Cybersecurity: sicurezza 4.0

Può una piccolezza diventare un grande problema?

Con l’uso crescente di Internet la protezione delle informazioni importanti è diventata una necessità. Un computer che non dispone di controlli di sicurezza appropriati può essere infettato da un software dannoso che permette poi di poter accedere a qualsiasi tipo di informazioni in pochi istanti.

Qui entra in gioco la Cybersecurity (sinonimo di sicurezza informatica), cioè la “pratica” di proteggere sistemi, reti e programmi dagli attacchi digitali i quali sono solitamente finalizzati all’accesso, alla modifica o alla distruzione di informazioni sensibili in modo da poter estorcere denaro agli utenti (ransomware) o per interrompere i normali processi di un’azienda: ci sono tantissimi dispositivi connessi alla rete e gli hacker stanno diventando sempre più innovativi. Per questo sta aumentando l’esigenza, da parte di privati e di aziende, di poter avere strumenti con cui difendersi sia dal punto di vista tecnico che legale.

Governo-impresa-utente: un trinomio per una migliore IT

La sicurezza informatica è importante per il governo poiché conserva un’enorme quantità di dati riservati riguardanti il ​​paese e i suoi cittadini. Diverse organizzazioni governative incontrano difficoltà nella protezione dei dati a causa di infrastrutture di protezione inadeguate, finanziamenti limitati e mancanza di consapevolezza della sicurezza. Il furto di dati riservati o informazioni sensibili e il terrorismo possono comportare serie minacce. Anche l’Italia necessita di un sistema ben cyber-dotato seppur non siamo completamente incompetenti nel campo: la miglior soluzione sarebbe quella di creare una vera e propria istituzione in grado di pesare sia sul pubblico che sul privato con una possibile creazione di una rete nazionale potendo così sensibilizzare e consapevolizzare maggiormente il grande pubblico riguardo la Cybersecurity.

Le aziende, soprattutto di piccole e medie dimensioni, affrontano sfide critiche nella protezione dei dati. Le limitate risorse finanziarie e tecnologiche rendono difficile aggiornare il sistema di sicurezza e rimanere al passo con la tecnologia. Tuttavia, una maggiore consapevolezza riguardo la sicurezza informatica e la corretta pianificazione può rivelarsi molto utile per tali organizzazioni imprenditoriali nel proteggere le loro informazioni.

Il crescente uso dei social media ha reso la sicurezza informatica ancora più importante di quanto non fosse prima. Le crescenti minacce (informatiche, come le truffe di phishing e altre vulnerabilità “cyber”) richiedono un’estrema attenzione da parte degli utenti che devono rimanere vigili sulla protezione dei propri dati. È essenziale comprendere i vari tipi di rischi esistenti nel mondo di Internet: gli utenti dovrebbero anche pensare bene “cosa e come” prima di condividere qualsiasi informazione con altri attraverso internet.

I rischi nell’industria 4.0

Per anni, la Cybersecurity si è guadagnata la reputazione di essere costosa e di ostacolare i progressi operativi. Tuttavia, essa è in realtà un fattore decisivo in grado di dettare legge circa il successo futuro di ogni azienda: determina sia il successo delle piccole realtà che quello del sistema dell’intero paese.

Gli impianti di produzione IT-abilitati hanno inaugurato l’era dei sistemi di controllo industriale connessi con controllori logici programmabili (PLC). Certamente Industria 4.0 è sinonimo di innovazione di prodotti e servizi: ciò è possibile solo grazie alla stretta correlazione che necessariamente deve correre tra “tecnologie informatiche (ICT) e l’intera rete di dati che interconnette uomo e mondo” (spiega cosi R. Baldoni in un articolo del Sole24Ore).

Sebbene alcune aziende facciano fatica nel migliorare l’efficienza operativa, l’esperienza del cliente, la logistica ed i guadagni relativi alla supply chain attraverso l’uso dell’IoT, spesso altre sono lì pronte ad impegnarsi e spendere risorse per indebolire gli sforzi delle prime: solo per citare due esempi, si ricorda un attacco DDoS sui server che ospitavano dati di Paypal, Spotify, Netflix e Twitter portando quest’ultimi ad un blocco temporaneo (ottobre 2016) e una falla che ha spinto British Airways a bloccare migliaia di account frequent flyer poiché ci si era accorti di  attività non autorizzate da parte di terzi.

Il fatto che le aziende abbraccino sempre più i vantaggi offerti dall’intelligenza artificiale, dai robot industriali e vari componenti facenti parte dell’IoT portano ad analizzare i rischi che si corrono, nonostante le tante efficienze. Qualsiasi ambiente smart dovrebbe avere solide basi riguardo il rilevamento e la prevenzione delle intrusioni next generation ed efficienti sistemi di: whitelisting delle applicazioni, monitoraggio dell’integrità dei dati, patch virtuali, analisi dell’apprendimento automatico, anti-malware, rilevamento dei rischi con relativa valutazione delle vulnerabilità, firewall, anti-spear-phishing, protezione antispam. Ciò è possibile solo con l’implementazione di una precisa architettura volta a ridurre il rischio e un costante aggiornamento circa le ultime news in tema di Cybersecurity (e.g. nuove minacce e possibili misure di prevenzione) affidandosi a partner di fiducia.

