L’Italia avrà, entro il 2020, 1 miliardo di dispositivi interconnessi grazie all’IoT (Dati CIS Sapienza). Il settore delle telecomunicazioni vale oggi 31,9 mld di euro nel nostro Paese, dove 23 milioni di italiani accedono ogni giorno ad internet e possiedono 53 milioni di SIM con accesso al web (Dati AgCom).

Il 2016 è stato l’anno dell’avvio dei progetti finanziati dai fondi pubblici destinati allo sviluppo della banda ultralarga e di forte slancio negli investimenti privati in innovazione e sviluppo delle reti a banda ultralarga fissa e mobile.

Lo sviluppo, la sicurezza e la qualità della vita nei Paesi industrializzati dipendono dal funzionamento continuo e coordinato di un insieme di infrastrutture, definite per importanza strategica ‘Infrastrutture Critiche’, controllate a loro volta da sistemi informatici; queste includono i servizi essenziali per il benessere della popolazione, la sicurezza nazionale, il buon funzionamento del Paese e la sua crescita economica.

Quanto contano quindi le reti di Energia, Trasporti e Telecomunicazioni, il sistema sanitario, i circuiti economico-finanziari, le reti a supporto di Governo, Regioni, enti locali e quelle per la gestione delle emergenze nella crescita economica del nostro Paese? Come possiamo difenderle dalle Cyberwar e dal terrorismo internazionale?

Sono questi alcuni dei temi discussi oggi a Roma al SELTA Challenge 2017, un dibattito tra Istituzioni, politici, imprese, Università ed esperti europei, organizzato da SELTA, società tecnologica italiana che opera nell’ambito delle infrastrutture critiche nazionali, aperto con un messaggio del Viceministro delle Infrastrutture e Trasporti Riccardo Nencini: “Ringrazio SELTA per aver organizzato questa occasione di incontro e confronto in cui saranno affrontati temi centrali per lo sviluppo dell’Italia e del ‘Europa. Purtroppo improrogabili impegni istituzionali non mi consentono di partecipare ai lavori come avrei voluto. La gestione del rischio e la protezione delle infrastrutture critiche rappresenti un aspetto strategico per il sistema-paese. Incontri come quello di oggi hanno il merito di aiutare a trasformare questa consapevolezza in un tema di dominio pubblico, favorendo il necessario e imprescindibile coordinamento fra aziende, istituzioni e pubbliche amministrazioni. Il governo è impegnato costantemente a lavorare sulle questioni che sono oggetto del seminario di oggi. Mi auguro e vi auguro che da questa giornata di analisi e riflessioni possano scaturire osservazioni e contributi preziosi capaci di arricchire il dibattito sul sistema di sicurezza e sulla protezione delle nostre infrastrutture critiche”.

Dal confronto, spiega Gianluca Attura, Amministratore Delegato di SELTA, è emerso un appello comune: “In Italia serve una direzione strategica coordinata dalle Istituzioni sulle Infrastrutture Critiche e una convergenza tecnologica sempre più spinta. Da un lato vanno potenziate vista l’importanza che rivestono nello sviluppo economico dell’Italia, per esempio investendo sulle Smart Grid e le applicazioni Smart City. Dall’altro lato occorre difenderle correttamente perché sono il bersaglio del terrorismo internazionale e il nuovo terreno delle Cyberwar”.

Sul palco si sono alternati i protagonisti dei diversi settori industriali e del mondo politico italiano: Luisa Franchina, Presidente, AIIC-Associazione Italiana Esperti in Infrastrutture Critiche; Franco Bassanini, Presidente, Open Fiber; Andrea Lasagna, Head of Network Engineering, Fastweb; Antonio Nicita, Commissario, AGCOM; Vittorio Rosato, Responsabile del Lab Analisi e Protezione Infrastrutture Critiche, ENEA; Stefano Liotta, Responsabile Ingegneria, Sviluppo e Smart Grid, Acea; Aniello Gentile, Cyber Security, Global ICT Enel; Guido Pier Paolo Bortoni, Presidente, Autorità per l’Energia Elettrica, il Gas e il Sistema Idrico; Andrea Bonora, Direttore Generale, Illumia; Sandro Moretti, Teleconduction & Telecommunication, Alperia; Luca Pellizzari, COO, A2A Illuminazione Pubblica; Roberto Mugavero, Presidente dell’Osservatorio Sicurezza e Difesa CBRNe; Alberto Tripi, Presidente Almaviva, Responsabile Cyber security Confindustria; Sergio Boccadutri, Responsabile Innovazione, PD; Mirella Liuzzi, Commissione Trasporti e TLC, M5S; Deborah Bergamini, Vice Presidente Commissione trasporti e TLC, Forza Italia.

Sul palco si sono alternati i protagonisti dei diversi settori industriali e del mondo politico italiano come Riccardo Nencini, Viceministro, Ministero delle Infrastrutture e dei Trasporti, Luisa Franchina, Presidente, AIIC-Associazione Italiana Esperti in Infrastrutture Critiche e Paola De Micheli, Sottosegretario PdCM, Commissario Straordinario alla Ricostruzione delle Aree Terremotate.

Franco Bassanini, Presidente, Open Fiber e Antonio Nicita, Commissario, AGCOM hanno raccontato le telecomunicazioni tra vecchi modelli di business e nuove sfide tecnologiche.

Sulle infrastrutture critiche in ambito energetico sono intervenuti Stefano Liotta, Resp. Ingegneria, Sviluppo e Smart Grid, Acea; Vittorio Rosato, Resp. Lab Analisi e Protezione Infrastrutture Critiche, ENEA; Marco Margheri, Vice Presidente Esecutivo, Edison; Luca Pellizzari, COO, A2A Illuminazione Pubblica; Andrea Bonora, Direttore Generale, Illumia e Guido Pier Paolo Bortoni, Presidente, Autorità per l’Energia Elettrica, il Gas e il Sistema Idrico.

Andrea Lasagna, Head of Network Engineering, Fastweb e Sandro Moretti, Teleconduction & Telecommunication, Alperia hanno affrontato le telecomunicazioni e i nuovi servizi di rete.

Hanno espresso il punto di vista della politica sul tema Sergio Boccadutri, Responsabile Innovazione, PD; Mirella Liuzzi, Commissione Trasporti e TLC, M5S e Deborah Bergamini, Vice Presidente Commissione trasporti e TLC, Forza Italia.

Centrale anche il dibattito sulla sicurezza, sul quale si sono confrontati Corrado Giustozzi, Head of Cybersecurity Team, SELTA; Aniello Gentile, Cyber Security, Global ICT Enel; Roberto Mugavero, Presidente, Osservatorio Sicurezza e Difesa CBRNe; Alberto Tripi, Presidente Almaviva, Responsabile Cyber Security, Confindustria. Il 2017 è uno dei periodi peggiori di sempre per la sicurezza informatica in Italia, dove nel primo semestre gli attacchi gravi con un impatto economico, di reputazione e diffusione di dati sensibili, sono stati 571 (+8% sul 2016). Già nel 2016 si era verificato un aumento del 154% di attacchi alle infrastrutture critiche in Italia, con una crescita del 39% nelle attività di spionaggio online e del 30% di blitz criminali (Dati Rapporto Clusit 2016 e 2017).

Dati confermati da Bankitalia secondo cui, nel 2016, nel 46% dei casi le vittime sono state le PMI, il tessuto economico del Paese.

Corrado Giustozzi, Head of Cyber Security Team, SELTA ha ricordato come “Il cyberspazio non è un mondo separato, ma un insieme interconnesso di tutti i sistemi e le reti del nostro pianeta. È spesso considerato una terra di nessuno perché manca di confini espliciti; in realtà è una sorta di portale che consente a tutti di proiettare la propria presenza e le proprie attività nel cuore dei sistemi di un’altra nazione senza la necessità di attraversare un vero e proprio confine. Il rapporto costo / beneficio di un attacco informatico è sempre più elevato perché è più facile raggiungere le infrastrutture critiche e sfruttare la debolezza intrinseca di queste”.

Le conclusioni della giornata sono state tracciate da Paola De Micheli, Sottosegretario PdCM, Commissario Straordinario alla Ricostruzione delle Aree Terremotate.

L'articolo Selta promuove il dibattito sul futuro delle Infrastrutture Critiche in Italia proviene da Data Manager Online.

