Raramente si attribuisce alle esercitazioni di sicurezza informatica l’importanza che invece rivestono nel percorso di innalzamento della resilienza di un sistema complesso, o di una singola azienda, oppure di un ufficio pubblico, per fronteggiare le più pericolose e diffuse minacce informatiche.
Importanza delle esercitazioni di sicurezza informatica per la resilienza dei sistemi complessi
Le esercitazioni rappresentano sicuramente un costo per chi le organizza, specialmente in termini di impiego di risorse umane e di tempo da dedicare sia alla preparazione che all’analisi dei risultati.
A chi non possiede ancora consapevolezza sufficiente circa i benefici che possono comportare, esse possono anche apparire poco più che giochi di ruolo, senza impatti pratici sulla realtà giornaliera, eppure da tempo ne viene raccomandata l’esecuzione e soprattutto lo studio dei risultati conseguiti.
La diffusione delle esercitazioni e le cosiddette “lezioni apprese” danno infatti la misura del livello di preparazione raggiunto nel fronteggiare gli attacchi informatici e per scongiurare i danni più pesanti di un attacco.
In una buona programmazione delle misure di protezione, ogni attore del settore pubblico o privato è tenuto ad adottare iniziative idonee in base ad approfondite analisi dei propri asset strategici, a verifiche sull’ organizzazione interna e sulle posizioni ricoperte dal personale dipendente, al livello di formazione posseduto dallo stesso personale e alle continue esigenze innovative che interessano anche i livelli manageriali.
Deve essere inoltre considerata adeguatamente l’incidenza del fattore umano sul grado di resilienza di ogni sistema complesso.
Oltre al rispetto delle imposizioni di legge ad oggi in vigore, ogni infrastruttura deve fare i conti con la numerosità delle variabili e con la sovrapposizione di possibili effetti, a volte difficilmente prevedibili e quindi potenzialmente insuperabili, quando valuta la propria capacità di difesa.
Gli attacchi possono infatti raggiungere facilmente ed efficacemente i propri target in presenza di particolari condizioni operative, quali per esempio la carenza di personale, l’inadeguatezza dell’organizzazione, la mancanza di aggiornamenti nella policy interna, la difficoltà di presidi atti a contrastare l’azione malevola, l’insufficiente consapevolezza del top management etc.
Efficacia delle esercitazioni per la sicurezza informatica in vari settori
La più efficace iniziativa per ottenere indicazioni sullo stato delle variabili esemplificate e sulle necessità di interventi e aggiornamenti, è rappresentata pertanto dalle esercitazioni e dallo studio delle risultanze conseguite.
E questo vale per qualsiasi settore operativo ad alto tasso di informatizzazione.
Vale per testare la maturità degli Uffici della PA in materia cyber, vale per verificare la cifra di sicurezza informatica per le grandi infrastrutture critiche quali per esempio quelle energetiche o finanziarie o dei trasporti, come pure per tutti i nuovi soggetti portati all’attenzione di tutti dalla Direttiva NIS 2, esattamente come risulta fondamentale per un’impresa di piccola o media dimensione, che magari si ritrova un pregiato know how da difendere.
L’Action plan lanciato dalla Commissione Europea
A conferma della valenza della misura di cui parliamo, vale la pena sottolineare che anche l’Action plan lanciato dalla Commissione Europea lo scorso 16 gennaio 2025 relativamente al settore della salute e degli Ospedali, inserisce lo svolgimento delle esercitazioni fra le azioni raccomandate.
Tipologie di esercitazioni di sicurezza informatica
Come noto e plausibile, le esercitazioni possono essere organizzate in diversi modi; fra queste si inseriscono le esercitazioni della tipologia table-top e quelle che invece sono di carattere operativo o più specificatamente tecnico.
In alcune realizzazioni di questo ultimo tipo si prevedono anche simulazioni immersive, quanto più realistiche possibili in termini di scenari di varia complessità che provano a immaginare le sfide più prossime e più pericolose (Cyber Range).
Le esercitazioni table-top
Le esercitazioni table-top sono in linea generale teoriche, si svolgono a tavolino e testano essenzialmente ruoli e procedure.
Vengono individuati vari ruoli fra i partecipanti, che possono rappresentare vari stakeholder e, sulla base di uno scenario che ipotizzi il verificarsi di una crisi, si privilegia un coordinamento forte di varie azioni da compiere per fronteggiare l’evento dannoso pensato, in uno scenario condiviso e noto all’inizio dell’esercitazione.
