La cyber resilienza è oggi una priorità strategica per l’Unione Europea. Il progetto SYNAPSE, coordinato dal CNR, nasce per rispondere a questa esigenza con un sistema integrato che automatizza la risposta agli attacchi informatici e ne gestisce anche le implicazioni assicurative.
Indice degli argomenti
Un panorama digitale sempre più a rischio: nasce SYNAPSE
L’attuale panorama digitale è infatti caratterizzato da un continuo aumento dei rischi legati alle violazioni dei sistemi. Come avverte l’Agenzia dell’Unione Europea per la Cybersecurity (ENISA), stiamo entrando in un decennio in cui i rischi saranno sempre più frequenti, e le minacce significativamente più difficili da interpretare. La crescente diffusione dei sistemi digitali comporta un’espansione delle aree suscettibili di attacco (attack surface), peraltro esposte all’insorgere di minacce sempre più sofisticate, spesso sostenute da stati nazionali. In questo contesto, l’intervento manuale, da solo, non è più sufficiente.
Il progetto Europeo SYNAPSE, coordinato dal CNR, contribuisce ad incrementare la resilienza e quindi la sicurezza collettiva dell’Unione Europea. Il progetto, in maniera olistica, propone un approccio all’automazione che parte dalla rilevazione degli attacchi, compiuta anche mediante tecniche di intelligenza artificiale, pianifica l’attuazione di azioni di mitigazione e recovery e integra anche il processo di gestione della parte assicurativa di tali attacchi. Quest’ultima fase è una novità nel settore che estende gli approcci sviluppati in precedenza ed affronta le richieste del mercato.
Lo standard CACAO e i playbook eseguibili: un linguaggio comune per la sicurezza
Al centro di questo percorso vi è l’adozione dello standard OASIS CACAO (Collaborative Automated Course of Action Operations). In passato, le procedure di sicurezza venivano spesso documentate in modo puramente testuale, ad esempio in file PDF statici o fogli di calcolo isolati, rendendone difficile l’esecuzione sotto la pressione di un incidente reale.
SYNAPSE si propone di trasformare queste procedure in “Playbook” comprensibili ed eseguibili direttamente a livello macchina. Codificando la conoscenza degli esperti in un formato digitale strutturato, il progetto mira a creare un linguaggio comune per le operazioni di sicurezza. Questi playbook sono progettati per essere adattivi: non si tratta di script rigidi, ma di una logica dinamica che può essere contestualizzata in base allo specifico ambiente di minaccia che un’organizzazione si trova ad affrontare.
Dal rilevamento alla risposta: il motore COAR e l’orchestrazione automatizzata
Il percorso di automazione all’interno di SYNAPSE copre l’intero ciclo di vita dell’incidente, a partire dalla rilevazione. Infatti, sebbene identificare una minaccia sia il primo passo, la vera sfida risiede nella concezione ed attuazione della risposta ad essa. Il progetto esplora un ciclo continuo in cui la consapevolezza situazionale (situational awareness), potenziata dall’intelligenza artificiale, alimenta direttamente un motore di orchestrazione, automazione e risposta (Cyber Orchestration, Automation, and Response – COAR).
Questo motore è progettato per eseguire playbook che coprono le fasi di prevenzione, mitigazione e risoluzione. Ad esempio, quando viene rilevata una vulnerabilità, un playbook di prevenzione potrebbe attivare automaticamente il rafforzamento delle configurazioni di sistema.
Se viene identificato un attacco attivo, un playbook di mitigazione può avviare il sandboxing o l’immediato reindirizzamento del traffico, riducendo drasticamente la finestra di opportunità per l’avversario grazie ai tempi di risposta propri di un sistema automatizzato. Questa transizione verso una risposta orchestrata intende alleggerire il carico di lavoro degli operatori umani, consentendo loro di concentrarsi sulla strategia di alto livello piuttosto che su compiti manuali ripetitivi.
L’architettura di SYNAPSE: un approccio model-driven e bottom-up
La Figura 1 offre una panoramica di come tutte le funzionalità di SYNAPSE si integrino per una gestione integrata dei rischi e della resilienza nel campo della sicurezza informatica.
Le partizioni sinistra e destra rappresentano, rispettivamente, i modelli (che codificano le specifiche operative) e i dati (ovvero i risultati delle funzionalità chiave integrate in SYNAPSE). I layer centrali forniscono le funzionalità di analisi dei rischi, di valutazione economica e di supporto decisionale per la gestione dei rischi.
