Exprivia e Sophos: ultime tendenze cybersecurity nel pubblico e privato
“Scenari e ultime tendenze della cybersecurity nel pubblico e nel privato” è stato il titolo della tavola rotonda che si è tenuta in occasione dell’evento Sophos ed Exprivia, svoltosi recentemente nella raffinata cornice di Villa Romanazzi Carducci a Bari.
L’incontro ha visto la partecipazione di
- Marco Finocchi, Senior Channel Account Executive di Sophos,
- Rosita Galiandro, Responsabile dell’Osservatorio Cybersecurity di Exprivia ed
- Enrico Fontana, Funzionario e Amministratore di Sistema Informativo del Comune di Bari,
moderati dalla scrivente, Direttore di S News.
I messaggi scaturiti dalla tavola rotonda Exprivia e Sophos
Relativamente alle ultime tendenze della cybersecurity, Finocchi ha evidenziato: “I gruppi criminali continuano a concentrare la loro attenzione sul guadagno monetario e a tale scopo il ransomware rimane la loro arma preferita. Gli sviluppi in ambito normativo potrebbero avere una forte influenza sulle azioni intraprese contro tale minaccia: la necessità di applicare misure più stringenti potrebbe spingere alcuni Paesi a sanzionare il versamento dei riscatti, così da ostacolare i cybercriminali e cambiare la prospettiva delle aziende in caso di attacco. Assistiamo inoltre ad una crescente consapevolezza, da parte delle imprese, dell’elevato rischio di essere vittime di un cyberattacco, originata sia dall’esperienza personale che dalla maggiore informazione sulla tematica.
Ciò che complica la gestione della sicurezza informatica è spesso la mancanza di risorse interne con competenze specifiche, in grado di fronteggiare attacchi cyber sempre più complessi. Questo genera un crescente volume di richieste di servizi e soluzioni innovative, volti a rafforzare le difese e a gestire efficacemente gli attacchi informatici”.
L’ultimo Report sulla Threat Intelligence e la Cloud Matrix di MITRE ATT&CK®
Galiandro, facendo riferimento all’analisi condotta dall’Osservatorio Cybersecurity di Exprivia in occasione dell’ultimo Report sulla Threat Intelligence, ha puntualizzato: “Emerge che il settore sanitario è sempre più colpito da attacchi informatici, con un aumento del 60% rispetto allo stesso trimestre dell’anno scorso e del 15% rispetto al trimestre precedente. La digitalizzazione in tale ambito ha migliorato l’efficienza delle cure e l’accesso alle informazioni, ma ha anche esposto il settore a nuove vulnerabilità. Gli attacchi mirano a sottrarre dati sensibili, come informazioni personali e cartelle cliniche, che sono preziosi per i criminali informatici. Dall’ultimo trimestre del 2022, non si rilevano attacchi in questo settore che non abbiano avuto come conseguenza un incidente di sicurezza. Ciò suggerisce che quando un attacco riesce a colpire, le conseguenze sono quasi sempre gravi e significative, implicando danni economici, interruzione dei servizi e, in casi estremi, mettendo a rischio la vita dei pazienti.
Il malware rappresenta la principale minaccia, responsabile del 53% degli attacchi, con un aumento del 167% rispetto al trimestre precedente. I ransomware, che criptano i dati e richiedono un riscatto, possono bloccare l’accesso a cartelle cliniche e sistemi critici, compromettendo l’erogazione delle cure e mettendo in pericolo la vita dei pazienti, soprattutto in situazioni di emergenza. La protezione del settore sanitario richiede un approccio multilivello, che includa non solo la sicurezza delle infrastrutture IT, ma anche dei dispositivi IoT (Internet of Things) utilizzati in ambito medico, come pompe per infusione e monitor cardiaci, che possono essere facilmente compromessi, se non adeguatamente protetti.
