Nel 2019, la guerra cibernetica ha raggiunto la piccola città di Wisconsin Rapids, nel Wisconsin, dove vive Matt Stormoen.
Quell’anno, alcuni hacker criminali hanno sferrato un’ondata di attacchi di tipo “ ” contro più di una dozzina di piccole aziende di servizi pubblici con scarse misure di protezione in 18 stati. Gli autori dell’attacco, la cui provenienza è stata ricondotta a Hong Kong, avevano scelto i propri obiettivi in ragione della loro vicinanza a infrastrutture critiche degli Stati Uniti, tra cui importanti dighe federali e linee di trasmissione, chiuse di navigazione fondamentali per le importazioni delle acciaierie e centri di distribuzione energetica su scala di rete.
«Hanno cercato di superare il nostro firewall», afferma Stormoen, responsabile del reparto IT presso l’ Water Works and Lighting Commission di Wisconsin Rapids, che fornisce energia elettrica a circa 15.000 clienti. Sebbene la sua rete non sia stata compromessa, afferma Stormoen, «abbiamo dovuto stare costantemente all’erta di fronte alle minacce».
L’FBI e il Dipartimento per la Sicurezza Interna avvertono da tempo che il settore energetico statunitense è un bersaglio per gli hacker. Ad aprile, l’attacco ransomware “ ” sferrato con successo contro Colonial Pipeline ne ha fornito la prova, causando l’interruzione di un’importante conduttura di carburante e costringendo l’azienda a versare un riscatto di 4,4 milioni di dollari.
Mentre le grandi aziende di servizi pubblici statunitensi dispongono di ingenti risorse finanziarie per potenziare la sicurezza informatica — al fine di proteggere le proprie reti e le migliaia di endpoint che vi si collegano — le aziende di servizi pubblici e i fornitori di energia di dimensioni più ridotte spesso non dispongono dei fondi necessari per fare altrettanto.
«Gran parte delle infrastrutture che supportano la tecnologia presso le aziende di servizi pubblici di minori dimensioni è troppo obsoleta per gli strumenti informatici moderni, il che raddoppia la preoccupazione», afferma Tyler Costello , direttore dei clienti strategici presso Tanium , che collabora con diverse strutture di infrastrutture critiche e con uno dei maggiori fornitori nazionali di energia elettrica e gas naturale. «Le aziende di servizi pubblici di minori dimensioni devono fare i conti con sistemi obsoleti, vincoli di bilancio e risorse limitate.»
Budget ridotti, scarse competenze
Come le altre aziende del settore, l’azienda di servizi pubblici di Wisconsin Rapids sta digitalizzando le proprie operazioni, avvalendosi di tecnologie quali (contatori intelligenti), (portali di pagamento online) , e (portali web), nonché piattaforme di cloud computing . Tuttavia, tutta questa connessione a Internet ha un costo. Attira l'attenzione dei criminali informatici.
Le piccole aziende di servizi pubblici, ovvero quelle che servono poche migliaia di clienti o meno, sono particolarmente vulnerabili. Sentono l’esigenza di modernizzarsi, in parte per respingere i tentativi di acquisizione da parte di aziende di servizi pubblici più grandi, ma spesso sono riluttanti (o semplicemente non sono in grado) ad aumentare le tariffe o le imposte locali per finanziare gli interventi di ammodernamento. Di conseguenza, queste aziende di servizi pubblici spesso non possono permettersi di assumere un tecnico informatico in sede.
«Quindi, il tecnico informatico potrebbe dover occuparsi dell’assistenza clienti.» «Potrebbe doversi occupare anche di marketing», afferma Carter Manucy, direttore della sicurezza informatica presso la Florida Municipal Power Agency (FMPA) dell’ , una coalizione di 32 aziende di servizi pubblici in tutto lo Stato, membro dell’American Public Power Association.
«Le aziende di servizi pubblici di minori dimensioni devono fare i conti con sistemi obsoleti, vincoli di bilancio e risorse limitate.”Tyler Costello, responsabile dei clienti strategici, Tanium
Anche le aziende di servizi pubblici di proprietà comunale e le cooperative rurali devono affrontare un’ulteriore sfida che le grandi aziende di servizi pubblici non devono affrontare. Essi operano al di fuori della supervisione e della tutela della North American Electric Reliability Corp (NAERC). Questo ente di settore esercita un controllo sui proprietari, gli operatori e gli utenti della rete elettrica all’ingrosso e può infliggere sanzioni in caso di inadempienza alle norme. Ciò significa che i grandi operatori hanno un interesse economico a rispettare le regole e ricevono indicazioni utili su come procedere in tal senso.
Esiste un grave problema di percezione. Poiché le piccole aziende elettriche non sono soggette a un controllo così rigoroso, «gli hacker criminali potrebbero ritenerle una preda più facile», afferma Nicholas Abi-Samra, professore a contratto presso l’Università della California, San Diego, che tiene corsi sui sistemi elettrici e fornisce servizi di consulenza al settore delle aziende elettriche. «Ma devono affrontare lo stesso tipo di minacce.»
Ritorno alle origini
Il potenziamento della sicurezza informatica di un’azienda di servizi pubblici — che potrebbe comprendere l’installazione di nuovi server e software di sicurezza, la formazione del personale e la creazione di un centro operativo di sicurezza — potrebbe comportare una spesa di milioni di dollari. Raccogliere tali fondi rappresenta un’impresa ardua per le piccole aziende di servizi pubblici rurali, che spesso forniscono energia a famiglie a basso reddito che non possono permettersi le bollette energetiche più elevate necessarie a coprire l’investimento.