Il coinvolgimento ipotetico di vari soggetti con compiti e responsabilità specifiche rappresenta il cuore di una esercitazione table-top ben progettata.
La prontezza e la precisione nelle risposte nell’ambito degli specifici ruoli sono le principali azioni sotto osservazione e saranno oggetto, a valle della esercitazione, di approfondite valutazioni.
Le “lezioni apprese” consentiranno di apportare eventuali correttivi, per esempio, alla policy di cybersecurity aziendale o della struttura pubblica che vi abbia preso parte.
Potrebbero altresì essere fornite utili indicazioni relative all’organizzazione aziendale, alla capacità di relazionarsi all’interno e all’esterno in caso di crisi, alla formazione che appaia ulteriormente necessaria, alle innovazioni da apportarsi per intervenuta nuova normativa di settore.
E’ opportuno ricordare come la NIS2 preveda maggiore coinvolgimento e responsabilità per i massimi livelli decisionali; per questo anche nelle table-top si deve scalare fino ad interessare tali livelli per verificarne consapevolezza e preparazione nel caso si rendessero necessari ed urgenti decisioni significative.
Esercitazioni operative e tecniche per migliorare la sicurezza informatica
Altre tipologie di esercitazione, di tipo operativo, consentono invece di testare soprattutto la qualità delle comunicazioni fra i vari partecipanti, i quali, agendo dalle proprie postazioni, cercano di verificare oltre alla capacità di intervento, l’incidenza dei modelli di comunicazione sulla buona riuscita delle operazioni da compiere e la loro capacità di scambiare informazioni in modo tempestivo.
Vi sono poi le esercitazioni più prettamente tecniche, nelle quali si simulano minacce o attacchi sempre più impegnativi.
In questo caso si interessano le risorse umane professionalmente più competenti perché le sfide in atto devono essere condotte ad alto livello tecnico.
Le tecnologie oggi disponibili consentono la predisposizione di ambienti immersivi, quasi “gemelli digitali” delle infrastrutture oggetto delle ipotizzate minacce, senza intaccare l’operatività consueta e la continuità di funzionamento delle stesse.
Quel personale impegnato in simili esercizi e prove, dovrà poi fornire precisi suggerimenti su come potenziare le funzionalità risultate più deboli e gli interventi tecnico-specialistici eventualmente da compiere per potenziarle adeguatamente.
Sfide attuali e future per la sicurezza informatica
Le esperienze finora maturate e il quadro normativo oggi disponibile, sia livello nazionale che europeo, rendono sicuramente più spedite e più complete le fasi di predisposizione di un’esercitazione di sicurezza informatica.
L’escalation di attacchi alle infrastrutture critiche
Le esigenze tuttavia si complicano man mano che la situazione reale delle infrastrutture, il funzionamento delle quali dipende da un alto livello di informatizzazione di processi e procedure, è esposta ad attacchi mirati, massicci e potenziati dalle tecnologie di intelligenza artificiale.
Alla luce di una pericolosa progressione nelle varie tipologie di attacco, occorre oggi intensificare la capacità difensiva, e spingere sugli investimenti per innalzarne il livello.
La centralità del fattore umano per la sicurezza delle infrastrutture
Due considerazioni importanti dovrebbero essere alla base di ogni tentativo di innalzare la resilienza di un sistema complesso: la centralità del fattore umano, che si pone sempre più spesso come elemento decisivo in tecniche e tattiche di difesa cyber, nonostante gli sviluppi invasivi delle tecnologie di AI, e la dimensione degli eventi malevoli da respingere sempre più diffusi su larga scala.
Le esercitazioni di sicurezza informatica accresceranno la loro efficacia quanto più si sarà in grado di contemplare tutti gli aspetti che concorrono oggi a comporre il mosaico di infrastrutture pubbliche e private, catene di fornitori, utenti e clienti, tecnologie emergenti e bisogni nuovi da soddisfare.
Sfida all’apparenza impossibile da vincersi con cui però risulta inevitabile misurarsi.
Volendo ripercorrere le iniziative più qualificanti attivate a livello nazionale dal momento in cui la materia cyber ha cominciato a uscire dalla nicchia in cui era confinata, occorre risalire al 2010 per trovarne tracce di rilievo; fra queste spicca l’avvio di un’esercitazione di sicurezza informatica, peraltro a livello europeo.