Il settore dei servizi pubblici, che comprende elettricità, gas, energia nucleare e trattamento delle acque, è il più critico al mondo secondo la nuova classifica stilata da Vertiv, in precedenza Emerson Network Power. La società ha riunito un panel di esperti internazionali di infrastrutture critiche, per quantificare sistematicamente e classificare le criticità di molteplici industrie, sulla base di 15 criteri. I trasporti di massa — nello specifico su rotaia e aerei — sono al secondo posto della lista, seguiti da telecomunicazioni, attività di produzione di gas e petrolio, cloud e colocation. L’elenco completo è disponibile in un nuovo report, Classifica dei settori più critici al mondo, disponibile sul sito www.VertivCo.com/SettoriCritici.

Il panel ha definito criteri che comprendono l’insieme delle potenziali conseguenze derivanti dalla perdita di disponibilità dei sistemi critici e le ha valutate sulla base della gravità dell’impatto. Tali criteri sono poi stati impiegati per creare un elenco delle criticità, utilizzato per classificare i singoli settori, che sono poi stati ordinati in base al punteggio medio.

“Se c’è un denominatore comune ai vertici della classifica, questo è l’interconnessione tra i settori”, ha commentato Jack Pouchet, Vice President market development di Vertiv. “Questi ambiti rappresentano le basi della società. Il tempo di fermo in una qualsiasi di queste aree può avere ripercussioni sui diversi settori e in tutto il mondo. Ciò non potrà che continuare, perché la nostra vita sarà sempre più mobile e connessa e l’Internet of Things procederà nella sua espansione.”

L’energia e l’acqua pulita sono esigenze fondamentali in una società sviluppata e supportano molti altri settori e attività, per questo i servizi pubblici rappresentano il settore più critico. I trasporti di massa si classificano al secondo posto: gli esperti citano non soltanto la sicurezza dei viaggiatori, ma l’enorme impatto che i ritardi e i disservizi possono avere su molteplici attività, su diversi mercati e in tutto il mondo. Il terzo posto per le telecomunicazioni rispecchia l’importanza della comunicazione e della connettività nelle attività personali e aziendali e in situazioni di emergenza.

Prendendo in considerazione il criterio relativo all’impatto finanziario di un downtime non previsto, al primo posto si stagliano i servizi finanziari, seguiti da e-commerce e cloud e colocation. Questi ultimi si posizionano invece al quinto posto della classifica generale dei settori più critici, in quanto numerose attività dipendono sempre più da queste piattaforme. Il panel ha anche identificato cloud e colocation come uno dei settori in rapida crescita che sta diventando sempre più critico.

“Il cloud, supportato da data center di enormi dimensioni e in colocation, sta diventando sempre più critico via via che un numero crescente di dispositivi e aziende si affidano a questa piattaforma per essere più performanti”, ha commentato il componente del panel Emiliano Cevenini, Vice President sales AC power e business development per Vertiv in Europa, Medio Oriente e Africa. “Prevediamo che questa tendenza continuerà nel futuro, in quanto le reti IoT che supportano industrie e smart city scelgono di utilizzare il cloud come piattaforma di riferimento per la loro tecnologia.”

L'articolo Vertiv stila la classifica dei settori più critici del mondo proviene da Data Manager Online.

La cyber-sicurezza moderna non richiede solo l’utilizzo delle migliori tecnologie ma anche la più innovativa e aggiornata intelligence sulle minacce, soprattutto quando gli hacker prendono di mira le infrastrutture critiche. Adempiendo alla propria missione di condividere le conoscenze nell’ambito della cyber-sicurezza, Kaspersky Lab ha fondato l’Industrial Control Systems Computer Emergency Response Team (conosciuto come ICS-CERT di Kaspersky Lab) – un’entità CERT internazionale che accoglie la collaborazione degli operatori di infrastrutture critiche, aziende e istituzioni governative. Attraverso il KL-ICS-CERT, Kaspersky Lab si propone di condividere anni di esperienza nel campo dei sistemi di sicurezza industriale e di coordinare lo scambio di competenze sulle minacce e sui metodi di protezione tra tutte le parti interessate.

La condivisione dell’intelligence è una priorità

Andrey Doukhvalov, Head of Future Technologies and Chief Security Architect di Kaspersky Lab, ha commentato: “L’attuale approccio alla cyber-sicurezza evidenzia l’importanza dell’unione delle diverse intelligence sulle ultime minacce al fine di sviluppare nuove tecnologie. Questo è vero soprattutto per le infrastrutture industriali, che corrono rischi specifici, hanno software e hardware altamente personalizzati, e devono soddisfare severi requisiti di affidabilità. In qualità di vendor di sicurezza, abbiamo cinque anni di esperienza nell’analizzare le minacce e nell’aiutare gli operatori industriali nella prevenzione e nel rilevamento delle minacce, nella risposta agli incidenti, nella formazione dello staff e nella previsione dei vettori dei futuri attacchi. Siamo sicuri che l’intelligence condivisa o, in modo più ampio, lo scambio di conoscenze tra vendor e operatori, sia un importante passo avanti per rendere più sicure le infrastrutture critiche. Grazie all’ICS-CERT, vogliamo ampliare la disponibilità delle competenze del settore, come nessuna azienda privata che si occupa di sicurezza ha mai fatto prima.”

ICS-CERT di Kaspersky Lab dà forza alla cyber-sicurezza industriale

L’Industrial Systems Emergency Response Team è un progetto speciale di Kaspersky Lab che offrirà una vasta gamma di servizi di informazione – dall’intelligence su cyber-minacce, incidenti di sicurezza e strategie di mitigazione alla risposta agli incidenti, fino alla consulenza di ricerca e vari servizi. Oltre all’intelligence su minacce e vulnerabilità, l’Industrial CERT di Kaspersky Lab condividerà anche competenze di compliance. In qualità di progetto non commerciale, ICS-CERT condividerà informazioni ed esperienze gratuitamente con i propri membri.

Morten Lehn, General Manager Italy di Kaspersky Lab ha dichiarato: “Come fornitore di soluzioni di sicurezza specifiche per sistemi di controllo industriale, il modo di lavorare con i nostri clienti è simile alle operazioni di una tipica entità CERT. La sicurezza completa si ottiene condividendo le informazioni sulle ultime minacce e vulnerabilità, offrendo servizi come la risposta agli incidenti, test di penetrazione e formazione dello staff. Per diversi anni siamo stati coinvolti nello sviluppo strategico di nuovi metodi di cyber-sicurezza, lavorando con istituzioni sia private sia governative per ottimizzare i livelli di protezione. La creazione dell’ICS-CERT è una mossa logica per ampliare la disponibilità della nostra intelligence, condividere la nostra conoscenza ed esperienza con un mercato più ampio, e al contempo imparare dal settore la continua evoluzione del panorama delle minacce”.

L'articolo Nasce l’ICS-CERT di Kaspersky Lab per proteggere le infrastrutture critiche proviene da Data Manager Online.

Le recenti notizie provenienti dall’Est sono solo le ennesime che mettono in risalto la debolezza dei sistemi industriali nei confronti degli hacker. È ancora ammissibile che nell’era moderna, con tutte le tecnologie che abbiamo, infrastrutture critiche possano essere violate e messe in ginocchio da un team connesso dall’altra parte del mondo? Purtroppo si e la causa è proprio l’innovazione. Attenzione, perché con questo non vogliamo dire che l’aggiornamento tecnologico sia un male, ma solo che le stesse nuove possibilità introdotte all’interno di centrali e fabbriche, che consentono ad esempio di gestire meglio flussi e processi di business, possono rappresentare un vettore di accesso da parte di terzi.

Protezione multi-livello

Nel 2013 i temi riguardanti la sicurezza erano al 13esimo posto di un’ideale classifica mondiale, nel 2015 sono arrivati alla posizione 5 mentre quest’anno solo al numero 3. È evidente che la questione è sempre più centrale. “Il punto è che non è più possibile affrontare le minacce informatiche singolarmente. Come Kaspersky sappiamo che oggi hacker e criminali digitali possono evitare un ostacolo e introdursi da una porta secondaria. Per questo la nostra offerta professionale è composta da un ecosistema di protezione multi-level, in grado non solo di salvaguardare un’azienda, ma di consentirle di proseguire il lavoro anche durante e dopo un attacco” – ha detto Morten Lehn, Managing Director di Kaspersky Lab Italia presentando Industrial Security Day, l’appuntamento con cui la compagnia ha segnato un punto importante nella lotta contro le violazioni ad organizzazioni, enti e imprese

Ad andare nello specifico è Andrey Doukhvalov, Head of Future Technologies, Chief Strategy Architect di Kaspersky Lab: “Trasporti, energia, acqua. Si tratta di business fondamentali per l’umanità. La tecnologia ha contribuito a rendere tutto più semplice e veloce ma anche rischioso. Nel momento in cui tante infrastrutture sono connesse, è evidente che c’è qualcuno che può trarre vantaggio da un accesso fraudolento. Kaspersky Lab sa bene che ogni rete tecnologica ha caratteristiche specifiche e spesso esclusive. Non a caso abbiamo pensato ad una difesa industriale personalizzabile in base alle esigenze, adattandosi a problematiche e richieste particolari.

