Tra gli esperti si è formata ormai una consapevolezza in fatto di cyber security nazionale: la necessità di integrare approcci diversi, data la complessità delle minacce e la rapidità con cui si evolvono. Questa attività cruciale deve riguardare sia il sistema Paese che le aziende/istituzioni che ne costituiscono il tessuto. E’ necessario rafforzare il dialogo interdisciplinare ed utilizzare linguaggi adattabili ai diversi destinatari, in modo da favorire la comprensione, e dunque la conoscenza, del rischio cyber.
I Cert, Computer emergency response team, sono ormai diffusi a livello pubblico e privato per integrare gli aspetti di awareness, di protezione e di prontezza alla gestione di incidenti informatici. Come evidenziato dal Framework Nazionale per la Cybersecurity del 2015, iniziativa curata dal CIS Sapienza, CINI e da un core team del mondo privato dell’IT e risk management, l’apporto strategico del CERT si rivela soprattutto nelle attività di threat modelling e di cyber intelligence per garantire un assessment dinamico del rischio ed una definizione di strategie altrettanto adattive di gestione del rischio. In questo modo l’organizzazione monitora e valuta sia i potenziali rischi inerenti al contesto interno all’azienda che quelli riferiti al contesto esterno.
Fondamentale inoltre tenere conto anche della convergenza tra rischi operativi e cybersecurity. L’interruzione di servizi a causa di un attacco cyber può comportare, infatti, conseguenze disastrose, anche in termini reputazionali. Per questo è necessario adoperarsi al fine di aumentare la capacità di resistenza alle minacce, ovvero essere resilienti, in modo da preservare operatività e business.
E questo vale per tutti, dalla singola persona alle aziende, alla comunità nel suo complesso. Occorre un cambio di approccio alla cybersecurity, che non può essere tema di esclusiva competenza degli esperti ma deve esserlo di tutti, dal momento che le tecnologie dell’informazione sono ormai una costante del vivere quotidiano ed espongono chiunque al rischio di attacchi, più o meno sofisticati. È indispensabile sensibilizzare e formare sui temi della sicurezza cyber, e creare awareness con l’obiettivo della prevenzione. Ad oggi, però, questa consapevolezza è ancora lontana visto che, stando ai dati del 2016, i ransomware hanno spopolato, colpendo sia semplici utenti che aziende. Senza contare che il phishing continua a mietere vittime, anche illustri.
Quindi si nota l’importanza del fattore umano quale componente di rischio. La maggior parte degli attacchi cui assistiamo è, infatti, ormai mista, cibernetica e cinetica, ossia condotta con strumenti informatici e con approcci fisici. Le squadre che perpetrano gli attacchi, siano esse di criminali alla ricerca di guadagni, di spie private o governative, di terroristi, sono sempre multidisciplinari e studiano il loro obiettivo sotto molteplici punti di vista.
La parte dei difensori deve imparare a lavorare in modo altrettanto multidisciplinare, in modo da immedesimarsi al meglio nell’attaccante e poter capire e carpire i suoi modi e metodi in ottica difensiva e protettiva. A questo tende una nuova forma di analisi di vulnerabilità denominata sophisticated adversary simulation e mirata a condurre attacchi verso il proprio obiettivo di protezione esattamente “come se fossimo una squadra di attaccanti”: con tecniche di questo tipo si organizza la protezione di un obiettivo (una azienda, una istituzione, una persona…) sulla base degli esiti di attacchi condotti dalla medesima parte con tecniche di “immedesimazione, simulazione ed emulazione” mirate a individuare meccanismi di ingresso e ingaggio, modus operandi, minacce e strumenti, attività di exploitation, risultati ottenibili, tempi e costi, ecc.
E’ importante la gestione delle informazioni a supporto delle attività di valutazione del rischio: informazioni da banche dati e da fonti aperte possono dare contezza della minaccia, degli strumenti, dei moventi, dei modi, degli obiettivi, dei pericoli… da questo punto di vista il sempre più diffuso uso di team di intelligence e di analisi nelle aziende supporta chi si occupa di protezione dell’azienda stessa e fornisce informazioni di contesto indispensabili alla conoscenza delle minacce e delle vulnerabilità e quindi alla valutazione dei rischi.
Molti adesso rimarcano l’importanza dell’esperienza consolidata: sono ormai alcuni anni che ci muoviamo nel territorio cibernetico ed iniziamo ad avere uno “storico” di errori e di lezioni apprese: un tempo si pensava a tecnologie e tecniche, oggi si pensa prima di tutto a persone competenti e capaci di lavorare in ambienti mutevoli, multidisciplinari, altamente adattativi, oltre che, auspicabilmente, resilienti.