La piattaforma SYNAPSE adotterà un approccio model-driven (guidato dai modelli): per ogni fase verrà predisposto un modello che dettagli il funzionamento del componente corrispondente. Ad esempio, per definire il componente di Monitoring, verrà creato un modello contenente informazioni quali le risorse coinvolte, gli aspetti della sicurezza da monitorare e le regole di monitoraggio; queste regole saranno poi monitorate durante l’esecuzione della piattaforma.
La logica bottom-up dei layer orizzontali
I layer orizzontali rappresentano un approccio bottom-up, in cui ogni livello utilizza i risultati del livello precedente. Ad esempio, i risultati della fase di identificazione dei rischi (raffigurata in grigio chiaro) saranno utilizzati dalla fase di analisi dei rischi (giallo) e dalla fase di valutazione dei rischi (verde), ecc.
Figura 1: Le principali funzionalità del progetto SYNAPSE
Cyber insurance e asimmetria informativa: SYNAPSE come testimone fidato
Sebbene la resilienza tecnica sia fondamentale, il progetto SYNAPSE riconosce che la sicurezza non esiste in un contesto isolato e gli aspetti economici sono centrali. Anche con le migliori difese automatizzate, la possibilità di un impatto residuo rimane sempre presente. Questo conduce al secondo pilastro del progetto: l’integrazione della cybersicurezza con il settore assicurativo.
Tradizionalmente, le assicurazioni cyber sono state ostacolate dalla cosiddetta ‘asimmetria informativa’, cioè nella manifestazione di un divario tra le necessità degli assicuratori, che necessitano di dati chiari ed in tempo reale sulla postura di rischio di un cliente, ed i clienti stessi per i quali è difficile dimostrare l’entità effettiva della perdita subita. SYNAPSE tenta di colmare questo divario trattando la piattaforma di sicurezza come un ‘testimone fidato’ in grado di informare l’intero ciclo di vita assicurativo.
Smart contract e DLT: la profilazione dinamica del rischio assicurativo
Il progetto introduce un pilota orizzontale focalizzato specificamente sulle assicurazioni abilitate da smart contract. Sfruttando la tecnologia Distributed Ledger (DLT), in particolare Hyperledger Fabric, SYNAPSE mira ad automatizzare la gestione degli incidenti da una prospettiva assicurativa. Il processo inizia con una profilazione dinamica del rischio: invece di affidarsi a questionari annuali, la piattaforma fornisce dati continui su vulnerabilità e threat intelligence, consentendo una sottoscrizione della polizza più accurata ed equa.
Questa trasparenza avvantaggia entrambe le parti: l’organizzazione assicurata acquisisce una comprensione più chiara della propria copertura, mentre l’assicuratore può offrire prodotti meglio adattati all’effettivo ambiente di rischio.
Automazione del risarcimento: dalla reazione tecnica al ripristino finanziario
L’aspetto più innovativo di questa integrazione è l’automazione del processo di risarcimento. In caso di un incidente significativo, gli strumenti di monitoraggio e risposta della piattaforma, gli stessi che eseguono i playbook CACAO, raccolgono e registrano automaticamente le prove della violazione. Queste prove vengono poi inserite in uno smart contract che governa la polizza assicurativa. Poiché i dati sono registrati su un registro sicuro e immutabile, essi forniscono una prova indiscutibile di quanto accaduto e delle azioni intraprese. Se le condizioni della polizza sono soddisfatte, lo smart contract può convalidare la richiesta o persino attivare automaticamente parti del processo di liquidazione.
Collegando la fase tecnica di ‘Reazione’ (tramite i playbook CACAO) alla fase finanziaria di ‘Ripristino’ (tramite gli smart contract), SYNAPSE propone un approccio più olistico per gestire il rischio cyber. Questo approccio si basa sul riconoscimento del fatto che la vera resilienza non richiede solo la capacità di respingere un attacco, ma anche sulla disponibilità di strumenti strutturali ed economici per riprendersi in modo rapido e trasparente dopo un attacco o un incidente.
SYNAPSE genera quindi una sinergia tra l’orchestrazione automatizzata e l’assicurazione intelligente, che rappresenta un passo verso un futuro digitale più integrato e prevedibile per le organizzazioni europee e può contribuire alla nascita di servizi avanzati di cyber resilience e insurance.