Lancio in Italia

L’Industrial Security Day è anche il momento migliore per presentare una nuova soluzione per la business continuity dedicata ai clienti industriali. A presentarla è Andrey Suvorov, Head of Business Development, Critical inrastructure Protection Global Markets di Kapersky Lab: “Si chiama Kaspersky Industrial CyberSecurity (KICS) ed è stata pensata proprio per proteggere tutti i livelli della rete ICS più vulnerabili ai cyberattacchi: server ICS/SCADA, pannelli HMI, engineering workstations, PLC e altro ancora. L’obiettivo è proteggerli dalle minacce informatiche senza incidere sulla continuità e sulla costanza operativa del processo tecnologico”.

“La piattaforma che presentiamo offre un mix di tecnologie convenzionali, adattate per gli ambienti ICS, ma anche tecniche uniche, progettate per gli ambienti industriali, come il controllo di integrità per i programmi PLC, il monitoraggio semantico dei comandi di controllo dei processi e i dati telemetrici per rilevare gli attacchi informatici che prendono di mira le parti fisiche di un’infrastruttura. Ma non è tutto. La suite Industrial CyberSecurity comprende anche la Observability Mode, una funzione che prevede un controllo concentrato sull’analisi degli attacchi, errori del personale e anomalie all’interno della rete; il tutto all’interno di una console di gestione centralizzata – ci ha spiegato Alessio Aceti, Head of Pre-Sales di Kaspersky Lab Italia – già apprezzata in diversi progetti di respiro internazionale, come quelli attivati presso il terminal petrolchimico Vars e alle raffinerie di petrolio Taneco, che hanno scelto KICS per proteggere le loro reti industriali”.

L'articolo Kaspersky lancia Industrial CyberSecurity per proteggere le infrastrutture più critiche proviene da Data Manager Online.

Lo scorso 23 dicembre non è stato solo l’onomastico di mia mamma e di chiunque altra si chiamasse Vittoria. È una data memorabile per un milione e quattrocentomila ucraini rimasti al buio.

Il blackout, che ha lasciato per alcune ore senza corrente elettrica almeno metà delle case nella regione occidentale di Ivano-Frankvisk, non è da imputarsi al solito albero in Svizzera dietro la cui caduta si sono trincerati i responsabili della terribile esperienza di interruzione del servizio di energia che colpì al cuore l’Italia nel 2003. Stavolta, le colpe dell’accaduto sono state ricondotte a un evento informatico di natura dolosa: sul banco degli imputati è destinato a salire un trojan, ovvero un programma maligno che avrebbe messo KO i sistemi informatici che garantiscono il funzionamento della rete elettrica. Il suo nome è BlackEnergy e sembra essersi guadagnato il podio più in alto nella classifica – finora deserta – degli attacchi mandati a segno su impianti di larga scala con le semplici istruzioni tipiche di un malware.

#Security In caso di black-out i salmoni risalgono la corrente? @Umberto_Rapetto
Click To Tweet

Secondo fonti investigative (come si sente dire sempre più spesso dai mezzi di informazione alle prese con efferati delitti più o meno quotidiani) il pesante disservizio ha avuto luogo a seguito di un attacco hacker che è entrato in azione con un accesso da remoto ai sistemi di controllo industriale presso il fornitore locale di energia Prykarpattyaoblenergo.

L’azienda slovacca di sicurezza informatica, ESET (la prima a commentare il fatto un po’ per prossimità geografica, un po’ per particolare interesse allo specifico settore), ha pressoché immediatamente commentato che questo genere di aggressioni telematiche sono molto più diffuse di quanto non si possa credere. I tecnici di ESET avrebbero scoperto che il caso in questione non è un episodio isolato e – come se non bastasse – molte altre compagnie elettriche ucraine sarebbero state prese di mira, anche se si disconosce l’esito dell’assalto. Il grimaldello tecnologico utilizzato per il sabotaggio virtuale sarebbe un cavallo di Troia con radici russe e con la capacità di installare moduli addizionali che permettono la progressiva conquista dei sistemi presi a bersaglio.

#Security Lo stano caso #BlackEnergy e il “black-out” di informazione @Umberto_Rapetto
Click To Tweet

In termini pratici, BlackEnergy comincia il suo lavoro infettando l’Incident Command System, ovvero la confluenza dei gangli nervosi chiamati a reagire e a gestire l’emergenza al verificarsi di inconvenienti gravi. Poi installa un malware, anagraficamente noto sotto il nome di KillDisk, in grado di cancellare o sovrascrivere in modo irrimediabile tutte le informazioni presenti sui dischi fissi e capace di rendere gli hard-disk con i sistemi operativi non più riavviabili. Sorpresi anche gli esperti di Trend Micro che con il laconico “It’s pretty scary” lasciano comprendere la gravità della situazione.

I servizi segreti ucraini (SBU la loro sigla) hanno puntato il dito contro Mosca, mentre il ministro dell’Energia ha già attivato una speciale commissione d’inchiesta. In realtà, BlackEnergy non è una novità, visto e considerato che la sua prima apparizione risale addirittura al 2007 ed è poi stato oggetto di revisioni e perfezionamenti che hanno seminato il panico a giro d’orizzonte. Ma, ogni volta che succede qualcosa, sono tutti pronti a sgranare gli occhi come dinanzi a qualcosa di inaspettato, imprevedibile o straordinario.

#Security A proposito di smart grid e vulnerabilità delle infrastrutture critiche @Umberto_Rapetto
Click To Tweet

Dalle nostre parti l’inconveniente è passato addirittura inosservato. Non ne hanno parlato i giornali e quindi, come di prassi, non è successo nulla. Poteva essere un’occasione per riflettere sulla vulnerabilità delle infrastrutture critiche e sul “lato B” delle reti intelligenti, le tanto decantate smart grid.

Verrebbe la tentazione di lasciarsi scappare un fin troppo consueto “sarà per la prossima volta”, ma un minimo di garbo e di sana scaramanzia inducono a tenere la lingua a freno.

L'articolo In caso di black-out, i salmoni risalgono la corrente? proviene da Data Manager Online.

«Le minacce informatiche più pericolose in circolazione sono gli strumenti avanzati di spionaggio progettati dai servizi di sicurezza governativi». Parola di Eugene Kaspersky CEO e co-fondatore di Kaspersky Lab. «Malware creati su misura per colpire infrastrutture critiche, aziende di trasporti, sistemi industriali. Armi informatiche in grado di provocare veri e propri danni fisici alle persone».

Per fortuna, sinora i danni di questi attacchi sono stati piuttosto limitati. Un solo precedente di rilievo, l’attacco sferrato nel 2010 ai danni dei laboratori iraniani di arricchimento dell’uranio. Dopo Stuxnet, un worm frutto probabilmente della collaborazione tra USA e Israele, il panorama delle minacce IT è profondamente cambiato. In peggio. «Gli strumenti di spionaggio sono utilizzati come missili per penetrare le reti e danneggiare obiettivi specifici» – afferma Kaspersky. «Stuxnet nasce così. Solo successivamente, viene innestata una testata per colpire le macchine fisiche». Una cesura importante. Prima di Stuxnet, soltanto militari e intelligence potevano disporre delle risorse e delle conoscenze per sviluppare programmi di questo tipo. Dopo, la platea di paesi in grado di accedere a questi strumenti si è velocemente ampliata. Oggi, sono in molti a ritenere che sia in corso una vera e propria corsa agli armamenti cyber, simile per molti aspetti a quella che si consumò durante gli anni della guerra fredda. «I paesi leader probabilmente stanno facendo scorta di questi strumenti per possibili usi futuri di tipo militare. Un altro problema da non sottovalutare è che i criminali informatici si sono impadroniti in fretta delle tecniche di spionaggio di tipo APT, impiegate per attaccare le banche e rubare centinaia di milioni di dollari. La disponibilità di questi strumenti nelle mani dei criminali informatici lascia presagire che presto anche i terroristi potranno accedervi. E questa è la mia paura più grande» – dichiara Kaspersky.