Un altro contesto oggetto di analisi nel Threat Intelligence Report 2Q2024 è stato quello del cloud. Esso, costituito da server remoti accessibili via Internet, consente di archiviare, elaborare e gestire dati e applicazioni, offrendo flessibilità, scalabilità e accesso globale. Tuttavia, con questi vantaggi emergono sfide di sicurezza, poiché le risorse ospitate su server remoti possono diventare bersagli di attacchi informatici. La cloud security è fondamentale e include strategie, tecnologie e procedure per proteggere i dati e le infrastrutture cloud, garantendo la continuità del servizio e la fiducia degli utenti. Proprio per questo motivo, noi dell’Osservatorio Cybersecurity abbiamo deciso di condurre uno studio approfondito basato sul framework MITRE ATT&CK®, uno strumento ampiamente riconosciuto a livello internazionale per l’analisi delle minacce informatiche. Il framework MITRE ATT&CK® fornisce una base di conoscenza dettagliata delle tattiche e delle tecniche utilizzate dagli attaccanti, permettendo alle organizzazioni di comprendere meglio le modalità operative dei cybercriminali e di sviluppare strategie di difesa più efficaci. Uno dei nostri studi si è concentrato in particolare sull’analisi delle tattiche e tecniche che fanno parte della Cloud Matrix, una matrice specifica del framework MITRE ATT&CK® dedicata agli ambienti cloud. Questa matrice definisce il modo in cui gli attaccanti possono sfruttare le caratteristiche dell’ambiente cloud per colpire vari target. Include tattiche, ovvero gli obiettivi generali degli attaccanti come il furto di dati, l’interruzione dei servizi o l’acquisizione di credenziali, e tecniche, cioè le azioni specifiche utilizzate per raggiungere questi obiettivi, come l’esfiltrazione dei dati, la compromissione di account o l’abuso di API.
Dai dati che abbiamo analizzato, emerge chiaramente che una larga maggioranza degli incidenti di sicurezza – oltre il 70% – è stata classificata utilizzando le tattiche definite dalla Cloud Matrix di MITRE ATT&CK®. Questo indica che la maggior parte degli incidenti registrati riguarda minacce che possono essere analizzate con questo framework, il quale è comunemente impiegato per comprendere i comportamenti malevoli in ambienti cloud e per sviluppare strategie di rilevamento e difesa più efficaci”, ha specificato Galiandro.
Scenari e ultime tendenze della cybersecurity nella PA
Relativamente alle criticità maggiori che vengono registrate sul fronte della cybersecurity dalla PA, Fontana ha sottolineato: “Partirei dai fatti di cronaca che recentemente hanno avuto rilevanza a livello nazionale e internazionale, e che non sono quei rischi a cui uno più facilmente pensa parlando di cybersecurity. Il primo, che ha impattato direttamente anche la mia Amministrazione, ovvero il Comune di Bari, è legato all’indisponibilità di oltre un giorno di un datacenter, riferimento per diversi servizi erogati a favore delle PPAA, ma anche a diversi clienti privati, accaduto a metà dello scorso Agosto. La mancanza di “resilienza” nel saper erogare il servizio di telefonia impattato, approvvigionato attraverso una Convenzione Nazionale, e quindi al di fuori di una capacità di scelta da parte dell’Amministrazione sui livelli di servizio da contrattualizzare, ha creato un disservizio difficilmente spiegabile, quando si pensa che si ha a che fare con uno degli operatori di punta nel campo delle TELCO. Il tutto aggravato, per dovere di cronaca, dall’incapacità – durante la fase di emergenza – da parte dell’operatore economico di avviare, per il servizio di fonia, la procedura di sopravvivenza analogica che, in fase di rilascio del progetto era stata prevista come alternativa, nel caso di fault lato datacenter / cloud.
