Hacker e Cyber security: siamo tutti vulnerabili

Digitalizzazione e automazione sono una vera e propria rivoluzione che sta mettendo in atto tutta una serie di meccanismi così da rendere – o meglio, che dovrebbe rendere se sfruttata nel migliore modo – il lavoro più efficiente e sicuro. Ma entrambe hanno anche un rovescio della medaglia, aprendo le porte, come un cavallo di Troia dei tempi moderni, ad attacchi malevoli che possono, nei casi più lievi rallentare la produttività, fino a giungere, in quelli più gravi, a veri e propri blocchi della produzione, incidenti, compromissione del funzionamento dei macchinari, tenendo in ostaggio – con veri e propri ricatti spesso a suon di criptovalute – i sistemi aziendali e mandando in fumo il lavoro di mesi, anni, di una vita intera.

Demonizzare il cambiamento – sotto diversi punti di vista, dalla cosiddetta disoccupazione tecnologica, alla paura del nuovo ecosistema digitale – può essere deleterio così come lo è cadere nella trappola di un hacker. Conoscere e mettere in atto accorgimenti più o meno specifici – dai puntuali aggiornamenti dei sistemi, alla stipula di polizze ad hoc fino a considerare lo scenario più drastico, che permette di mantenere in piedi la produzione anche sotto attacco hacker -, non garantisce di azzerare il rischio ed essere immuni alle aggressioni di hacker perché, se vero che: “I più preparati sicuramente resistono al meglio in queste situazioni” come ben puntualizzano le parole dell’esperto Luca Bechelli, “siamo tutti vulnerabili”.

Information Security & Cyber Security Advisor, membro del Comitato Scientifico di Clusit – Associazione Italiana per la Sicurezza Informatica che dal 2000 promuove e diffonde la cultura e la consapevolezza della sicurezza informatica – Bechelli accende un faro sullo stato di cose italiano, in un quadro di luci e ombre in cui, precisa, è importante non farsi fermare dalla paura dell’attacco, ma trovare forme di protezione e risposta sempre più dinamiche, per gestire gli incidenti stando al passo con “gli attaccanti”.

• Cyber attack: siamo davvero preparati? Quale la percezione?

Anche nel settore della cyber security, la conoscenza e la consapevolezza sono fondamentali: le aziende subiscono una pressione così elevata che, anche in caso di attacchi generalizzati – pensiamoli come a una sorta di pesca a strascico -, e non architettati e mirati alla singola realtà, chi è meno preparato finisce coinvolto, dentro “la rete” degli hacker. Tuttavia, i pericoli esistono anche per i più esperti: sicuramente resistono meglio in queste situazioni, ma se entrano nel preciso mirino dell’attaccante possono avere una capacità di risposta non sufficiente.

Chi deve difendersi ha alle spalle una complessità di apparati, tecnologie, dispostivi – spesso con un aiuto limitato da parte dei fornitori, che non supportano rilasciando aggiornamenti puntuali o anche solo indicandone l’esistenza – per cui si trova a fare fronte a tutta una serie di elementi che gli rendono la vita più difficile rispetto a chi aggredisce, che ha dalla sua il tempo – può decidere quando colpire -, le modalità e l’intensità dell’assalto. Da un lato abbiamo un hacker che paradossalmente può imparare a violare un’unica tecnologia e poi sferrare la sua offesa nei confronti di tutti quelli che la usano, dall’altro lato, abbiamo una azienda che può entrare nel mirino, e doversi quindi difendere, dagli assalti di tanti attaccanti diversi.

Tra gli attacchi censiti nel nostro Rapporto, selezionati tra i più critici, quelli che hanno colpito aziende italiane costituiscono il 7,6% di quelli mondiali. In Italia, una vittima su 5 appartiene al settore manufacturing, molto più che nel resto del mondo (in cui le aziende del settore costituiscono il 5% del totale). Questo non è indice di accanimento contro il nostro paese – si tratta di campagne globali con attacchi generalisti – ma è un dato preoccupante che indica come esista una minore consapevolezza e capacità di difesa rispetto ad altri stati. A incidere è anche il tema del tessuto economico italiano, composto soprattutto da micro e PMI che, per forza di cose, non hanno la possibilità di mettere in campo le stesse protezioni delle grandi imprese.