#InternetSecurity «Internet Of Threats». Le nuove frontiere della cyberwar @e_kaspersky @KasperskyLabIT
Click To Tweet

Prove tecniche di guerra a bassa intensità

Ora, sebbene i contorni di quello che si potrebbe definire un conflitto globale siano ancora piuttosto sfumati, i segnali che in realtà sia già in corso una sorta di guerra a bassa intensità si moltiplicano. Alimentata dalle falle aperte nelle infrastrutture critiche di quasi ogni paese. E dalla mancanza di scrupoli di taluni attori. è un fatto che chi come l’NSA in passato deteneva conoscenze e risorse per attaccare, non limitandosi a rafforzare le proprie difese, ha indebolito la rete intesa come infrastruttura, assicurando dapprima ad altri stati e poi alla criminalità l’opportunità di colpire le infrastrutture che tutti utilizziamo. Ma oltre a dilatarsi la platea di potenziali attaccanti, si sono moltiplicate anche le possibilità di accesso a tecnologie d’attacco letali, collocate in un’area grigia al riparo da preoccupazioni etiche e legali. Il fatto che un qualsiasi governo le possa impiegare per intercettare i criminali, di per sé non esclude che in un altro paese vengano invece impiegate come strumenti di repressione e sorveglianza. In entrambi i casi, non è richiesta alcuna patente di moralità. E così anche paesi meno attenti, per usare un eufemismo, alla libertà delle persone, possono accedervi senza particolari restrizioni. Né vincoli di natura legale. Nessuno può impedire che la tecnologia sia traslata a terzi che possono assumere le sembianze di gruppi paramilitari, terroristici o semplicemente criminali. Una situazione in cui persino chi prova a difenderci può rimanere invischiato. Ne sanno qualcosa proprio i laboratori di Kaspersky Lab che in giugno hanno comunicato la scoperta di una variante di Duqu (un trojan noto soprattutto per i danni causati al settore bancario) progettata per penetrare i sistemi del vendor di sicurezza. «L’attacco ci ha dato l’opportunità di migliorare le nostre difese, le nostre tecnologie e i nostri prodotti» – ci dice Kaspersky. «Duqu 2.0 è senz’altro una minaccia avanzata. Per certi aspetti, si tratta di una generazione più evoluta di qualsiasi altro malware mai visto prima. La buona notizia è che ora siamo in grado di rilevarla, comprenderne le tecniche che l’hanno reso così sfuggente. E di aiutare clienti e partner a proteggersi da minacce simili».

#InternetSecurity Prospettive future, privacy e crescita delle minacce @e_kaspersky @KasperskyLabIT
Click To Tweet

Prospettive future e crescita delle minacce

Questo tipo di minacce sono destinate a moltiplicarsi in futuro. Presto, assisteremo alla rivoluzione annunciata dell’Internet delle cose. Un’opportunità epocale. Foriera però di numerosi interrogativi, colti con largo anticipo da Eugene Kaspersky secondo cui «il mondo è sovraccarico di honeypot», riferendosi al fatto che oggetti di uso comune come il televisore, lo smartphone, presto le auto, sono così vulnerabili da attirare frotte di malintenzionati. «Violare un’aspirapolvere smart potrebbe apparire un’azione senza senso. Ma abbiamo già assistito al caso di un frigorifero intelligente divenuto parte di una botnet. E sono numerosi i dispositivi che consentono ai criminali informatici di ottenere l’accesso a dati privati, informazioni finanziarie e così via. Ma quel che è peggio è la semplicità con cui si possono commettere queste violazioni» – rimarca Kaspersky, auspicando l’adozione di qualche misura immediata. «C’è urgente bisogno di introdurre norme in materia di sicurezza di questi nuovi dispositivi intelligenti». Un problema che andrebbe affrontato già in fase di progettazione. «Anche se molto lavoro è stato fatto, i produttori hanno spesso ignorato i requisiti di sicurezza. Quando invece dovrebbe essere la priorità assoluta sin dalla fase di sviluppo di questi prodotti. Spesso invece gli sviluppatori dell’Internet of Things iniziano a pensare alla sicurezza solo alla fine di un progetto. Quando cioè i dispositivi sono pronti e in fase di test. A quel punto è molto più difficile, costoso e talvolta impossibile rendere inattaccabile il dispositivo». Una situazione alla quale si dovrebbe porre rimedio con normative all’altezza. E scelte politiche condivise.

#InternetSecurity Infrastrutture critiche e IoT? Ecco i rischi @e_kaspersky @KasperskyLabIT
Click To Tweet

Per una maggiore sicurezza e privacy delle persone

«Penso sia molto difficile mantenere una privacy totale e al tempo stesso godere dei benefici dell’era di Internet. La nostra digital footprint è ampia e la maggior parte degli utenti possiede un’enorme quantità di dati digitali memorizzati da terzi sui quali non ha alcun controllo. Il carrier telefonico sa sempre dove ci troviamo, mentre andiamo in giro con il cellulare in tasca. La banca memorizza i dati di tutte le transazioni effettuate con carta di credito. Per le strade e sui mezzi pubblici ci sono telecamere di sorveglianza probabilmente in grado di riconoscere i volti. Ora, non sto dicendo che le compagnie telefoniche o le banche utilizzano tali dati in maniera subdola o dannosa. Ma è un dato di fatto che le persone non hanno il controllo di queste informazioni». Per questo abbiamo un disperato bisogno di soluzioni all’altezza della minaccia. Anche se ad esse si devono accompagnare comportamenti più responsabili da parte nostra. «Viviamo in un mondo che non è stato progettato per la privacy. Le persone dovrebbero cominciare a capire i rischi che ciò comporta. I governi poi dovrebbero regolamentare la protezione della privacy e impegnarsi perché venga davvero rispettata. In ogni caso – conclude Kaspersky – se si cerca la privacy assoluta, ho paura che l’unico modo sia quello di spegnere tutti i dispositivi collegati alla rete e andare a vivere in un posto isolato dal mondo. Di solito però, condurre una vita del genere non è per nulla confortevole. e neppure divertente».

L'articolo Infrastrutture critiche e IoT? Ecco i rischi. Eugene Kaspersky: «La cyberwar è già iniziata» proviene da Data Manager Online.

Secondo quanto emerso da un report pubblicato da The Aspen Institute e Intel Security, i responsabili IT all’interno delle infrastrutture critiche sono consapevoli della necessità di un servizio informazioni sulle minacce frutto della collaborazione tra pubblico e privato (86% degli intervistati) per tenere il passo con le crescenti minacce di sicurezza informatica. La maggioranza degli intervistati (76%) ha anche ribadito la necessità di una forza di difesa nazionale che risponda nel caso in cui si verifichi un attacco di criminalità informatica contro un’infrastruttura critica all’interno dei confini nazionali. Inoltre, anche se la maggior parte degli intervistati concorda sul fatto che le minacce verso la propria organizzazione siano in aumento, mantengono un’alta fiducia nella sicurezza esistente.

L’indagine, dal titolo Holding the Line Against Cyber Threats: Critical Infrastructure Readiness Survey, (Mantenere la posizione contro le minacce informatiche: indagine sulla situzione all’interno delle infrastrutture critiche), rivela che gli attori del settore delle infrastrutture critiche intervistati sono soddisfatti di quanto fatto per migliorare la sicurezza informatica nel corso degli ultimi tre anni, anche se al tempo stesso molti (72%) hanno dichiarato che gli attacchi sono in crescita. Quasi la metà degli intervistati (48%) crede che un attacco informatico contro le infrastrutture critiche, con il potenziale per provocare la perdita di vite umane, possa avvenire entro i prossimi tre anni.

“Questi dati puntano l’attenzione su come gli interessi pubblici e privati possono fare di più per unire le forze con l’obiettivo di mitigare gli attacchi informatici e proteggere le infrastrutture critiche contro di essi”, ha dichiarato Clark Kent Ervin, direttore, Homeland Security Program di Aspen Institute. “La questione deve essere affrontata sia dai responsabili politici che dai dirigenti aziendali”.

“Questo nuovo report conferma ancora una volta che sono sempre più necessarie difese informatiche di nuova generazione che includano una strategia IT condivisa e un servizio di informazioni sulle minacce frutto della collaborazione tra pubblico e privato,” ha aggiunto Ferdinando Torazzi,  regional director enterprise Italia e Grecia, Intel Security, “Soprattutto nel settore delle infrastrutture critiche, poi, è essenziale una formazione continua per gli utenti circa le minacce informatiche e le pratiche di sicurezza fondamentali , al fine di contribuire a mitigare il rischio di minacce in grado di sfruttare l’errore umano.”