Questo fa riflettere, perché per un’Amministrazione, così come per la stragrande maggioranza dei casi delle PAL italiane anche di grandi dimensioni, che ha una roadmap di cessare i propri servizi erogati in modalità on premise, in favore di soluzioni cloud, la possibilità di scelta degli operatori economici è molto ristretta, in quanto, di fatto, sono individuati a livello centralizzato (Convenzioni e Accordi Quadro di Centrali di Committenza e Soggetti Aggregatori, market place dell’Agenzia per la Cybersicurezza Nazionale, ecc.) per cui, se da una parte avere un soggetto terzo qualificato che fa la selezione dovrebbe essere sinonimo di qualità dei servizi erogati, dall’altra vincola a non poter prendere iniziative ritenute di eccellenza, che a volte sono invece le situazioni desiderate.
L’altro rischio è la mancanza di organizzazione nel gestire i processi e, anche qui, la cronaca suggerisce un episodio recente legato ai problemi di upgrade di una famosa soluzione antimalware con il sistema operativo Windows, avvenuto nel luglio scorso. In passato ho sperimentato due volte casi simili e, in tali situazioni, l’imprevedibilità dell’accaduto ha avuto un impatto limitato grazie all’organizzazione poiché, nel rilascio degli aggiornamenti di sistema, si seguiva una logica incrementale, con un primo pilota di postazioni da utilizzare come test per la segnalazione di eventuali criticità. Colpisce invece vedere come tale aggiornamento abbia di fatto paralizzato interi settori dei trasporti e catene produttive, il che fa pensare che sia stato rilasciato in modo indistinto su tutti i dispositivi e questa rappresenta una negligenza nella gestione”, ha evidenziato Fontana.
Cosa stanno facendo le PA in campo Cybersecurity
“Sul tema della Cybersecurity – ha sottolineato Fontana – le pubbliche amministrazioni stanno cercando di adeguarsi, mirando ad un’organizzazione con competenze più specifiche, così come avviene per le grandi realtà aziendali.
La recente Legge 90/2024, dando disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici introduce, oltre ad una serie di obblighi di notifiche sugli incidenti, una figura che richiama il ruolo del Chief Information Security Officer (CISO), definendolo referente per la cybersicurezza.
Tale legge quindi tende a instaurare un circuito virtuoso tra le amministrazioni e il Computer Security Incident Response Team (CSIRT) Italia, istituito presso l’Agenzia per la Cybersicurezza Nazionale (ACN), nonché un contatto diretto tra ACN e i vari responsabili per la sicurezza individuati nelle amministrazioni, affinché sia possibile una gestione più efficace ed efficiente degli incidenti informatici e una collaborazione più prossima tra le istituzioni.
Il CISO quindi, come lo è stata l’istituzione del Data Protection Officer (DPO) per il tema della privacy, diventa una figura qualificata e di riferimento sul tema della sicurezza cibernetica, con competenze specifiche rispetto al vasto campo dei Sistemi Informativi e dell’Innovazione Digitale che, all’interno delle amministrazioni, viene assolto da un’altra figura che è il Responsabile per la Transizione al Digitale (RTD).
Il CISO e il DPO
La presenza di un CISO e di un DPO suggerisce poi una ripartizione di “responsabilità” sugli assets oggetto di protezione, assegnando i servizi al primo e i dati al secondo per cui, pensando ai verbi servili potere, dovere e volere mi piace fare questa valutazione. I primi investimenti in cybersecurity sono legati alle tecnologie, permettendo di stabilire ciò che un utente può o non può fare. Il secondo investimento – molto in auge nell’ultimo periodo – è sulla consapevolezza (awareness), definendo per gli utenti la sfera del dovere. Il CISO invece potrebbe iniziare a lavorare nell’area del volere, ossia come instaurare una coscienza sui temi della cybersecurity, con tutte le ripercussioni etiche da cui dovrebbero derivare le policy aziendali, ispirazioni normative e l’armonizzazione su questioni di tipo sociale”, ha concluso Fontana.
Nella foto in alto: da sinistra Monica Bertolo, Marco Finocchi, Rosita Galiandro e Enrico Fontana.
Nella foto qui sotto: Villa Romanazzi Carducci a Bari, sede dell’evento.
