Gli ultimi anni ci hanno insegnato ad affrontare le previsioni con cautela ed un po’ di timore. Se guardiamo agli scenari che si prospettavano come possibili all’inizio del 2023, vediamo che molti, soprattutto i più preoccupanti, non si sono concretizzati, mentre altri avvenimenti, anche inattesi, hanno caratterizzato l’anno sia dal punto di vista geopolitico che tecnologico.
Ecco cosa aspettarci nel 2024 sul fronte della sicurezza.
L’impatto dell’instabilità geopolitica
Dal punto di vista geopolitico, gli scenari peggiori ipotizzabili per il conflitto fra Russia e Ucraina sembrano essersi allontanati, almeno per ora, e non ci sono neanche state azioni di cyberwar particolarmente impattanti che abbiano interessato l’Unione Europea e quindi l’Italia. Anche nell’area del Pacifico la situazione è rimasta relativamente tranquilla, seppure, per entrambi i fronti, la situazione possa cambiare rapidamente.
Per contro, si è riacceso il conflitto israelo-palestinese che, seppure non abbia ancora comportato impatti rilevanti dal punto di vista della cybersecurity al di fuori dell’area del conflitto, rappresenta comunque un’altra fonte di polarizzazione e contribuisce ad una generale maggiore instabilità politica ed economica.
Questa maggiore instabilità contribuirà certamente ad un aumento della rischiosità generale, anche quando i singoli incidenti non siano direttamente riconducibile ad uno dei conflitti in atto. In ogni caso, quali casi siano azione di gruppi criminali e quali siano sponsorizzati dai governi è ormai difficilmente distinguibile.
La crescita del cybercrime
Per quanto riguarda l’attività di cybercrime, non possiamo che aspettarci un ulteriore aumento del fenomeno. La digitalizzazione in ogni settore ed attività prosegue, e gli ambiti e i modi in cui il cybercrime potrà provare a colpire le aziende e le pubbliche amministrazioni si ampliano di conseguenza. Come in passato, i rischi legati alla digitalizzazione non sono però un motivo per rinunciare ai benefici che può portare, ma sono invece un motivo per adottare le misure adeguate per mitigare efficacemente i rischi, in una logica di security by design.
Il ruolo dell’AI
Dal punto di vista tecnologico, il 2023 si è chiuso con l’inizio dell’ondata di interesse ed utilizzo diffuso di strumenti di AI generativa, e questa tendenza si è certamente confermata. Possiamo aspettarci che il 2024 sia l’anno in cui l’utilizzo di questi strumenti diventi “normale” nell’attività lavorativa di tutti i giorni, ma anche nell’attività criminale. Gli utilizzi sono ancora in buona parte da scoprire, e l’evoluzione di questi strumenti sembra essere ancora molto rapida. Questo vuole dire, come sempre succede con le nuove tecnologie, nuovi ambiti e modalità di attacco, dei quali le aziende inizieranno ad occuparsi per la maggior parte solo dopo qualche grosso incidente che ne dimostri la criticità.
Per contro, il metaverso, e in generale l’utilizzo di “mondi virtuali”, è tornato sullo sfondo, dopo aver generato un notevole hype nel 2022. È la dimostrazione di come nuovi fenomeni possano ormai nascere e morire in tempi brevissimi. Sempre a fine 2022 si cominciava a parlare di come il cybercrime avrebbe potuto adattarsi e trarre vantaggio da questi strumenti.
I criminali hanno dimostrato finora di essere molto più veloci ad adottare ed attaccare nuovi strumenti di quanto siano le aziende ad adattare le proprie difese. In un panorama di tecnologie in rapida evoluzione, è ancora più importante che le aziende utilizzino metodicamente un approccio di security by design che si occupi dei rischi nel momento in cui viene adottato un nuovo strumento.
Se guardiamo al 2024, dal punto di vista tecnologico la AI generativa sembra essere al momento il contesto in cui ci si possono aspettare i maggiori sviluppi in termini di servizi ed utilizzo. Questo comporterà la necessità di assicurare la protezione di questi nuovi servizi da tipologie di attacco specifiche, ma anche da rischi ed attacchi più tradizionali. L’inizio della regolamentazione del settore nell’Unione Europea, con la pubblicazione dell’AI Act, comporterà anche l’introduzione di misure di sicurezza, ma nello stesso tempo avrà un impatto su alcuni utilizzi dell’AI, ad esempio per quanto riguarda la biometria.