I risultati del sondaggio suggeriscono inoltre che potrebbe esserci uno scollamento di percezione da parte dei fornitori di infrastrutture critiche rispetto al panorama delle minacce in corso:

·         Percezione dei miglioramenti: gli intervistati ritengono che la loro vulnerabilità agli attacchi informatici sia diminuita nel corso degli ultimi tre anni. Quando è stato chiesto di valutare il loro stato di sicurezza in retrospettiva, il 50% ha riferito che tre anni fa avrebbe considerato la propria  organizzazione “molto o estremamente” vulnerabile; in confronto, solo il 27% ritiene che lo sia attualmente.

·         Necessità di un coinvolgimento del governo: l’industria privata spesso è titubante quando si tratta del coinvolgimento del governo negli affari del settore privato; tuttavia, l’86% degli intervistati ritiene che la cooperazione tra i settori pubblico e privato in materia di protezione delle infrastrutture critiche sia un elemento fondamentale per il successo della difesa dal cybercrime. Inoltre, il 68% degli intervistati ritiene che il proprio governo può essere un partner prezioso e autorevole per la sicurezza informatica.

·         Fiducia nelle soluzioni attuali: il 64% degli intervistati è convinto che non sia ancora avvenuto un attacco con vittime perché è già in essere una buona sicurezza IT. Di conseguenza, più di quattro su cinque sono soddisfatti o molto soddisfatti delle prestazioni dei propri strumenti di sicurezza come la protezione degli endpoint (84%), i firewall di rete (84%) e i gateway web (85%).

·         Violazioni in aumento: più del 70% degli intervistati ritiene che il livello di minaccia della sicurezza informatica nella loro organizzazione si sta aggravando. Circa nove su dieci (89%) intervistati ha subito almeno un attacco a un sistema all’interno della propria organizzazione, che ritenevano sicura, nel corso degli ultimi tre anni, con una media di quasi 20 attacchi l’anno. Il 59% degli intervistati ha dichiarato che almeno uno di questi attacchi ha provocato danni fisici.

·         Perdite di vite umane?: il 48% degli intervistati ritiene che entro i prossimi tre anni sarà sempre più probabile che si verifichi un attacco informatico diretto a infrastrutture critiche con potenziali perdite di vite umane,  sebbene nel sondaggio non fossero incluse domande aggiuntive per determinare le circostanze in cui gli intervistati ritenevano potessero verificarsi perdite di vite. Tra gli intervistati sono stati in numero maggiore gli statunitensi a ritenere questo scenario “estremamente probabile” rispetto agli europei.

·         L’errore umano si conferma il problema n° 1: gli intervistati ritengono che gli errori degli utenti siano la principale causa di attacchi riusciti a infrastrutture critiche. Le aziende possono rafforzare le loro posizioni di sicurezza, ma i singoli dipendenti possono ancora cadere vittime di phishing, social engineering e download drive-by del browser che riescono facilmente a infettare le reti delle loro organizzazioni.

·         Risposta del governo: il 76% degli intervistati ritiene che una forza di difesa nazionale debba rispondere quando un attacco informatico danneggia un’infrastruttura critica all’interno dei confini nazionali.

·         Prospettive differenti: gli intervistati negli Stati Uniti ritengono che la probabilità di un attacco informatico catastrofico sulle infrastrutture critiche in grado di provocare vittime sia più certa rispetto agli europei. Mentre il 18% degli intervistati statunitensi considera “estremamente probabile”che questo scenario si possa verificare nei prossimi tre anni, solo il 2% in Germania e il 3% nel Regno Unito condividono tale opinione.

L'articolo Le sfide di sicurezza nelle infrastrutture critiche proviene da Data Manager Online.

Chi è abituato o costretto a viaggiare sovente servendosi di voli di linea si domanda quanta sicurezza ci sia al di là delle apparenze e dei controlli di routine. Il fastidio dei security check prima di arrivare al gate per l’imbarco è accompagnato da mille pensieri: sono in molti a chiedersi se – a parte il proprio bagaglio – qualcuno provveda a verificare tutto il resto.

#security #FAA Punti deboli nel sistema nazionale dello spazio aereo USA @Umberto_Rapetto @FAANews
Click To Tweet

Oltreoceano, nel gennaio scorso, il General Accountability Office (GAO, il braccio armato del Congresso americano) ha reso pubblico un report in cui sottolinea la necessità e l’urgenza che la Federal Aviation Administration (che potrebbe essere un incrocio tra i nostrani ENAC e ENAV) adotti ogni iniziativa utile per ridurre la vulnerabilità dei sistemi di controllo del traffico aereo.

Nel mirino dei severi auditor del GAO c’è il cosiddetto NAS, che nulla ha a che vedere con i sempre operativi militi dell’Arma dei Carabinieri alle prese con le sofisticazioni alimentari e che invece identifica il National Airspace System. Il NAS è particolarmente complesso e include dalle torri e dai radar di controllo alle procedure e infrastrutture, dagli aeroplani al personale che li utilizza e che ne assicura manutenzione ed efficienza. Obiettivo dell’analisi è stato quello di individuare le minacce – interne ed esterne – che possono pregiudicare il regolare svolgimento della missione demandata al sistema di controllo degli spazi e del traffico sopra le nostre teste.

La Federal Aviation Administration (FAA), mentre non ha esitato a immaginare una possibile protezione dei sistemi a fronte delle minacce cibernetiche e di altre insidie “moderne”, ha trascurato di predisporre cautele e difese volte ad assicurare l’effettiva e ininterrotta operatività del sistema nazionale dello spazio aereo.

#security Aumenta la paura per un ipotetico 11 settembre digitale @Umberto_Rapetto
Click To Tweet

Il risultato dell’ispezione è stato sorprendente perché sono stati rilevati punti deboli nella prevenzione, limitazione e individuazione degli accessi non autorizzati alle risorse informatiche, nei sistemi di protezione del perimetro telematico, nell’identificazione e autenticazione degli utenti, nell’abilitazione a consultare archivi, criptare e decifrare dati sensibili, nell’eseguire attività di auditing e di monitoraggio sui sistemi del NAS. Il report si chiude con 17 raccomandazioni generali e con l’indicazione puntuale di ben 168 azioni specifiche la cui attuazione potrebbe rafforzare i sistemi in questione. Una situazione “seria”, insomma.

Tuttavia, nella risposta scritta a una interpellanza, Keith Washington, alto dirigente del Department of Transportation, ha serenamente detto che la FAA può già contare su ben sei iniziative che possono essere considerate “pietre miliari” nel contesto della security. Il senatore Chuck Schumer e tanti altri rappresentanti politici con lui, invece, non riescono a condividere la soddisfazione di chi plaude a presunti traguardi raggiunti dalla FAA. Qualcuno teme che le fragilità riscontrate dal GAO possano preludere a un ipotetico 11 settembre digitale. La paura di Schumer è che non manchi chi sia in grado di “hackerare” il sistema, con micidiali conseguenze e migliaia di aeroplani nei cieli americani che potrebbero restare senza punti di riferimento e di coordinamento, con il rischio di collisioni e di altri incidenti.

#security #Trasporto aereo le infrastrutture critiche sono nel mirino @Umberto_Rapetto
Click To Tweet

Chi considera esagerate certe preoccupazioni e le etichetta come il terminale di un processo di sopravvalutazione del rischio, probabilmente, non fa i conti con il delicatissimo momento storico.

Se le infrastrutture critiche sono nel mirino, quelle dell’area trasporti si trovano certo in “pole position” e in quest’ambito lo scenario “aereo” è la prima in griglia di partenza. Inoltre, i drammatici precedenti, permangono nei pensieri di tutti e fanno ricordare che con la sicurezza non si scherza.

L'articolo La paura nel blu dipinto di blu proviene da Data Manager Online.

Strategie di difesa e nuove minacceLa diffusione dell’ICT ha incrementato la possibilità di sfruttare la tecnologia a fini invasivi e terroristici, aumentando le vulnerabilità dei sistemi e ampliando il bacino di soggetti potenzialmente esposti. Tale minaccia grava su tutte le piattaforme, dai sistemi complessi delle grandi aziende, delle banche e della PA, ai dispositivi dei singoli cittadini. La cosiddetta minaccia cibernetica, per la sua natura diffusa, incontrollata e transnazionale, rappresenta – oggi – una delle sfide più impegnative. I cyber attack sono in grado di produrre effetti confrontabili con quelli ipotizzabili in attacchi bellici convenzionali e di incidere sull’esercizio stesso delle libertà essenziali per i sistemi economici e democratici.

