Cybersecurity, l'Europa vuole fare sul serio: meglio tardi che mai | Agenda Digitale

Enisa

Cybersecurity, l’Europa vuole fare sul serio: meglio tardi che mai

Secondo un nuovo rapporto Enisa l’Unione europea non investe sufficiente denaro in sicurezza cyber sicurezza, rispetto agli Stati Uniti in particolare. Non ce lo possiamo permettere e l’Europa l’ha capito. Con le nuove mosse che sta preparando. Ecco come

18 Dic 2020
Marco Santarelli

Chairman of the Research Committee IC2 Lab - Intelligence and Complexity Adjunct Professor Security by Design Expert in Network Analysis and Intelligence Chair Critical Infrastructures Conference

Dal rapporto sugli investimenti in tema di sicurezza delle reti e dei sistemi informativi pubblicato in data 11 dicembre 2020 dall’Agenzia dell’Unione Europea per la Cybersecurity, Enisa, è emerso che l’Unione europea non investe sufficiente denaro in sicurezza cyber sicurezza, rispetto agli Stati Uniti in particolare.

Una stima che assume un significato particolare, nei giorni in cui il rischio cyber è ai massimi livelli e minaccia la stabilità delle nostre istituzioni e società. Chi avesse dubbi può ricordare recenti fatti come l’attacco (probabilmente russo) di spionaggio informatico al Governo Usa e i cyber attacchi ai vaccini.

E che l’Europa investa troppo poco e agisca anche in modo poco organica su questo fronte se n’è accorta anche la Commissione europea, come si vede nella recente proposta di strategia cybersecurity.

Il rapporto Enisa

L’indagine, che ha visto coinvolte 251 organizzazioni pubbliche e privati di diversi paesi europei, mette in evidenza un aspetto allarmante, soprattutto in un momento che ha visto dibattere sui tavoli del Consiglio dell’Unione Europea la possibilità di violare la crittografia end-to-end per consentire alle forze dell’ordine di svolgere pienamente il loro lavoro di indagine e risoluzione di crimini, mantenendo preservata la sicurezza dei dati dei cittadini, fino alla risoluzione ufficialmente adottata qualche giorno fa.

WEBINAR
[WEBINAR, 29 aprile] Garantire la sicurezza dei dati nell’era della collaboration online
Big Data
Sicurezza

Crittografia, le indicazioni Ue per il giusto equilibrio tra interessi pubblici e diritti fondamentali

Importante è capire intanto come i tipi di investimento vengono organizzati. Secondo quanto si legge nel rapporto Enisa, “gli investimenti nella gestione delle vulnerabilità e nell’analisi della sicurezza si concentrano su funzionalità proattive per ridurre al minimo l’impatto di eventuali violazioni una volta che si sono verificate; per sicurezza dell’applicazione si intende il modo in cui l’applicazione è stata progettata e sviluppata, come funziona e come l’applicazione e i suoi elementi di supporto (rete, sistema operativo, database ecc.) sono configurati e distribuiti per garantire la sicurezza; la governance, il rischio e la gestione della conformità (GRC) si concentra sul modo in cui le organizzazioni affrontano il loro insieme unico di rischi sviluppando strategie, politiche, standard e consapevolezza che sono alla base dei servizi di sicurezza; GRC garantisce che il rischio sia gestito in modo aperto ed efficace, che siano soddisfatti i requisiti di conformità legale e normativa e che la sicurezza delle informazioni sia integrata in tutta l’organizzazione; la sicurezza della rete, la gestione delle identità e degli accessi (IAM), la sicurezza degli endpoint e la sicurezza dei dati fanno parte della sicurezza dell’infrastruttura operativa, che si concentra sulla protezione della rete, degli host e dei dati e sulla garanzia di un accesso sicuro ai sistemi per gli utenti autorizzati”.

I dati indicano che i primi tre domini in termini di spesa sono: gestione delle vulnerabilità e analisi della sicurezza con una quota del 20%, Governance, rischi e conformità (GRC) con una quota del 18% e sicurezza della rete con una quota del 17%.

Questa distribuzione tra le diverse aree funzionali è stata abbastanza stabile negli ultimi quattro anni, ma, sebbene abbastanza simile quando si confrontano organizzazioni nell’UE e negli Stati Uniti, varia notevolmente da un settore all’altro.

Ad esempio, per quanto riguarda la gestione delle vulnerabilità e dell’analisi, le soluzioni comprendono dall’8% fino al 35% del budget complessivo per la sicurezza delle informazioni delle organizzazioni quando si confrontano diversi settori. Se osserviamo altri prodotti e servizi di sicurezza delle informazioni, ci troviamo di fronte a alcune variazioni, come identity and access management (7% – 15%) e Network Security (11% – 28%).

Tecnologia e sicurezza

Da ciò che emerge dal rapporto, per quanto riguarda il settore di cybersecurity, siamo di fronte ovviamente ad una contraddizione importante perché l’innovazione tecnologica deve necessariamente andare di pari passo con la protezione delle infrastrutture, altrimenti è la stessa tecnologia a non poter avanzare. La percentuale di investimenti dedicata all’information security risulta invariata dal 2016 ed è di appena il 6%, secondo quanto riferisce il rapporto di Enisa, mentre la percentuale di investimenti pianificati in UE rispetto a quella USA sono del 41% in meno, anche se è bene rimarcare che il paragone tra Europa e Stati Uniti regge ben poco, visto che l’UE deve ancora fare parecchia strada per poter essere al pari della potenza americana sul piano della cybersecurity e sulla produzione stessa di tecnologia.

Il direttore esecutivo di Enisa, Juhan Lepassaar, mette in evidenza proprio questo divario nella presentazione del rapporto.

@RIPRODUZIONE RISERVATA

Articolo 1 di 4