Evoluzione delle esercitazioni di sicurezza informatica in Europa
E’ di quell’anno, infatti, l’invito della Commissione europea a tutti gli Stati Membri a prendere parte alla prima esercitazione paneuropea di cybersecurity.
Il coordinamento dell’operazione veniva affidato all’Agenzia ENISA.
Sul piano legislativo, l’Italia non disponeva ancora di alcun quadro strategico né di piani operativi, concertati ed approvati; si dovrà attendere infatti il gennaio del 2013 per vedere emanato il primo Quadro Strategico Nazionale.
Pur tuttavia l’Italia prese parte all’esercitazione europea e l’adesione rappresentò un momento fondamentale nella costruzione del percorso di sensibilizzazione delle Pubbliche Amministrazioni e di tante aziende private sul tema del rischio informatico.
In pratica la partecipazione consentì di far muovere al nostro Paese i primi passi in una community dalla quale non sarebbe più uscita: quella dei tecnici altamente specializzati di vari Stati Membri, dai quali c’era già molto da imparare e con i quali si potevano sperimentare le prime condivisioni di informazioni, acquisendo nel contempo importanti conoscenze specialistiche.
Fu interessante per l’Italia, all’epoca, confrontarsi con altri Paesi dell’Unione, per comprendere quali fossero i modelli cui avrebbe potuto o dovuto ispirarsi per crescere in consapevolezza e competenze.
In quel contesto, nel quale la cifra della sicurezza informatica dell’Unione risentiva pesantemente di un profondo disallineamento fra gli Stati Membri, con le esercitazioni si verificavano le differenze esistenti e contestualmente si gettavano le basi per superarle.
Il ruolo delle esercitazioni nella normativa europea
In pratica, si consolidava l’aspirazione di poter innalzare il livello comune di sicurezza e quindi si rafforzava l’esigenza di una norma ad hoc che imponesse l’adozione di opportune misure da adottarsi da parte di infrastrutture e sistemi complessi; la norma che in effetti ne scaturì, seppure con enormi difficoltà, fu poi (nel 2016) la direttiva NIS.
Il coordinamento europeo di Enisa e la creazione dei CERT
Il coordinamento europeo di Enisa nella prima esercitazione europea si estese ben presto anche ad altre azioni, inizialmente sperimentali e poi codificate dalla NIS.
Fra queste Enisa cominciò a supportare la creazione di un CERT (i CERT sono divenuti poi CSIRT) in ogni Stato Membro quale centro di raccolta di segnalazioni e di smistamento di alert, capace inoltre di assicurare molti altri servizi, la nascita di un gruppo di cooperazione europeo per lo scambio di buone pratiche e diverse altre iniziative.
Nel panorama che si stava aprendo, le esercitazioni rappresentavano il più efficace strumento di valutazione della implementazione di meccanismi di difesa cyber nonché un esempio di buone pratiche da studiare e replicare anche al di fuori delle esperienze collettive, attivate a livello europeo con cadenza biennale.
Sulla base di questa spinta europea e dell’approvazione della direttiva NIS, anche gli Stati Membri meno virtuosi hanno dovuto attivarsi e le esercitazioni nazionali hanno contribuito notevolmente a far crescere la formazione specialistica, a far introdurre procedure per la gestione del rischio informatico, a sviluppare linguaggio e protocolli di comunicazione nuovi, qualificati, efficaci.
Grazie a questi processi di maturazione, nelle esercitazioni sono aumentati i partecipanti, si sono arricchiti gli scenari e sviluppati studi per fronteggiare con sufficiente anticipo minacce pericolose.
Continuità e importanza delle esercitazioni europee
Il programma delle esercitazioni europee in effetti ha mantenuto una buona continuità e nel giugno dello scorso anno si è svolta l’iniziativa Cyber Europe 2024, a venti anni dall’istituzione dell’Agenzia ENISA; l’Italia vi ha preso parte.
ACN ha coordinato le operazioni del livello nazionale e, nel comunicato finale, ha sottolineato gli aspetti più importanti.
In particolare, come è stato comunicato, si è scelta la simulazione di un attacco su larga scala che andava a minacciare gli operatori elettrici di dimensione nazionale; l’attacco provocava inoltre numerosi eventi in tutta Europa.
A livello nazionale l’ipotesi considerava la possibilità di scalare fino ad una situazione di crisi che avrebbe potuto interessare anche parecchi settori, o domini.
Nel comunicato di ACN è riportato: “Durante l’esercitazione per evitare che un attacco su larga scala potesse paralizzare l’economia europea e destabilizzare l’equilibrio politico, le parti interessate hanno dovuto coordinare rapidamente le loro azioni e risposte.”