La guerra, il terrorismo e il crimine non si svolgono più o solo nel modo tradizionale ma anche nel cyber-space. Gli obiettivi privilegiati sono le cosiddette infrastrutture critiche (IC), lo Stato, l’economia, le singole aziende e, quindi, le banche e i sistemi della finanza. La distruzione e il danneggiamento – anche parziale – di una IC hanno un notevole impatto economico e sociale. Basti pensare alle reti della finanza e dei sistemi di pagamento che includono effetti intersettoriali e transfrontalieri, con effetto “domino” dovuto alle interdipendenze e interconnessioni.

In particolare, si profilano all’orizzonte gli advanced persistent threat, le cosiddette APT, che sono attacchi prolungati nel tempo e focalizzati su specifici obiettivi economici o strategici. Nelle varie fasi dell’APT, che possono anche durare anni, sono utilizzate non solo tecniche di hacking tradizionali, ma anche tools dedicati. In sostanza, vere e proprie azioni di spionaggio e sabotaggio via Internet e canali tradizionali.

Il rischio APT nella finanza è confermato dall’autorevole Global Risks Report del World Economic Forum (www.weforum.org) che – analizzando le 50 principali minacce globali dei prossimi 10 anni e classificandole per impatto e probabilità – pone il cyber attack ai primi posti. Il successivo livello di escalation può quindi essere una seria minaccia per il sistema bancario e finanziario di uno o più paesi. Non bisogna, infatti, dimenticare che a livello di competitività industriale gli obiettivi di gruppi – anche piccoli ma ben organizzati, con una copertura istituzionale da parte di eventuali paesi ostili – non sono solo i singoli conti dei clienti ma le informazioni strategiche di una banca o di grandi manovre finanziarie, economiche e industriali. Anche le mafie si stanno evolvendo: hanno fatto un up-grade delle competenze e cominciato a rubare, riciclare e a far transitare soldi attraverso i sistemi informatici, usando i sistemi della finanza.

L’evento più importante dell’ultimo anno, in questo ambito, è stato Eurograbber, una colossale operazione criminale condotta nei confronti di 30mila conti correnti europei, che ha sottratto agli ignari correntisti oltre 36 milioni di euro con prelievi illeciti e ai singoli malcapitati, somme tra i 500 e 250mila euro. L’operazione, condotta con l’ennesima variante per piattaforme mobile del malware Zeus (ZitMo), è partita proprio dal nostro Paese e ha coinvolto 16 istituti bancari solo in Italia, oltre agli 11mila utenti complessivi a livello europeo. Il New York Stock Exchance (NYSE) ha recentemente imposto a banche, broker e gestori di asset di dimostrare praticamente la propria resilienza di business continuity anche sotto cyber attack. L’esercitazione – che ha il nome in codice di Quantum Down 2 ed è coordinata dalla Securities Industry and Financial Markets Association (Sifma), l’associazione che rappresenta le aziende del settore finanziario – coinvolge circa 50 istituti finanziari e istituzioni federali, oltre al dipartimento del Tesoro, l’FBI e il dipartimento per la sicurezza nazionale USA.

Bill Michael, responsabile dei servizi finanziari di Kpmg (www.kpmg.com), nel recente rapporto sul settore bancario inglese afferma che il maggiore rischio attuale non è quello di una crisi di liquidità, ma di un cyber attack che paralizzi le attività delle banche. «I cyber attack – sostiene Michael – potrebbero essere il prossimo shock sistemico. Ci sono sempre maggiori dubbi sulla capacità delle banche di combattere future minacce alla sicurezza. Dopo anni di miglioramento, le banche britanniche hanno subìto, lo scorso anno, un aumento del 12% delle frodi online».

ANALISI AUTOREVOLI

A livello governativo, la conferma dell’aumento delle minacce arriva dall’ultima relazione del DIS (Dipartimento di Informazione per la Sicurezza) della Presidenza del Consiglio sulla Politica dell’informazione per la sicurezza e dalla relazione del COPASIR (Comitato Parlamentare per la Sicurezza della Repubblica). L’accresciuta rilevanza della cyber security è testimoniata anche dalla relazione annuale del Sistema di Informazione per la Sicurezza della Repubblica (l’insieme delle istituzioni e agenzie nazionali preposte alle attività di intelligence). Lo stesso governo considera la minaccia cyber non più come mero problema di criminalità, ma come questione di sicurezza nazionale. Cruciale in tal senso è la protezione delle infrastrutture critiche informatizzate (CIIP). Nell’ultimo rapporto dell’osservatorio dell’Istituto Affari Internazionali (IAI – www.iai.it) dal titolo Cyber-security: Europa e Italia, si ribadisce che l’interesse del cybercrime è particolarmente elevato per le frodi bancarie, il furto di identità e di informazioni (come lo spionaggio industriale) che sono causa di ingenti danni economici. Secondo l’annuale rapporto Clusit (www.clusit.it) sulla Sicurezza ICT in Italia, presentato a Roma lo scorso giugno durante il Security Summit 2013, in relazione a quanto avvenuto nel 2012 e nei primi mesi del 2013, la situazione è in netto peggioramento e vi sono elementi di forte preoccupazione tra gli addetti ai lavori. Ci troviamo di fronte a una vera e propria emergenza nella quale nessuno può più ritenersi al sicuro, dove tutti sono in qualche modo e – a vario titolo – minacciati. La frequenza degli incidenti è aumentata del 250% in un solo anno. Il cybercrime è diventato la causa del 54% degli attacchi (era il 36% nel 2012), con una crescita anno su anno del numero di attacchi di oltre il 370%. Lo studio Clusit si riferisce a un campione di oltre mille e 600 incidenti significativi avvenuti negli ultimi due anni e al confronto con le informazioni che emergono dai report di molti vendor (Cisco, IBM, Kaspersky, McAfee e Trend Micro).

AZIONI E CONTROMISURE

Per affrontare e dibattere il tema, i principali attori della sicurezza in banca e nella finanza si sono incontrati a Roma poco prima dell’estate per l’annuale summit Banche e Sicurezza 2013. L’evento – organizzato e ospitato dall’associazione bancaria italiana (ABI – www.abi.it), in collaborazione con l’osservatorio in materia di sicurezza (OSSIF – www.ossif.it) e ABI Lab (www.abilab.it) – è la sede più importante e qualificata per fare il punto sulle prospettive future e sulle più innovative metodologie e tecnologie per la sicurezza nella finanza. L’incontro annuale è unico nel suo genere, sia per la visione privilegiata sul settore sia per il coinvolgimento istituzionale.

Le vaste implicazioni della minaccia cibernetica sono state all’origine delle norme introdotte, prima con la legge n. 133/2012 e poi con il DPCM del 19/3/2013 n. 66. L’Italia ha oggi la sua strategia per la cyber security. Il decreto 66, in particolare, definisce “l’architettura istituzionale deputata alla tutela della sicurezza nazionale relativamente alle IC materiali e immateriali, con particolare riguardo alla protezione cibernetica e alla sicurezza informatica nazionali, indicando a tal fine i compiti affidati a ciascuna componente e i meccanismi e le procedure da seguire ai fini della riduzione della vulnerabilità, della prevenzione dei rischi, della risposta tempestiva alle aggressioni e del ripristino immediato della funzionalità dei sistemi in caso di crisi”.