Difesa e attacco con l’intelligenza artificiale
Ma l’impatto maggiore dell’AI, in termini di sicurezza, si avrà con l’utilizzo diretto di queste tecnologie sia per la difesa dei sistemi e delle informazioni, che per gli attacchi. Per quanto riguarda gli strumenti di difesa, in realtà tecnologie di AI sono utilizzate già da tempo, per lo più in modalità poco visibili agli utenti, incorporate in strumenti per l’autenticazione adattiva o per l’analisi degli eventi. L’analisi degli eventi per la rilevazione tempestiva degli attacchi si presta bene ad un utilizzo di strumenti di AI, ma richiede comunque l’intervento umano per la validazione delle analisi e l’azione che ne consegue, quantomeno per evitare disservizi che derivino da azioni automatizzate. Questo vuole dire che i maggiori fruitori di questi banefici saranno i SOC strutturati, più che le aziende che si limitino ad acquisire strumenti di analisi da utilizzare in casa.
L’impatto più importante dell’utilizzo di strumenti di AI nell’ambito della cybersecurity si potrebbe però avere negli attacchi basati sull’impersonazione: già quest’anno, tecniche di deep fake sono state utilizzate nell’ambito di attacchi, per aumentare la credibilità dei messaggi fraudolenti; nel 2024, queste tecniche potrebbero diventare abituali, rendendo ancora più efficaci questi attacchi, già così dannosi.
La facilità nella realizzazione di audio, e in futuro video, credibili, con alle spalle chatbot in grado di sostenere una conversazione credibile, sono scenari probabilmente ancora troppo avanzati per il 2024, ma sono scenari con i quali prima o poi ci dovremo confrontare. Ma già nel 2024, telefonate con audio falsificato potranno mettere alla prova le procedure di autorizzazione al pagamento ed in generale le procedure di autorizzazione alle attività più critiche. Su questo, l’adozione di procedure di verifica rigorose, e la sensibilizzazione degli utenti, e prima di tutto dei soggetti apicali delle aziende, rimarranno un cardine nella prevenzione e nel contenimento degli incidenti.
Il trend dell’esternalizzazione dell’AI
Un’altra tendenza che continuerà o più facilmente si rafforzerà nel 2024 sarà quella all’esternalizzazione dell’IT, come anche della gestione della sicurezza. La complessità sempre maggiore delle tecnologie, i requisiti normativi, i rischi in costante aumento e la carenza generalizzata di competenze specialistiche renderanno sempre più difficile per le aziende, specialmente quelle più piccole, gestire queste tematiche in casa. Dal punto di vista tecnologico, questo vuole dire un utilizzo sempre più ampio di servizi in cloud.
I servizi in cloud stanno riducendo la necessità di competenze tecnologiche interne alle aziende, ma allo stesso tempo richiedono di valutare e gestire efficacemente il servizio. Il 2023 si è chiuso con l’incidente di Westpole, di notevole impatto per le PA italiane, ma non è certamente un caso isolato, basti pensare ai problemi di OVH negli anni passati. Non è ipotizzabile che il controllo sulla sicurezza dei servizi di soggetti così rilevanti sia lasciato ai singoli clienti, ed infatti nel 2024 la Direttiva NIS2 interesserà, fra gli altri, anche questi soggetti.
Rimarrà comunque la necessità per le aziende di gestire efficacemente il rapporto con i fornitori, assicurando che il servizio fornito corrisponda alle esigenze ed aspettative aziendali. Su questo, le aziende rimangono mediamente carenti, ed incidenti ai fornitori di servizi in cloud potranno essere un tema sempre più rilevante in termini di impatti, con perdite di servizio e dati che le aziende saranno in difficoltà a gestire.
Governance della sicurezza
Anche il governo e la gestione della sicurezza sembrano destinati ad una maggiore esternalizzazione nel 2024, data la scarsità di competenze disponibili. L’aumento della criticità dei rischi di cybersecurity per le aziende, i requisiti normativi e la specificità della formazione necessaria da una parte renderanno interessante per molte aziende l’esternalizzazione, dall’altra aumenteranno la pressione sui CISO, per i quali già nel 2023 si parlava di “burn and churn”.
