanzate ed è destinato a diventare attuabile.”Glenn Gerstell, ex consigliere legale generale della National Security Agency
Alcuni elementi della strategia — in particolare quelli che suggeriscono che il settore privato potrebbe trovarsi a dover affrontare normative più severe qualora non si allineasse alle misure di sicurezza informatica — richiederebbero una legislazione federale per avere un impatto concreto. Ciò potrebbe rivelarsi impegnativo in quest’epoca di divisioni politiche. Nel complesso, tuttavia, molti osservatori del settore ritengono che eventi quali l’attacco all’ , quello alla Colonial Pipeline e , nonché l’attacco a SolarWinds , abbiano lanciato un allarme in merito all’aumento delle minacce informatiche, tanto che entrambe le parti politiche sono ora motivate ad agire. Pertanto, questo ultimo piano di sicurezza nazionale potrebbe portare a un certo grado di cambiamento concreto.
«È molto più dettagliato, contiene alcune idee politiche più avanzate ed è destinato a diventare attuabile», afferma Glenn Gerstell, ex consulente legale generale della National Security Agency (NSA). «I governi precedenti hanno varato strategie che non erano state concepite per essere attuate. «Questo lo era.»
L'ascesa del coinvolgimento costante
Per certi versi, l’attuazione era già iniziata ben prima che la Casa Bianca rendesse pubblico il proprio piano. Ad esempio, tre mesi prima che i carri armati russi entrassero in Ucraina lo scorso febbraio, le forze statunitensi hanno condotto operazioni informatiche insieme al personale del Cyber Command ucraino in una delle prime operazioni di “hunt forward” mai registrate.
Da allora, tali partnership basate su un impegno costante si sono concretizzate almeno 44 volte in 22 paesi, tra cui Estonia, Lituania, Croazia, Montenegro e Macedonia del Nord.
Sono stati forniti pochi dettagli sui risultati di queste campagne o sul fatto che esse siano mai andate oltre le missioni di raccolta di informazioni e abbiano cercato di smantellare o distruggere specifiche bande o reti di hacker. Tuttavia, una dichiarazione preparata dal generale di divisione dell’Esercito William Hartman, rilasciata dopo che gli esperti informatici statunitensi hanno trascorso tre mesi in Albania per far fronte ai presunti attacchi informatici iraniani contro i sistemi governativi, suggerisce che lo abbiano fatto.
“Quando veniamo invitati a condurre operazioni di ricerca sulle reti di una nazione partner, siamo in grado di individuare le attività insidiose di un avversario nel cyberspazio e di condividerle con il nostro partner affinché possa intervenire di conseguenza”, ha affermato Hartman . «Potremo così infliggere perdite ai nostri avversari, smascherando i loro strumenti, le loro tattiche e le loro procedure, e migliorare il livello di sicurezza informatica dei nostri partner e alleati.»
Queste collaborazioni non rappresentano solo un vantaggio per i governi. Anche le imprese private possono trarne vantaggio. Nel caso dell’operazione in Albania, secondo quanto riferito , la squadra “Hunt Forward” avrebbe condiviso le informazioni raccolte sia con il governo albanese sia con aziende private che svolgono un ruolo fondamentale nell’infrastruttura digitale sia dell’Albania che degli Stati Uniti.
Trasferire la responsabilità al settore tecnologico
Oltre a diventare più proattiva, la strategia della Casa Bianca in materia di sicurezza informatica mira anche a definire standard minimi che le aziende tecnologiche dovrebbero rispettare nello sviluppo e nel lancio dei propri prodotti.
«Un approccio volontario alla protezione [delle infrastrutture e delle reti critiche] è inadeguato.”Anne Neuberger, vice consigliere per la sicurezza nazionale in materia di sicurezza informatica e tecnologie emergenti
Alcuni fornitori di hardware e software ad alta tecnologia hanno certamente prestato una certa attenzione alla sicurezza informatica durante lo sviluppo dei prodotti. Tuttavia, il piano dell’amministrazione Biden prevede un impegno più incisivo e su scala settoriale rispetto a quanto fatto finora, poiché gli approcci tradizionali non si sono rivelati efficaci.
«Il riconoscimento fondamentale contenuto nella strategia è che un approccio volontario alla protezione [delle infrastrutture e delle reti critiche] è inadeguato», ha affermato Anne Neuberger, vice consigliere per la sicurezza nazionale in materia di cyber e tecnologie emergenti, nel corso di un evento organizzato dal Center for Strategic & International Studies.