ARCHITETTURA A TRE LIVELLI

L’architettura si articola su tre distinti livelli d’intervento. Il primo è di indirizzo politico e coordinamento strategico per l’elaborazione di un Piano nazionale per la sicurezza dello spazio cibernetico. Il secondo è di supporto con funzioni di raccordo nei confronti di tutte le amministrazioni ed enti competenti per l’attuazione degli obiettivi, delle linee di azione indicate dalla pianificazione nazionale e che provvede a programmare l’attività operativa a livello interministeriale e ad attivare le procedure di allertamento in caso di crisi. Il terzo livello è di gestione delle crisi, con il compito di curare e coordinare le attività di risposta e di ripristino della funzionalità dei sistemi, avvalendosi di tutte le componenti interessate. La legge attribuisce al Comitato interministeriale per la sicurezza della Repubblica (CISR) compiti di consulenza, proposta e deliberazione sugli indirizzi e sulle finalità generali della politica dell’informazione per la sicurezza, nonché di elaborazione degli indirizzi generali e degli obiettivi fondamentali da perseguire nel quadro della politica dell’informazione per la sicurezza. Un’ulteriore e specifica esigenza di coordinamento si pone con riguardo alla gestione operativa delle crisi e all’adozione delle misure necessarie al ripristino della funzionalità dei sistemi. Tale coordinamento è individuato nel Tavolo interministeriale di crisi cibernetica che – per gli aspetti tecnici di computer emergency response – si avvale del CERT nazionale istituito presso il ministero dello Sviluppo economico ai sensi del decreto legislativo n. 259/2003. Anche la Commissione europea ha finalmente reso nota la sua direttiva in materia di sicurezza delle reti e dell’informazione. Il piano nasce per tutelare l’apertura, la libertà e le opportunità della rete. Nello specifico le priorità sono cinque: conseguire la resilienza informatica, ridurre drasticamente la criminalità informatica e sviluppare la politica di difesa e le capacità informatiche connesse alla politica di sicurezza e di difesa comune. DIS e COPASIR, commentando il nuovo impianto normativo, sottolineano che «oggi la sicurezza del Paese passa per la sicurezza delle sue aziende e la sicurezza delle aziende non può prescindere dalla sicurezza del Paese». In altre parole, l’intelligence si pone a supporto della sicurezza aziendale (infrastrutture critiche e cybercrime in particolare). Esistono dunque le premesse normative e fattuali affinché il rapporto pubblico-privato possa esprimere tutte le sue potenzialità positive, realizzando una sicurezza globale e di sistema quale base fondamentale di contrasto ai cyber attack. Da un punto di vista operativo, l’ABI e la Convenzione interbancaria per i problemi dell’automazione (CIPA) hanno emesso l’annuale Piano delle attività in materia di automazione interbancaria (per il periodo 2013 – metà 2014), che raccoglie le principali attività progettuali e quelle di analisi e studio promosse dalla Banca d’Italia (BI), dalla stessa CIPA, dall’ABI, dai consorzi BANCOMAT, CBI e ABI Lab, da OSSIF e dai centri applicativi. Il piano è sempre più orientato a una forte integrazione europea delle infrastrutture, dei mercati e degli strumenti della finanza e dei sistemi di pagamento e fotografa anche i fenomeni della sicurezza informatica in termini di utilizzo dell’ICT, di investimenti, di progetti e di priorità dell’intero sistema bancario. In materia di continuità operativa e sicurezza delle IC del sistema finanziario, proseguono le attività del CODISE (gruppo di lavoro sulla continuità operativa del sistema finanziario coordinato da BI), attraverso lo svolgimento di esercitazioni annuali e lo sviluppo di nuove metodologie per l’analisi dei rischi. Il comitato ha approfondito i rischi cyber per le infrastrutture di mercato, con particolare riferimento agli aspetti di continuità operativa e ha mostrato l’importanza di sviluppare nuove metodologie e metriche per l’analisi dei rischi.

PIù’ INTELLIGENCE PER LA SICUREZZA

La Banca d’Italia partecipa ai lavori dell’European Forum on the Security of Retail Payments (SecurePay Forum). Nel mese di febbraio 2013 la Banca Centrale Europea (BCE) ha pubblicato il rapporto Recommendations for the security of internet payments, che contiene le raccomandazioni in materia di sicurezza per i pagamenti via Internet. Queste linee guida dovranno essere trasferite nelle regolamentazioni nazionali entro il primo febbraio 2015. I principali aspetti riguardano la fase di inizializzazione del pagamento (metodi di “autenticazione forte” dell’utente, vincoli sulla sessione transattiva, presidi di monitoraggio sulla fase di inoltro della transazione), l’implementazione di misure di sicurezza per mitigare i rischi di utilizzo fraudolento e la fase di assistenza del consumatore (con appositi sistemi di alert e la verifica dei movimenti effettuati). In parallelo, la BCE ha emesso anche le Recommendations for payment account access services, che riguardano la sicurezza dei servizi Internet forniti da soggetti terzi che, interponendosi tra l’utente e la banca (o altro prestatore di servizi di pagamento), consentono al cliente di effettuare pagamenti accedendo al proprio conto. La BI, nel ruolo di ente titolare del trattamento dei dati della Centrale di Allarme Interbancaria (CAI), svolge anche una costante azione di controllo sulle segnalazioni trasmesse dagli intermediari e sulla gestione dell’archivio da parte della SIA (www.sia.eu). Inoltre, è in corso il progetto per la realizzazione di un data warehouse finalizzato a rendere più efficaci i processi di analisi delle segnalazioni di operazioni sospette attraverso l’integrazione di tutte le fonti informative interne all’Unità di informazione finanziaria (UIF), di quelle della BI e delle fonti esterne. ABI Lab, con il suo osservatorio su Sicurezza e frodi informatiche – cui partecipano attivamente le banche, gli outsourcer interbancari, i partner ICT, i referenti istituzionali e della Polizia Postale e delle Comunicazioni – è costantemente attivo nell’area della prevenzione e del contrasto dei cyber attack e mantiene il presidio dei rapporti con le principali istituzioni europee e con i centri di studio nazionali e internazionali attivi in materia. In particolare, ABI Lab fa parte dell’European Electronic Crime Task Force, le cui attività si concentrano sul contrasto alle frodi online e il fenomeno del crimine informatico. Sono seguite con particolare attenzione le attività del Progetto europeo OF2CEN (On-Line Fraud Cyber Centre and Expert Network), finanziato dalla Commissione europea e coordinato dalla Polizia Postale. Tra gli obiettivi del progetto risalta l’istituzione di un Cyber Frauds Centre nazionale per la raccolta e lo scambio di informazioni inerenti ad attacchi sospetti o perpetrati sul canale Internet nei confronti di banche e la creazione di una piattaforma per lo scambio di informazioni con la Polizia Postale e delle Comunicazioni a supporto delle attività investigative delle forze dell’ordine e delle iniziative di information sharing del Cyber Frauds Centre. Al fine di massimizzare le azioni di contrasto e prevenzione interviene ancora il rapporto Sicurezza e frodi informatiche in banca di ABI Lab a mettere in luce come è sempre più importante e strategico dotarsi di strumenti evoluti e continuamente aggiornati, in grado di effettuare un presidio costante degli accessi, delle operazioni e della rete. Per quanto riguarda l’organizzazione, la tecnologia e le azioni principali da mettere in campo all’interno della banca ci sono:

•          accurato risk assessment che contempli anche il rischio APT

•          adozione di sistemi di cifratura e data loss prevention (DLP)

•          continuo pathcing dei sistemi operativi

•          adozione di framework di sicurezza nello sviluppo software

•          segmentazione delle reti e separazione delle funzioni aziendali

•          adozione di sistemi di strong authentication

•          monitoraggio del traffico entrante e uscente

•          analisi anomalie utilizzo dei sistemi informativi

•          costituzione del CIRT(computer incident response team)

•          attività di cyber intelligence al fine di predire possibili minacce.

L’adeguata verifica della identità è un aspetto rilevante dell’azione preventiva di contrasto. Essa richiede l’identificazione e l’autenticazione dei dati acquisiti e la verifica nei confronti del beneficiario – titolare effettivo – quando il cliente è una persona giuridica o effettua un’operazione per conto di altri soggetti. Il presidio migliore per la prevenzione del rischio è quello dell’autenticazione “a due fattori”, basata, per esempio, su smart card contenenti certificati digitali e codice PIN o su token e PIN.

Alle soluzioni tecnologiche si affiancano le iniziative di sistema e delle singole banche volte ad accrescere il livello di conoscenza e familiarità dei dipendenti e dei clienti con i fenomeni fraudolenti e che si concretizzano in azioni di formazione destinate a: personale di filiale, strutture di help desk, operatori di call center. Nel medesimo quadro si pone la diffusione di una cultura della prevenzione cibernetica e della cybersecurity, secondo un approccio integrato e multidisciplinare che non manchi di includere iniziative volte a sensibilizzare la collettività, nonché a promuovere la formazione tecnico-specialistica, lo sviluppo della ricerca, il coordinato raccordo tra pubblico e privato. Secondo il rapporto Clusit è anche auspicabile che “dalla crescente copertura dedicata dai media ai cyber attack parta quel movimento di sensibilizzazione necessario a instaurare la prima forma di difesa della identità digitale costituita dall’accortezza e dalla diffidenza”.