Le tendenze tecnologiche di sicurezza nel 2024
Per quanto riguarda le tecnologie di sicurezza, il 2024 potrebbe essere l’anno in cui finalmente inizieremo a disfarci in modo definitivo dell’autenticazione basata solo su password. Gli strumenti per l’autenticazione multifattore sono ormai diffusi e di più semplice utilizzo per gli utenti delle password: l’adozione metodica è a questo punto un tema di integrazione nei servizi esistenti, più che di accettabilità per gli utenti.
Un’altra buzzbord che continuerà ad essere presente è quella di “zero trust”, ovvero l’assenza di aree o dispositivi sicuri “di default” che non richiedano quindi autenticazione. Il concetto segue i principi di base della sicurezza, ma nella gran parte delle aziende e pubbliche amministrazioni, soprattutto quelle medio-piccole, la gestione della sicurezza è ancora ben lontana dall’essere in grado di fare proprie queste logiche, mancando non solo un’adozione metodica di criteri di segmentazione, ma anche misure molto più di base come la gestione e protezione metodica dei backup. Sarebbe bello sperare che nel 2024 non sentiremo più parlare di gravi e irrimediabili perdite di dati, ma sarebbe una speranza probabilmente destinata ad rimanere insoddisfatta.
L’applicazione della direttiva NIS2
Tutto questo, sempre al netto di sorprese, ci porta a quella che per il 2024, e ancora più per il 2025, potrebbe essere la vera protagonista per quanto riguarda la gestione della sicurezza nell’Unione Europea in Italia, ovvero la Direttiva NIS2. I termini per il recepimento nazionale sono ad ottobre 2024, ma le aziende più attente inizieranno le proprie attività di adeguamento.
L’ampiezza per perimetro di applicazione della Direttiva, che copre un gran numero di settori finora poco normati in termini di cybersecurity, comprendente aziende fino alle medie imprese o, per settori specifici, anche le piccole imprese, e l’ampiezza dei requisiti di sicurezza che pone, promettono di renderla per la cybersecurity una pietra miliare come il GDPR lo è stato per la protezione dei dati personali. La Direttiva tocca molti dei punti fin qui discussi, dai backup alla continuità dei servizi, dalla sicurezza dei fornitori di servizi in cloud a quelli di servizi di sicurezza gestiti, dalla responsabilità diretta degli organi apicali all’autenticazione multifattore.
L’ampiezza degli interventi richiesti alle aziende, soprattutto a quelle che finora hanno dedicato poca attenzione al tema della cybersecurity, sarà tale da muovere buona parte del mercato della sicurezza nei prossimi anni.
Data Act e Cyber Resilience Act
Ma la Direttiva NIS2 non sarà l’unica norma alla quale dedicare attenzione: il Data Act avrà a sua volta un impatto sui servizi che trattano grandi quantità di dati dei propri utenti, primi fra tutti i servizi IoT. Un impatto importante, anche se presumibilmente con un impatto che arriverà maggiormente negli anni successivi al 2024, lo avrà anche il Cyber Resilience Act, su cui l’accordo politico è stato trovato a fine 2023 e di cui ci si può aspettare quindi la pubblicazione ad inizio 2024.
Si tratta di una norma che inizia a portare nei prodotti digitali le logiche comuni in altri settori del mercato, ovvero che un prodotto può essere immesso sul mercato solo se soddisfa dei requisiti minimi di sicurezza. Esattamente come un cittadino o un’azienda non si devono porre il problema della sicurezza dei freni di un’auto che sta acquistando, perché per l’immissione sul mercato un’auto deve prima superare un processo omologazione, così non dovranno preoccuparsi di verificare la sicurezza dei componenti digitali dei prodotti immessi sul mercato, ma solo dell’adeguatezza del prodotto al contesto di utilizzo e, naturalmente, di utilizzarlo correttamente. Il Cyber Resilience Act comporterà, fra l’altro, l’obbligo di assicurare la disponibilità di aggiornamenti e di segnalare le vunerabilità e gli incidententi rilevanti.
Sul fronte delle previsioni in ambito sicurezza, nel 2024 lo sviluppo di una maggiore resilienza dell’Europa e dell’Italia agli incidenti di cybersecurity promette di essere guidato dalle norme di legge più che da logiche di valutazioni dei rischi per le aziende e le pubbliche amministrazioni.