Sempre dal comunicato ufficiale dell’Agenzia per la Cybersicurezza nazionale apprendiamo che i numeri dei partecipanti a Cyber Europe 2024 sono stati particolarmente significativi: “30 agenzie nazionali di sicurezza informatica, organi e reti dell’Unione Europea e oltre 1000 esperti che si occupano di risposta agli incidenti.”
In effetti non si può che apprezzare la dimensione importante dell’evento e il dispiegamento di risorse, indice di necessità crescenti di investire in modo pesante su questo tipo di iniziativa.
Organizzazione e risultati delle esercitazioni Cyber Europe 2024
Il Cyber Europe 2024, con sottotitolo After Action Report, è una interessante pubblicazione di ENISA del novembre scorso che vuole rappresentare il punto di vista dell’Agenzia sulla esercitazione Cyber Europe 2024.
È interessante quindi aggiungere, alle notizie sopra riportate, ulteriori annotazioni che aiutano a capire ancora meglio l’organizzazione e il funzionamento di questo strumento.
L’Agenzia europea, avendo svolto anche in quell’occasione il compito forte del coordinamento, possiede elementi importanti per commentare lo svolgimento dell’evento e per condividere gli spunti raccolti ai fini della preparazione successiva di iniziative simili.
Le esercitazioni della serie Cyber Europe riguardano sia il settore pubblico che quello privato e simulano, a livello europeo, incidenti cyber su vasta scala che possono portare a vere e proprie situazioni di crisi cyber.
Gli scenari ipotizzati sono in genere molto complessi e nell’esercitazione si testano le capacità e le abilità dei singoli partecipanti.
Cyber Europe 2024 ha scelto di occuparsi del settore dell’energia ed ha avuto luogo il 19 e 20 giugno scorso in formato ibrido.
I Planners hanno pianificato le operazioni scegliendo lo scenario, gli obiettivi da raggiungere e studiando tutti gli aspetti logistici che dovevano essere coperti.
I Player dell’esercitazione, invece, hanno assicurato il regolare svolgimento delle operazioni e l’esecuzione dei compiti assegnati.
Obiettivi e risultati delle esercitazioni Cyber Europe 2024
Il settore dell’energia era stato scelto in quanto particolarmente strategico per l’economia e la crescita europea e si è ritenuto di doversi concentrare sulla preparazione a livello aziendale e di leaders industriali per fronteggiare le minacce esistenti indirizzate al settore, e le loro possibili evoluzioni.
Nel Report di ENISA sono stati sottolineati gli scopi specifici di quell’esercitazione: testare l’adeguatezza dei sistemi in essere ma anche migliorare le SOP (standard operating procedures), la collaborazione interna, le comunicazioni e le capacità di gestione delle eventuali crisi alle quali si poteva giungere.
Di rilievo è apparso anche l’obiettivo di verificare, nell’occasione, la consapevolezza acquisita dal livello “corporate” delle aziende e quindi dal top management circa la necessità di avere sia adeguata preparazione in tema cyber sia la volontà di assicurare gli opportuni investimenti.
Per una conclusione sulle esercitazioni europee giova ricordare che la NIS 2, all’art.15 c.3 lett. l, prevede fra i compiti del network degli CSIRT, di fare il punto sulle esercitazioni di cybersecurity, incluse quelle organizzate da ENISA.
Questo implica che la valenza di quel tipo di verifica non è messa in discussione dalla più recente normativa, semmai è talmente consolidata da essere inserita a pieno titolo tra i compiti assegnati ad una fra le infrastrutture più strategiche dell’architettura cyber europea, quale la rete degli CSIRT.
Anche la Strategia italiana per la cybersicurezza nazionale 2022-2026 ha previsto l’effettuazione di esercitazioni interministeriali da ripetersi periodicamente e riguardanti anche i soggetti che operano nell’ambito del Perimetro di cybersicurezza nazionale; questa previsione si raccorda con coerenza con i contenuti espressi dalla direttiva NIS2 in relazione alla costruzione di una solida capacità nazionale di prevenzione e preparazione ad ampio raggio.
L’importanza delle esercitazioni a livello nazionale
Rimane quindi confermata anche a livello nazionale l’importanza delle esercitazioni che costituiscono un vero e proprio caposaldo fra le azioni di protezione del sistema pubblico-privato; per questo anche l’Agenzia italiana ha avviato questa strategica esperienza.