L’FMPA di Manucy offre ai propri membri corsi di formazione sulla sicurezza informatica a costi ridotti o gratuiti. Tuttavia, si sta diffondendo sempre più la consapevolezza che ciò non sia sufficiente. Egli sostiene che siano necessari aiuti federali per consentire a molte di queste attività di raggiungere la piena operatività. Ciò comporterebbe l’istituzione di più linee di difesa, a partire dalla gestione di base delle identità e degli accessi alle applicazioni e alle reti condivise.
[Leggi anche: La proliferazione degli strumenti minaccia la sicurezza nel periodo post-pandemia]
Ciò potrebbe comportare l’utilizzo di un’autenticazione a due fattori e l’adozione di un modello di accesso alla rete “zero-trust” . In tale modello, qualsiasi endpoint, dispositivo o utente (anche quelli già noti) è considerato inaffidabile fino a quando non viene verificato. Ciò richiede inoltre la concessione di un accesso con privilegi minimi, in base all’identità del richiedente, al contesto della richiesta e al livello di rischio dell’ambiente di accesso.
Esistono altri modi in cui le aziende di servizi pubblici possono iniziare a rafforzare la propria sicurezza informatica, in particolare ricorrendo ai principi fondamentali di una corretta prassi in materia di sicurezza informatica a livello di IT e di “ ”. In linea con il detto “non si può gestire ciò che non si vede”, il primo passo consiste nell’individuare e nell’effettuare un inventario di tutti gli endpoint — laptop, PC, tablet e persino macchine virtuali nel cloud — collegati alla vostra rete. Monitorando regolarmente questi endpoint, in tempo reale e in modo costante, è possibile Detect individuare potenziali vulnerabilità e minacce attive.
[Legga anche: 10 modi in cui " Tanium " migliora la gestione della configurazione]
Anche le aziende di servizi pubblici di minori dimensioni devono investire in una piattaforma di gestione software di tipo “ ” ( ) che consenta loro di stare al passo con le applicazioni, i dispositivi e i software che si sono moltiplicati durante l’era del lavoro da casa. Un’unica piattaforma può aiutare qualsiasi azienda di servizi pubblici di piccole o medie dimensioni a gestire ( Detect), monitorare, aggiornare e proteggere le applicazioni aziendali da un’unica console, su larga scala. Allo stesso modo, una piattaforma può aiutare a gestire e monitorare tutti gli endpoint, contribuendo a individuare e risolvere i problemi di sicurezza in tempo reale.
Rafforzamento dei firewall
Dopo che l’FBI aveva informato Wisconsin Rapids che alcuni hacker avevano tentato di penetrare nei suoi sistemi a gennaio e marzo 2019, Stormoen ha condotto una valutazione approfondita delle difese informatiche dell’azienda. Ciò ha comportato una revisione completa del loro endpoint stato di sicurezza e delle politiche di sicurezza generali dell’azienda. Di conseguenza, Stormoen ha aggiornato i firewall e ha installato un nuovo software di sicurezza.
«Le piccole aziende di servizi pubblici chiedono di “assumere o ingaggiare” un responsabile informatico in grado di fornire indicazioni.”
L’azienda è inoltre entrata a far parte dell’Electricity Information Sharing and Analysis Center (E-ISAC) e del Multi-State Information Sharing and Analysis Center (MS-ISAC). Entrambe queste organizzazioni raccolgono e diffondono informazioni e avvisi relativi agli attacchi informatici. Oggi, Stormoen riceve rapporti quotidiani che lo aiutano a individuare le minacce e a garantire la sicurezza delle sue difese.
Naturalmente, non tutte le piccole aziende di servizi pubblici dispongono di un Matt Stormoen a tempo pieno che tenga d’occhio la prima linea. Tuttavia, molti stanno sperimentando un approccio innovativo. Manucy, dell’FMPA, ha riscontrato un aumento delle richieste da parte di piccole aziende di servizi pubblici che desiderano “” acquistare o assumere” un responsabile informatico in grado di fornire consulenza sui loro sistemi. Ciò è in parte dovuto al fatto che le compagnie assicurative specializzate in sicurezza informatica richiedono competenze interne prima di emettere una polizza. Molti dei quasi tre dozzine di membri della sua coalizione di servizi pubblici gli hanno chiesto: «Come posso seguire un corso di formazione?» "Me lo sta chiedendo la mia compagnia assicurativa."
Per le piccole aziende di servizi pubblici, la posta in gioco non potrebbe essere più alta né più sproporzionata. La rete energetica degli Stati Uniti è un sistema incredibilmente complesso e interconnesso. Il malfunzionamento di un singolo nodo può provocare un effetto a cascata. Si pensi solo al blackout della 2003 Northeast, che ha lasciato al buio 50 milioni di persone a seguito di un malfunzionamento di un singolo strumento di monitoraggio in una sala di controllo energetica dell’Ohio.
Tuttavia, anche se una violazione informatica fosse circoscritta alla rete di una piccola azienda di servizi pubblici e interessasse solo la popolazione locale, il suo impatto potrebbe essere grave, afferma Stormoen. Ciò potrebbe ostacolare l’intervento delle forze dell’ordine e dei vigili del fuoco, nonché l’assistenza sanitaria critica a domicilio. «Ne basterebbe anche solo uno per causare ingenti danni.»