• Quali i tipi di attacchi prevalenti?

Ne esistono di diverse tipologie: una, ricollegandomi alla domanda precedente, riesce a introdursi attraverso i fornitori infettati che, entrando in contatto con numerose realtà, hanno a loro volta l’opportunità di diffondere e contagiare le realtà con cui collaborano. Un attacco che attualmente preoccupa seriamente è legato ai ransomware, programmi che, una volta installati, bloccano l’accesso al dispositivo o criptano i file presenti, generando la possibilità per gli hacker di richiedere un riscatto per avere lo sblocco.

Si tratta di minacce su larga scala, prevalentemente automatizzate indirizzate verso il singolo cittadino, così come verso le aziende – in cui si prova a colpire chiunque utilizzi una determinata tecnologia. In caso di aziende si tende ancora di più a monetizzare, chiedendo riscatti a suon di criptovalute, bloccando la produzione, libri contabili, elenco fornitori etc., e spesso il ricattato decide di cedere alla minaccia, vista come “il male minore” rispetto a dovere ricreare gli elementi bloccati, scommettendo sul fatto che il pagamento realmente sospenda il cyberattack, e si possa riprendere a lavorare come prima.

• Complici gli incentivi governativi, negli ultimi anni nel settore della logistica c’è un exploit di automazione e interconnessione: cosa si rischia in caso di attacco?

L’interconnessione tra i carrelli e, più in generale, l’automazione nelle aziende, è un tema particolarmente sentito perché attraverso essa si crea efficienza, si migliorano la capacità di produzione e la sicurezza, si riducono i costi ma, allo stesso tempo, si introduce una nuova tecnologia che porta a riorganizzare completamente tutto e di cui, in un certo modo, diventiamo dipendenti.

Si tratta di una strada maestra, un fenomeno in crescita diventato un pilastro della produzione da cui, se viene meno per qualche motivo, è difficile tornare indietro per diversi motivi: in primis poiché, chiaramente, le persone non possono sostenere i ritmi di lavoro seguiti da una macchina, quindi senza automazione si perde la competitività raggiunta nel mercato, in secondo luogo, se il lavoro è svolto dalla macchina, il capitale umano viene reimpiegato – o impiegato – in nuove, diverse, mansioni.

• Che accade in caso di attacco?

Il principale effetto è di solito la cosiddetta “operation disruption”, ossia il blocco delle attività. Un’altra conseguenza è la messa in pericolo della sicurezza aziendale. Pensiamo ai carrelli: hanno sensori che ne indicano la posizione, dialogano tra di loro, sono dotati di un livello di intelligenza che rende il lavoro più sicuro e produttivo.

• Cosa succede se, in seguito a un cyberattack, il software viene controllato da qualcun altro, in modo tutt’altro che amichevole?

I mezzi potrebbero non funzionare più, i sensori potrebbero cessare, in maniera silente, di rilevare e trasmettere, potrebbero mancare quelle forme di tutela che io mi aspetto e che, non essendoci, mettono a rischio la produzione, l’efficacia, la sicurezza di persone e cose. Io, se fossi hacker, potrei provocare incidenti – ad esempio, mandando a sbattere i carrelli tra di loro o contro scaffalature – compromettendo anche la struttura dello stabilimento, fare operare gli strumenti a temperature non adeguate, chiedere lo spostamento di carichi superiori alle tolleranze definite sulle componenti meccaniche e fisiche.

Teniamo poi a mente che l’impianto automatizzato fa parte di un sistema aziendale IT ben più complesso, quindi un attacco che si applica verso alcune tecnologie può trasferirsi anche alle altre: ad esempio un malware che colpisce il reparto della contabilità può indisturbato e rapidamente spostarsi anche agli altri.

• Cosa si può fare per essere meno vulnerabili?