L’esercitazione ACN-CyEX24
Il 5 e 6 dicembre scorso, infatti, si è tenuta presso la sede dell’Agenzia per la cybersicurezza nazionale l’esercitazione ACN-CyEX24.
Vi hanno partecipato le Amministrazioni che siedono nel Nucleo per la Cybersicurezza per testare “le capacità di prevenzione e risposta agli incidenti cibernetici del sistema pubblico italiano”, come riporta il comunicato ufficiale.
La dimensione dell’esercitazione, con oltre 50 rappresentanti di Ministeri e Dipartimenti, testimonia quanto siano cresciute la sensibilità, la consapevolezza e le capacità tecniche nelle strutture pubbliche, che spesso hanno lamentato nel passato carenze di risorse umane, finanziarie e strumentali.
Questa partecipazione rappresenta inoltre un bel segnale da parte dell’intero comparto pubblico di voler contrastare con sempre maggiore efficacia, oggi che gli investimenti nel settore sembrano acclarati, le mire di quella categoria di attaccanti che considera da sempre la PA un obiettivo particolarmente ricco e appetibile.
Secondo le dichiarazioni ufficiali, l’attività posta in essere durante l’evento, di simulazione di un contesto operativo reale, e la partecipazione dello CSIRT, hanno avuto come scopo anche quello di testare, ai fini del loro miglioramento, le collaborazioni tra le strutture pubbliche; è immaginabile pertanto che anche la comunicazione fra gli Enti interessanti abbia ricoperto un ruolo importante.
Comunicazione e responsabilità nelle esercitazioni di sicurezza informatica
In casi come quello di cui stiamo parlando, cioè di esercitazioni di Pubbliche Amministrazioni, di norma, non si riserva la benché minima attenzione alla delicatezza della costruzione del comunicato ufficiale a conclusione della manifestazione; la capacità di redigere appositi comunicati-stampa o dichiarazioni ufficiali, invece, richiede doti particolari, competenze non superficiali, abilità diplomatiche di elevato livello.
L’assunzione di responsabilità sui messaggi da emettere deve appartenere a livelli veramente alti e i contenuti rilasciati, per l’impatto che possono avere nei confronti dei cittadini, devono essere adeguatamente soppesati.
Basti pensare alle rassicurazioni che dovrebbero discendere dalla conoscenza dell’impegno statale per fronteggiare le minacce cyber e dell’eventuale grado di affidabilità raggiunti, per convincersi della qualità che anche il linguaggio utilizzato deve possedere.
Come dichiarato dall’Agenzia, le esercitazioni sono parte integrante della Strategia nazionale di cybersicurezza 2022-2026.
Facendo riferimento al piano di implementazione della Strategia nazionale di cybersicurezza 2022-2026, l’attuazione della misura #82 della Strategia nazionale prevede infatti, alla misura #39 del citato Piano, di “Promuovere e coordinare la partecipazione a esercitazioni europee e internazionali che riguardano la simulazione di eventi di natura cibernetica, al fine di innalzare la resilienza del Paese”.
Evoluzione del panorama cyber e sfide future
Concludendo, il Global Cybersecurity Outlook del World Economic Forum appena rilasciato per l’anno in corso, in concomitanza con l’appuntamento annuale di DAVOS, e redatto in collaborazione con Accenture, sottolinea in questa ultima edizione come ci siano state variazioni significative nel panorama cyber rispetto all’edizione del 2024.
Dal report emerge come le vulnerabilità della supply chain stiano raggiungendo i vertici del cyber rischio in interi ecosistemi e come le tensioni geopolitiche stiano influenzando le strategie cyber delle varie organizzazioni.
Inoltre, la crescente complessità del cyberspazio aggrava la “cyber inequity”, il divario cioè tra organizzazioni di grandi dimensioni e quelle più piccole, incrementando le differenze tra economie emergenti e quelle più sviluppate e fra differenti ambiti settoriali.
Questi elementi sono purtroppo un indice preoccupante di crescita dei rischi cyber dal punto di vista della rapidità e della sofisticazione.
Alla luce delle annotazioni esposte, dell’impianto ampiamente innovativo della NIS2 e delle potenti innovazioni tecnologiche, non resta che progettare al meglio le strategie di protezione, mantenerle perfettamente aggiornate e verificarle di frequente, con il massimo dell’impegno e della competenza.
Per le esercitazioni di sicurezza informatica si può predire, allora, ancora una lunga vita.
