Il rischio informatico legato alle infrastrutture critiche di un Paese è noto. L’attuale contesto geopolitico, però, lo amplifica enormemente: perché la capacità e le strategie di attacco di uno Stato sono infinitamente più pericolose di quelle di un gruppo di criminali informatici
Il rischio di un attacco informatico contro le infrastrutture critiche del nostro Paese, o di altri stati occidentali, è stato più volte evocato dallo scoppio del conflitto in Ucraina. La dimensione “cyber” del conflitto è indubbia: dal blocco dei social alle azioni di Anonymous (o, almeno, di un gruppo che come tale si presenta), in questa prima fase l’attenzione si è concentrata sul controllo delle informazioni e la contro-propaganda.
Azioni efficaci in tempi fulminei
In realtà, in questo momento i sistemi informativi di tutte le aziende, delle persone e soprattutto delle infrastrutture critiche si trovano di fronte a rischi non nuovi, ma la cui portata è moltiplicata. «L’evoluzione dello scenario è particolarmente rapida e una ulteriore escalation consisterà inevitabilmente di azioni efficaci in tempi fulminei. È importante che la reazione a possibili attacchi sia tempestiva e coordinata», afferma Claudio Telmon, membro del comitato direttivo Clusit, l’Associazione Italiana per la Sicurezza Informatica. Che raccomanda di seguire comunicazioni e indicazioni del CSIRT nazionale, il Computer Security Incident Response Team italiano, attivo nel fornire indicazioni di scenario e su minacce e vulnerabilità specifiche.
Non è normale criminalità
Per le infrastrutture critiche, il cambio di passo nella gestione della sicurezza è notevole e assolutamente non banale da gestire. Tutte le imprese sono ormai abituate ad attacchi informatici continui, condotti da una criminalità informatica sempre più simile a un’industria, con veri e propri modelli di business in evoluzione per ottenere il massimo profitto.
Da qualche anno è diventato noto anche al grande pubblico il termine “ransomware”, un attacco informatico che “prende in ostaggio” i dati e i sistemi di un’azienda, a cui viene chiesto un “riscatto” (ransom, in inglese) per tornare operativa. Attacchi ransomware hanno riguardato, nei Paesi occidentali, realtà di primo piano della Sanità e dell’Energia.
E la minaccia attuale è sicuramente molto più significativa del cosiddetto hacktivism, unione di hacker e di activism, in cui comunità virtuali di attivisti indirizzano attacchi contro aziende o enti.
Qui non si parla né di criminali né di attivisti, ma di guerra cyber: di un attacco portato contro le infrastrutture critiche di uno Stato da parte di un altro Stato, apertamente o nascondendosi dietro sedicenti gruppi di hacker.
Attacchi più potenti ed efficaci
Come sottolinea in una lunga analisi Chris Groove, Senior Security Analyst di Nozomi Networks, questa differenza comporta un salto epocale nei meccanismi di prevenzione e di reazione. Perché una banda di criminali, per quanto organizzata, ha certamente risorse e capacità inferiori a quello di uno Stato e soprattutto di una grande potenza.
A fare la differenza è anche la modalità di attacco. La criminalità agisce di soppiatto, cercando di nascondere il più possibile le proprie tracce: l’obiettivo è ottenere denaro e non farsi trovare. In un’azione bellica cyber, invece, si attacca apertamente il nemico per infliggergli il maggiore danno possibile.
Energia in prima linea
L’energia, i servizi finanziari, la Sanità sono esempi di infrastrutture critiche che potrebbero essere colpite per causare danni economici e seminare il panico e lo sconforto presso la popolazione. Le linee di azione devono essere due: elevare i livelli di allerta e farsi trovare pronti in caso di attacco.
Prevenire e prepararsi
Dal punto di vista della prevenzione, come sottolinea il Clusit, è prioritario aumentare il livello di attenzione a possibili anomalie che possano segnalare che un attacco è in corso. È un compito essenziale per tutte le aziende: in caso di attacco diretto, infatti, il raggio di azione potrebbe allargarsi molto rapidamente. Magari sfruttando violazioni dei sistemi risalenti a settimane o addirittura mesi prima.
Prepararsi al meglio significa rafforzare le competenze del personale sulla sicurezza delle informazioni e sulle misure di comportamento da tenere, e monitorare l’efficacia delle misure di sicurezza, compresa la disponibilità e correttezza di backup aggiornati e offline. Mai come in questo momento è importante essere pronti al disaster recovery.
Reagire rapidamente e secondo i piani
La seconda linea di attenzione è prepararsi al peggio. Cioè alla gestione di un attacco condotto con tutta la potenza di uno Stato e capace, quindi, di mettere fuori uso un’infrastruttura critica per un periodo di tempo non breve e su un’area geografica estesa. Un aspetto da tenere in grande considerazione, sottolinea Chris Groove, è la redazione di piani di comunicazione alternativi, che permettano di avere dei canali attivi e funzionanti per mantenere il contatto con il personale critico. In generale, vanno definiti tutti quei processi di sicurezza che possono consentire una reazione rapida in una situazione di emergenza, tenendo conto anche dei possibili impatti sulla catena di approvvigionamento e sui partner tecnologici.
Questo articolo è stato pubblicato sul numero di marzo 2022 di Energia&Mercato