Tra i principali rischi che possono emergere da uno scarso livello di sicurezza informatica vi sono:

• Una limitata configurazione di sicurezza, la configurazione base delle aziende manca di giusti criteri di crittografia e di un corretto hashing delle password
• Poca attenzione alla gestione delle patch, abitudine particolarmente rilevante nei sistemi del core business
• Possibili incoerenze crittografiche, poiché spesso ci si concentra solo sull’interno del sistema e non sull’interazione tra i sistemi stessi
• Debolezza della sicurezza del codice, in quanto il codice sviluppato da chi di dovere non sempre viene esaminato in toto per assicurarsi che sia “privo di vulnerabilità”

Ognuna di queste debolezze può rappresentare un rischio per i sistemi connessi che, anche se non intenzionali, possono oscurare in modo controproducente qualsiasi tentativo di migliorare i servizi, guidare l’innovazione, creare prosperità e affrontare alcune delle principali priorità del business.

Inoltre, l’analisi del rischio deve comunque tenere conto di tutti i processi aziendali coinvolti: bisogna proteggere sia database sia i locali dove sono situati.

Senza dubbio un altro problema di rilievo, da non sottovalutare, è il fatto che l’intrusione dentro i sistemi informativi aziendali non sia fine a sé stesso ma anzi sia un mezzo per poi attaccare altre realtà.

Protezione 4.0

È necessario far dialogare l’IT con la produzione per poter proteggere nel miglior modo le esigenze dell’impresa. Purtroppo, non tutti sono consapevoli dei rischi sopracitati e di come un apparato connesso alla rete possa costituire un punto debole che può essere sfruttato da malintenzionati.

Bisogna fare attenzione anche alle piccole azioni quotidiane: dai sistemi di protezione degli smartphone aziendali alla verifica di attendibilità dello sviluppatore del software delle nostre app, dal controllo dei fornitori di hardware e software aziendali alla scelta di chi fornisce l’ambiente di supporto dei sistemi.

Questi accorgimenti sono importanti per un’industria che vuole migliorare la produttività e la qualità degli impianti di produzione con il collegamento di sistemi fisici e sistemi informatici.

Sebbene la spesa per i sistemi aziendali e la sicurezza dei dati sia in aumento, c’è una questione riguardante la funzionalità di un finanziamento sul lungo periodo: la maggior parte delle aziende sceglie di concentrarsi sulla sicurezza dell’infrastruttura IT tradizionale e convergente, come i firewall. Tuttavia, si deve andare ancora oltre.

Le aziende devono definire delle best practice stando attenti a rispettare alcuni punti chiave quali:

• Sicurezza di rete, del sistema operativo, dei database e del front-end, definendo zone chiaramente strutturate e diverse, separando aree ad alta priorità e determinando i ruoli amministrativi correlati con una conseguente implementazione dei meccanismi di accesso al database e dei requisiti di ogni sistema operativo, configurando una giusta sicurezza tra client ed end-point mobili
• Sicurezza e manutenzione del codice, utilizzando strumenti di scansione del codice sorgente per identificare le possibili vulnerabilità ed aggiornando il software regolarmente
• Sicurezza nelle comunicazioni, dove occorre privilegiare sistemi crittografati con la possibilità di monitorare tutti i sistemi
• Autorizzazione degli utenti, aumentando la consapevolezza della sicurezza
• Definizione del concetto di emergenza, backup e ripristino, per garantire la business continuity, mettendo a punto sistemi di fallback end-to-end

Per esempio, di recente, la NSA statunitense ha rilasciato un tool per il reverse engineering chiamato Ghidra, che consente di lavorare all’indietro sul malware utilizzato cercando di capire come funziona, quali sono le sue capacità e chi l’ha scritto o da dove viene: non si può usare per hackerare i dispositivi ma si tratta invece di una piattaforma utilizzata per “compilare”, distribuire il software e “decompilarlo”. In altre parole, trasforma gli uni e gli zeri che i computer capiscono in una struttura leggibile, in una logica e in una serie di comandi che rivelano ciò che fa il software.

Tra leggi e GDPR: privacy by default e by design

Il GDPR, nuovo regolamento europeo in materia di privacy introdotto nel maggio 2018, definisce la Cybersecurity, ed in particolare la data protection, come uno dei diritti fondamentali dell’uomo. È di estrema importanza garantire dei piani di sicurezza informatica all’interno delle aziende.

Le aziende sono obbligate ad applicare il principio di privacy by design, cioè la protezione dei dati deve essere garantita sin dalla progettazione attuando delle misure tecniche ed organizzative idonee a dare concreta attuazione dei principi presenti nel nuovo regolamento.

Inoltre, è stato introdotto il concetto di privacy by default stabilendo, così, che la protezione dei dati debba essere garantita come “impostazione” predefinita.

Sarà compito dei responsabili dei dati dimostrare il pieno rispetto degli obblighi del GDPR fornendo tutte le garanzie sufficienti a dimostrare che si è tenuto conto della protezione dei dati sia dall’inizio della progettazione, sia nello sviluppo stesso.

Conclusioni

Preme evidenziare che la componente umana è l’anello fondamentale di tutto il percorso di implementazione di questi sistemi in quanto è la sensibilizzazione al tema che può fuorviare gli stessi attaccanti malevoli, che utilizzano proprio la debolezza degli utenti, dal raggiungere i propri fini.

L’attivazione di nuove classi di laurea per la specializzazione al mondo cyber, unita ad una diversificata cultura nelle altre discipline (e.g. legislazione), possono portare ad un futuro e ad una conoscenza migliore del settore. Le aziende, soprattutto PMI, se vogliono tutelarsi devono mettere in atto tutte le contromisure necessarie realizzando un ecosistema in cui ricerca, imprese ed istituzioni possano collaborare per difendersi dagli attacchi digitali: è necessario aumentare il livello di consapevolezza dai CEO ai semplici dipendenti.