Obbiettivo di queste brevi note è offrire spunti di riflessione partendo da una sintetica panoramica della sicurezza logica e di quella fisica, della loro “convergenza” e del contributo alla resilienza.
La sicurezza logica, ossia la sicurezza dei dati e delle informazioni in ambito ICT o più correntemente anche se non precisamente cybersecurity, è sicuramente uno degli argomenti più “cool” del momento, se ne parla in tutti gli ambiti, da quello istituzionale a quello professionale nonché nei mezzi di comunicazione tradizionali (radio, tv) e ancor più in Rete.
Esiste ed è sicuramente importante l’esigenza di elevare il livello di sicurezza dei sistemi informatici pubblici e privati e aumentare (spesso partendo da zero) la consapevolezza dei rischi degli utenti della Rete a tutti i livelli. Non mancano le iniziative a livello internazionale e nazionale, ad esempio la direttiva NIS e il regolamento UE 881/2019 (regolamento sulla cibersicurezza), tanto più il recente D.L. 105/2019: perimetro di sicurezza cibernetica, volte a fornire il quadro di riferimento e le relative norme affinché gli stati membri della UE possano iniziare ad operare concretamente in modo coordinato e adeguato al livello della minaccia.
Nel settore privato la rilevanza della materia è evidenziata dal notevole incremento della richiesta di specialisti e dal conseguente svilupparsi delle iniziative di formazione in tema di sicurezza ICT. Si deve però notare che la formazione sembra decisamente in ritardo rispetto alle richieste attuali e a quelle dei prossimi anni. Le notizie di incidenti ed attacchi cyber però non riguardano solamente i dati bancari o le credenziali degli utenti ma interessano sempre più spesso stabilimenti industriali, mezzi di trasporto, reti di distribuzione di energia, ecc. Un esempio per tutti: l’attacco alla rete elettrica dell’Ucraina con conseguente impossibilità di manovra da parte degli operatori e relativo prolungato blackout. In sintesi, da diversi anni è crollata la separazione del mondo ICT con quello dell’automazione industriale (o ambito Operational Technology OT) e gli impianti di qualsiasi tipo sono sempre più controllati e gestiti da sistemi ICT spesso non particolarmente sofisticati o aggiornati come, ad esempio, Windows XP che è ancora usato per controllare moltissimi ambiti industriali. Questa convergenza, o meglio “commistione”, è destinata ad aumentare nel futuro, pur con i tempi “prolungati” degli ambiti operativi industriali, a causa dei costi “infinitamente” minori dei sistemi ICT rispetto a quelli dei precedenti apparati “custom” per uso industriale. A tutto ciò si aggiungono i vantaggi derivanti dalla possibilità di interconnessione globale che consente l’uso di Internet.
L’ultimo tassello di questo scenario di cybersecurity è rappresentato dall’irrompere degli IOT (Internet delle cose) con il proliferare di “oggetti” più o meno “intelligenti” che si possono connettere a Internet e svolgono i compiti più disparati. Il loro numero sarà dell’ordine delle decine di miliardi e l’evoluzione delle telecomunicazioni, come ad esempio il prossimo 5G, ne faciliterà l’utilizzo e quindi lo sviluppo.
In sintesi, la cybersecurity è divenuta pervasiva a causa della progressiva applicazione della Information Technology ad ambiti prima “isolati” oppure inesistenti, come gli IOT. Conseguentemente un incidente informatico può divenire un problema di sicurezza fisica (Safety o Security) perché può alterare il corretto funzionamento di un impianto o un aereo e quindi causare danni alle persone e alle cose.
Cosa era la sicurezza fisica fino a poco tempo fa? Forse si può sintetizzare come protezione dell’incolumità delle persone e tutela dei beni materiali. Come detto prima, la cybersecurity può divenire un aspetto della sicurezza fisica quando un computer controlla operazioni che possono impattare sulla salute o l’incolumità delle persone. Anche qualora la sicurezza fisica si intenda come protezione dei beni, essa è oramai basata sempre più su sistemi di video sorveglianza ed allarme digitali dotati di sensori con indirizzo IP. Il noto caso del malware MIRAI, che consente l’utilizzo fraudolento di telecamere per creare una botnet e sferrare attacchi DDOS, è un esempio dello stato di convergenza tra sicurezza fisica e logica.
Da tempo si parla della necessità di considerare la sicurezza un problema complessivo, ossia a 360°, e superare quindi i “silos” tecnologici, organizzativi e formativi ancora esistenti che impediscono soluzioni integrate e maggiormente efficaci. Sembra arrivato il momento per passare dalla teoria alla pratica e cambiare atteggiamento, a partire da noi professionisti del settore.
L’ultima considerazione riguarda la resilienza che ha nella sicurezza, considerata in tutti i suoi aspetti, una delle componenti fondamentali. Il prevedibile futuro vedrà un sempre maggiore focus sulla resilienza dei sistemi, delle organizzazioni, dei paesi, ecc. È prevedibile un altro cambiamento di paradigma poiché la sicurezza sarà parte di un processo più complesso e si dovranno quindi superare ulteriori “barriere” per integrarla con le altre componenti che contribuiscono alla resilienza (prevenzione, reazione, soccorso, ripristino).
Buona parte di questa evoluzione sarà supportata da strumenti tecnologici, ma la maggior parte di essa comporta cambiamenti di paradigma con conseguenti impatti sulle attività lavorative, sulla governance delle organizzazioni pubbliche e private, sulle scelte formative, ecc. Sarà probabilmente questa la parte più difficile, quella che implica un diverso modo di affrontare i problemi da parte delle persone. Siamo preparati a questi cambi di paradigma e quanto tempo ci vorrà? Saremo in grado di avere un accettabile grado di resilienza delle attività umane (includendo in esse anche l’utilizzo della robotica e della IA) in un mondo sempre più connesso, complesso e interdipendente?
Glauco Bertocchi