Sicuramente occorre analizzare periodicamente, attraverso test di penetrazione, tutte le possibili vulnerabilità presenti in azienda. L’obiettivo di questi attacchi informatici simulati è di scovare le eventuali falle presenti, che potrebbero essere sfruttate dagli hacker, restituendo un elenco di attività che possono essere fatte per sanarle. La valutazione dei pericoli legati agli oggetti intelligenti che introduciamo ed evolviamo nel tempo è una attività molto importante che serve anche a capire quale possa essere l’impatto della perdita del supporto della tecnologia, comprendere quali azioni compiere per evitare che ciò accada, ma anche essere pronti a gestire il famoso “caso pessimo”.

Avere un piano B permette di far fronte a modalità di lavoro emergenziali, atte a sostenere, per quanto possibile, l’azienda durante l’assalto. Essere consapevoli di essere sotto minaccia è fondamentale: dalla consapevolezza passa anche la decisione di prendere alcuni rischi – per diversi motivi, come possono essere i costi attualmente troppo alti per le casse societarie – e avvalersi di altri strumenti, come le sempre più gettonate assicurazioni cyber risk, che permettano di continuare a vivere e restare competitivi nel mercato.

Attenzione però, non vorrei che, di fronte a queste mie parole, passasse un messaggio allarmistico, sbagliato: noi tutti dobbiamo credere nell’importanza della digitalizzazione e questi rischi, la cui presenza ora ci colpisce e ci spaventa, nascono perché li abbiamo sottovalutati. La sicurezza informatica deve avere lo stesso ruolo e rispetto di altre attività di prevenzione, come l’antinfortunistica o l’antincendio, che da anni sono pilastri aziendali.

• Quali sono le figure professionali a cui ci si può affidare?

La figura professionale che speriamo venga introdotta sempre più spesso in azienda è il CISO, Chief Information Security Officer. Si tratta di un C level, un ruolo apicale, che nell’organizzazione dovrebbe avere un incarico di responsabilità al pari degli altri manager che contribuiscono alle decisioni programmatiche. Deve supportare l’attuazione delle strategie, stimolando la sviluppo di una nuova sensibilità verso le tematiche della cybersecurity, indirizzando le scelte in questa direzione e facendo sì che le esigenze di crescita siano bilanciate da misure di sicurezza adeguate.

Nella progettazione di un’auto sportiva sarebbe colui che si occupa dell’impianto frenante: aerodinamica e motore sono indispensabili, ma occorre dotare la vettura di freni che le permettano di rallentare al momento giusto, affrontare il tragitto senza sbandare o uscire di strada. Il CISO dovrebbe fare questo: in un progetto globale chiamato “azienda” è la figura che, cooperando con le altre, mette in luce le criticità che potrebbero interrompere la crescita, indicando gli strumenti per farvi fronte.

• Cosa possiamo fare noi dipendenti per tutelare “le nostre” aziende?

Ciascuno di noi, nel suo piccolo, può fare tanto: siamo la vulnerabilità più pericolosa, ma possiamo adottare comportamenti tali da non creare pericoli e contribuire a innalzare il livello di protezione con azioni che vanno nella direzione di evitare, o perlomeno mitigare, i rischi. Ad esempio, quando riceviamo una mail con allegato, dobbiamo chiederci se aprirlo, poiché potrebbe contenere un malware. Se siamo noi a dovere selezionare un fornitore, tra i parametri di scelta ci dovrebbe essere pure l’analisi della sua capacità di difesa anche sotto il profilo della sicurezza informatica.

Siamo tutti vulnerabili agli hacker e possiamo cadere nella rete: come dicevano i latini, “aliena pericula, cautiones nostrae”, ossia i pericoli degli altri ci siano di monito. Non possiamo pensare di fare a meno dell’automazione, ma nemmeno pensare che, come qualcuno crede, le minacce possano riguardare solo le banche – i dati del rapporto Clusit ci dimostrano come ormai non sia più così – l’azienda nostra competitor o quella al di là della strada.

Resta aggiornato sulle novità del settore, seguici sui social o clicca qui per leggere le nostre riviste!