10 regole sulle infrastrutture critiche.
Benvenute, e benvenuti, a una nuova serie di contenuti, che ho denominato "Il digitale per tutti" e che vi faranno compagnia tutti i venerdì mattina fino alla fine del 2023 su questo blog. Sono, essenzialmente, dei decaloghi nei quali ho elaborato una serie di regole, comprensibili anche per i non esperti, per affrontare singoli temi legati alla cybersecurity e agli attacchi informatici. Il fine è, ovviamente, quello di aumentare la sensibilità nei confronti di questi temi e, di conseguenza, le difese collettive.
Alcune premesse
Penso che sia ormai nota a tutti/e l'importanza delle infrastrutture critiche informatizzare nei tempi moderni.
Porti, sistemi di navigazione, catena delle forniture di servizi informatici, settore energetico, mondo della sanità, pubblica amministrazione, trasporti, servizi essenziali e piccole e medie imprese sono, oggi, il cuore pulsante della società dell’informazione e quelle che potremmo considerare le componenti più “delicate” dell’intero sistema. Sono tutte informatizzate ma, vedremo, non sempre al meglio.
Anche in questi ambiti, come prevedibile, i criminali sottraggono dati e credenziali a scopi estorsivi ma, anche, per finalità collegate ad attività di spionaggio. Sì possono, poi, generare attività ostili legate a periodi di guerra o, ancora, azioni politiche (ad esempio in contesti elettorali).
Il tutto, in sintesi, evidenzia una estrema fragilità dei sistemi informativi critici in qualsiasi Paese .
Un attacco tipico che colpisce ogni giorno realtà simili è il phishing, che conta anche sul gran numero di dipendenti di una azienda o ente e che può consentire di prendere il possesso di un computer e, quindi, di condizionare consegne e trasporti di merce illecita, di bloccare attività essenziali e di portare disordine/caos o circolazione di informazioni errate.
DIECI semplici regole da apprendere con riferimento a questi temi
- Il phishing è lo strumento più utilizzato anche per attaccare infrastrutture critiche e strategiche.
- Più la realtà e grande e ha dipendenti, più è vulnerabile: sarà più facile trovare soggetti non competenti da un punto di vista informatico da usare come "punto di ingresso" nel sistema.
- Tutti coloro che lavorano in simili strutture (ma proprio tutti!) dovrebbero essere formati, soprattutto nelle grandi realtà, con un piano di formazione regolare e aggiornato.
- La gestione dei privilegi su chi possa accedere a che cosa (a dati, servizi e sistemi) e come dovrebbe essere stringente e costantemente verificata e aggiornata.
- Tutti i fornitori dovrebbero avere lo stesso livello di sicurezza dell’ente con cui hanno stipulato un contratto di servizio, o superiore.
- È necessario un organo di pronto intervento e di reazione agli incidenti informatici in ogni struttura critica.
- Importante è il ruolo di alcune persone interne o esterne per impostare la governance della sicurezza.
- Gli investimenti in punto di sicurezza devono essere peculiari e costanti. La sicurezza informatica ha un costo che deve sempre essere previsto a bilancio come una priorità.
- Qualsiasi tipo di ente critico è attaccabile e ha la stessa importanza: piccolo o grande che sia, centrale o periferico. Soprattutto se comunica e scambia dati con enti più grandi e importanti.
- Gli attacchi possono essere pensati per portare caos, per generare disagi, per estorcere denaro oppure per preparare altri attacchi. Le motivazioni possono essere tante e anche condizionate dal contesto sociale e politico.