SICUREZZA GLOBALE

Gestire i rischi in ottica di sicurezza integrata globale e di sistema, nella logica PPP, vuol dire rispondere a una richiesta precisa e pressante che impone di acquisire una complessa e globale visione d’insieme e di fare le scelte giuste instaurando anche specifiche relazioni a tutto campo. Occorre quindi pianificare e implementare un’organizzazione di sicurezza, come già previsto peraltro dalla normativa PCI (Payment Card Industry), che sia in grado di far funzionare il sistema in modo adeguato a raggiungere gli obiettivi di business e di sicurezza insieme. A tal fine è fondamentale rivedere il modello di approccio trasformandolo come elemento centrale di una strategia maggiormente focalizzata. In questo senso, la governance della sicurezza deve essere inserita all’interno di un processo direzionale. Lo scenario delineato configura, infatti, la sicurezza come un’attività sempre più trasversale e globale, che coinvolge all’interno della banca strutture differenti e personale non sempre consapevole delle necessarie accortezze. Anche la pervasività della tecnologia suggerisce un approccio integrato, secondo una gestione per processi in grado di coinvolgere in maniera trasversale tutte le strutture interessate: sicurezza logica, business continuity, sicurezza fisica, business intelligence. In sostanza, serve una visione globale e di sistema, collaborando strettamente con il sistema bancario, il sistema nazionale ed europeo di sicurezza – nella logica PPP – per la soluzione di problematiche che riguardano talvolta anche la stabilità dell’intero sistema finanziario. Le azioni da porre in essere devono configurarsi secondo una dimensione interna (sicurezza integrata) ed esterna alla banca e coinvolgere anche le istituzioni (sicurezza di sistema) nel senso auspicato dal DIS e COPASIR.

La migliore risposta organizzativa interna alla gestione della sicurezza nel senso auspicato è l’adozione della metodologia basata sull’information security management maturity model”. Come tutti i modelli “maturity model”, l’approccio si basa sul raggiungimento graduale dei quattro livelli di maturità interni, attraverso la misurazione della propria situazione attuale e la conseguente adozione di strumenti e processi che eliminino i punti di debolezza. E’ quindi evidente che il tema della sicurezza costituisce una questione di competenza dell’alta direzione in quanto richiede necessariamente di conciliare l’efficacia della prevenzione, delle contromisure con l’ottimizzazione delle risorse da impiegare e la collaborazione con le istituzioni e il sistema Paese. Adottando un processo di governance e risk management, oltre a mantenere nel tempo la conformità a leggi e regolamenti, si ottiene un rapido ritorno degli investimenti e un supporto per l’innovazione. I vantaggi maggiori – però – si ottengono con una sicurezza “by design” (come indicato dalla Unione europea e come da sempre sostenuto dagli esperti IBM, che a differenza di altri player, ne hanno fatto una vera dottrina), cioè progettata sin dall’inizio in tutti i processi aziendali, nello sviluppo di prodotti e servizi, nelle attività quotidiane. In azienda, questo non significa semplicemente proteggere l’ICT, ma realizzare una organizzazione e un’infrastruttura sicura e “resiliente”, considerando quindi anche la continuità dei processi e delle operazioni di business.

CONCLUSIONI

Maggiore sicurezza significa più qualità dell’offerta e maggiore fiducia della clientela. Si profilano all’orizzonte importanti e crescenti rischi per la banca che vanno sotto il nome di cyber attack alle IC. Questi, infatti, non sono più rappresentati dal singolo haker dilettante ma da vere e proprie organizzazioni criminali che stanno abbandonando la rapina e la frode tradizionale per dedicarsi alla frode informatica. Nelle banche è necessario un mutamento radicale nella concezione della sicurezza per la realizzazione del modello di “sicurezza integrata globale e di sistema”. Tale nuovo approccio consente di concentrare la responsabilità delle varie direzioni in un unico punto di raccordo al più alto livello manageriale e di gestire il fenomeno anche all’esterno con i necessari collegamenti con il sistema bancario e con il sistema di sicurezza nazionale ed europeo nella logica PPP. In sostanza, si sta passando dalla “Info security” alla “Cyber security”.

L'articolo Cyber attack e sicurezza in banca. Strategie di difesa e nuove minacce proviene da Data Manager Online.

«La complessità è gratis» – ha detto Luana Iorio, che dirige la ricerca General Electric sulla stampa in 3D (citata da T.L. Friedman sul New York Times del 13 settembre).

Lo spiega illustrando come si costruisce oggi un complesso componente di un motore di jet. Gli ingegneri lo progettano sullo schermo con il software CAD (Computer-Aided Design). Lo trasmettono a un printer 3D in cui un laser agisce su polvere metallica e – seguendo le specifiche – stampa o crea subito il componente. Il costo è basso e il tempo è di pochi giorni. Fino a pochi anni fa, ci volevano mesi per produrre il progetto, le macchine utensili speciali e il prototipo. Inoltre lavorando in Rete, possono collaborare al progetto esperti da ogni parte del mondo. Macchine e componenti complesse vanno monitorate. Lo si faceva in modo episodico. Oggi, lo si fa in tempo reale non su campioni, ma continuamente su tutti i prodotti disseminati per il mondo. Si possono registrare i dati per tutta la loro vita raccogliendo informazioni tanto dettagliate da permettere di pronosticare le anomalie prima che accadano. In conseguenza, ogni progetto può essere riveduto e aggiornato tempestivamente.

La nuova complessità 

La tecnologia moderna doma, dunque, la complessità relativa a progetti e produzione di risorse avanzate. Costi e tempi di produzione si riducono. L’economia ne dovrebbe trarre giovamento. È tutto vero, ma seguendo questi percorsi avanzati si sta creando una complessità mai vista prima. Stanno nascendo sistemi di monitoraggio e controllo di vastità enorme. Quis custodiet custodes? Come si controlla che questi sistemi nuovi funzionino in modo corretto? È già successo. L’evoluzione dei controlli automatici sfruttava inizialmente congegni meccanici (come il regolatore di velocità delle macchine a vapore di Watt). Si passò a controlli elettrici ed elettronici puntuali e oggi i sistemi computerizzati governano grandi strutture: impianti chimici, centrali termoelettriche ed elettronucleari, reti di energia, sistemi militari. In vari casi, è dubbio se la gestione sia abbastanza trasparente. Attendiamo progressi decisivi nell’affidabilità e nella tempestività delle comunicazioni fra macchine e uomo. L’intelligenza artificiale non ce li ha ancora dati.

Ci sono anche altre conseguenze. Le tecniche di frontiera supportate dalla tecnologia della comunicazione e dell’informazione creano pochi posti di lavoro per esperti ai livelli più alti e ne rendono obsoleti molti di più per i tecnici e i progettisti tradizionali. La tecnologia avanzata viene accusata di aumentare la produttività e di far crescere la disoccupazione. La pensavano così gli operai tessili seguaci del mitico Ned Ludd che, ai primi dell’Ottocento, distruggevano i telai meccanici considerati fattore di disoccupazione.

La creazione di nuovi settori industriali ha creato posti di lavoro occupati da ex-agricoltori e da addetti a settori precedenti. Attualmente, in Italia il numero degli addetti a terziario e servizi tende a un valore doppio di quello dei lavoratori nell’industria. È ragionevole pensare che raggiungere livelli più alti di istruzione e professionalità dovrebbe aumentare la probabilità di trovare lavoro. I giovani laureati incontrano, invece, difficoltà maggiori di chi ha studiato meno. Le interdipendenze tra fattori economici, culturali, sociali sono complesse. La complessità non è gratis: è ardua da analizzare e ha costi futuri incogniti.

Innovare di più conviene 

Friedman lamenta che il Congresso USA non si renda conto delle nuove enormi risorse tecnologiche e di come si possano sfruttare. Il Congresso non capisce la scienza e si concentra su problemi irrilevanti come la minaccia dell’immigrazione. Considerazioni simili si possono fare anche sulla politica italiana. Si fanno discussioni interminabili su problemi di individui condannati per gravi reati, su chi potrebbe levare la spina al governo e con quali conseguenze e su questioni di politica economica che non dovrebbero essere affatto opinabili. Non si discute di ricerca, sviluppo, istruzione, cultura e informazione.

Sebbene alcune industrie innovative (di cui nessuno parla) stiano facendo grossi passi avanti anche sulla scena internazionale, il livello di innovazione industriale è basso (ricordo ancora una volta che siamo in Europa al quindicesimo posto su 27). Innovare di più conviene, come dimostrano i Paesi del Nord. Quelli che lavorano per capire la complessità e non si vantano ancora di averla resa semplice e gratuita sono pochi: ascoltiamoli, appoggiamoli, sosteniamoli.

L'articolo La complessità non è gratis proviene da Data Manager Online.