Senza dirlo esplicitamente, la strategia sembra minacciare l’imposizione di normative in materia di sicurezza informatica volte a rafforzare il livello di sicurezza degli ambienti digitali della nazione — un provvedimento che, secondo Gerstell, le precedenti amministrazioni presidenziali erano riluttanti ad adottare. Ma, secondo lui, il panorama delle minacce si è talmente aggravato che pronunciare la parola che inizia per “R” non è più il tema politicamente scottante che era un tempo.
«Tre o quattro anni fa, tutte queste aziende che sono state colpite da gravi attacchi ransomware o da altri attacchi informatici avrebbero potuto fare di più in materia di sicurezza informatica, ma non l’hanno fatto per una serie di ragioni, tra cui il fatto che farlo può comportare costi proibitivi», afferma Gerstell. «Pertanto, per la prima volta, l’esecutivo federale afferma, a titolo di politica ufficiale: “Dobbiamo modificare la responsabilità, dobbiamo cambiare il sistema economico e abbiamo bisogno di una maggiore regolamentazione”».
Perché una collaborazione tra Biden e il mondo degli affari può funzionare
Matt Hayden, vicepresidente di General Dynamics Information Technology ed ex consulente senior del direttore della Cybersecurity and Infrastructure Security Agency (CISA), sottolinea che la strategia della Casa Bianca non specifica con precisione gli standard minimi relativi alla preparazione dei prodotti in materia di sicurezza informatica. Piuttosto, afferma, la politica suggerisce che il governo e le imprese dovranno collaborare per stabilire quali misure occorra adottare al fine di evitare l’imposizione di normative o responsabilità legali.
«Affinché ciò abbia successo, sarà necessario che le autorità competenti, sia al Campidoglio che nel mondo dell’industria…, trovino un punto d’incontro.”Matt Hayden, vicepresidente di General Dynamics Information Technology
«Non esiste alcun modello di partnership che lo consenta», afferma Hayden. «Affinché ciò abbia successo, sarà necessario che le autorità competenti, sia al Campidoglio che nel settore industriale, collaborino con gli organismi normativi di tutto il governo per raggiungere un compromesso che consenta di far approvare alcune misure.»
Hayden aggiunge che i dirigenti aziendali e del settore IT possono fare riferimento alla politica della Casa Bianca per ribadire con forza la necessità che la sicurezza informatica sia al centro di tutte le attività di sviluppo dei prodotti , e di marketing.
«Questa strategia può fungere da vero e proprio stimolo per coinvolgere un numero maggiore di persone in questa battaglia», afferma.
Gerstell concorda e afferma che le aziende dovrebbero evitare le solite lamentele relative a una potenziale regolamentazione e, invece, impegnarsi nella lotta alle minacce informatiche.
«Non si limiti a diffondere un comunicato stampa in cui afferma di essere deluso dalle richieste di una maggiore regolamentazione e che il settore privato è perfettamente in grado di gestire la situazione da solo», afferma. «Collaborate con le istituzioni e iniziate a contribuire alla definizione delle normative. Scoprirete che la CISA è tutta orecchi e desidera ricevere i vostri suggerimenti.”
I tempi sono maturi
L’attuazione della strategia nazionale in materia di sicurezza informatica potrebbe facilmente incontrare ostacoli e subire rallentamenti. Tenendo conto di tale eventualità, il Consiglio di Sicurezza Nazionale (NSC) è stato incaricato dell’attuazione, in collaborazione con l’Ufficio per la Gestione e il Bilancio (OMB) e l’Ufficio del Direttore Nazionale per la Sicurezza Informatica (ONCD). Tali agenzie avrebbero inoltre il compito di orientare gli investimenti mirati del settore pubblico e privato «per stare al passo con la rapidità dei cambiamenti insiti nell’ecosistema cibernetico», conclude la strategia.
Gerstell sostiene che un simile approccio nei confronti dei legislatori potrebbe suscitare reazioni sorprendentemente positive.
«Si tratta di una strategia ben ponderata e significativa, che arriva proprio al momento giusto, poiché il pubblico è pronto ad accoglierla», afferma. «Dieci anni fa, chiunque avrebbe dato un’occhiata a questo documento, avrebbe alzato le spalle e avrebbe detto: “Non mi sembra corretto”.» «Non ne abbiamo bisogno.» Ma il panorama informatico è cambiato. “Il tempismo è tutto, vero?”
