Dal rapporto sugli investimenti in tema di sicurezza delle reti e dei sistemi informativi pubblicato in data 11 dicembre 2020 dall’Agenzia dell’Unione Europea per la Cybersecurity, Enisa, è emerso che l’Unione europea non investe sufficiente denaro in sicurezza cyber sicurezza, rispetto agli Stati Uniti in particolare.
Una stima che assume un significato particolare, nei giorni in cui il rischio cyber è ai massimi livelli e minaccia la stabilità delle nostre istituzioni e società. Chi avesse dubbi può ricordare recenti fatti come l’attacco (probabilmente russo) di spionaggio informatico al Governo Usa e i cyber attacchi ai vaccini.
E che l’Europa investa troppo poco e agisca anche in modo poco organica su questo fronte se n’è accorta anche la Commissione europea, come si vede nella recente proposta di strategia cybersecurity.
Il rapporto Enisa
L’indagine, che ha visto coinvolte 251 organizzazioni pubbliche e privati di diversi paesi europei, mette in evidenza un aspetto allarmante, soprattutto in un momento che ha visto dibattere sui tavoli del Consiglio dell’Unione Europea la possibilità di violare la crittografia end-to-end per consentire alle forze dell’ordine di svolgere pienamente il loro lavoro di indagine e risoluzione di crimini, mantenendo preservata la sicurezza dei dati dei cittadini, fino alla risoluzione ufficialmente adottata qualche giorno fa.
Importante è capire intanto come i tipi di investimento vengono organizzati. Secondo quanto si legge nel rapporto Enisa, “gli investimenti nella gestione delle vulnerabilità e nell’analisi della sicurezza si concentrano su funzionalità proattive per ridurre al minimo l’impatto di eventuali violazioni una volta che si sono verificate; per sicurezza dell’applicazione si intende il modo in cui l’applicazione è stata progettata e sviluppata, come funziona e come l’applicazione e i suoi elementi di supporto (rete, sistema operativo, database ecc.) sono configurati e distribuiti per garantire la sicurezza; la governance, il rischio e la gestione della conformità (GRC) si concentra sul modo in cui le organizzazioni affrontano il loro insieme unico di rischi sviluppando strategie, politiche, standard e consapevolezza che sono alla base dei servizi di sicurezza; GRC garantisce che il rischio sia gestito in modo aperto ed efficace, che siano soddisfatti i requisiti di conformità legale e normativa e che la sicurezza delle informazioni sia integrata in tutta l’organizzazione; la sicurezza della rete, la gestione delle identità e degli accessi (IAM), la sicurezza degli endpoint e la sicurezza dei dati fanno parte della sicurezza dell’infrastruttura operativa, che si concentra sulla protezione della rete, degli host e dei dati e sulla garanzia di un accesso sicuro ai sistemi per gli utenti autorizzati”.
I dati indicano che i primi tre domini in termini di spesa sono: gestione delle vulnerabilità e analisi della sicurezza con una quota del 20%, Governance, rischi e conformità (GRC) con una quota del 18% e sicurezza della rete con una quota del 17%.
Questa distribuzione tra le diverse aree funzionali è stata abbastanza stabile negli ultimi quattro anni, ma, sebbene abbastanza simile quando si confrontano organizzazioni nell’UE e negli Stati Uniti, varia notevolmente da un settore all’altro.
Ad esempio, per quanto riguarda la gestione delle vulnerabilità e dell’analisi, le soluzioni comprendono dall’8% fino al 35% del budget complessivo per la sicurezza delle informazioni delle organizzazioni quando si confrontano diversi settori. Se osserviamo altri prodotti e servizi di sicurezza delle informazioni, ci troviamo di fronte a alcune variazioni, come identity and access management (7% – 15%) e Network Security (11% – 28%).
European cybersecurity center
In questo scenario non stupisce che sia stata scelta la Romania, precisamente Bucarest, come sede dello European Cybersecurity Competence Centre, in particolare per gli investimenti che ha messo in piedi per il settore. Lo European Cybersecurity Competence Centre è un istituto cyber che si occuperà di gestire le attività in merito alla sicurezza delle reti UE e i fondi comunitari a essa destinati e richiederà la creazione di centri analoghi sui territori nazionali. Il commissario europeo per il Mercato interno Thierry Breton ha indicato come prerogativa per la scelta della sede del Centro la presenza di fornitori di 5G adeguati e l’Italia probabilmente ha visto sfumare l’occasione a causa dell’importante presenza di Huawei e Zte.
Oltre al fatto che con le sue città il nostro paese non è presente neanche tra le 7 finaliste per ospitare l’agenzia europea, qualche mese fa si parlava di fondare l’istituto italiano di cybersicurezza, ma come abbiamo visto già in precedenza, è finita in un nulla di fatto.
In mancanza di un istituto che si occupi di cybersecurity sul territorio nazionale, l’Italia non potrà accedere ai fondi necessari e quindi rischierà di non avere una protezione adeguata.
Tecnologia e sicurezza
Da ciò che emerge dal rapporto, per quanto riguarda il settore di cybersecurity, siamo di fronte ovviamente ad una contraddizione importante perché l’innovazione tecnologica deve necessariamente andare di pari passo con la protezione delle infrastrutture, altrimenti è la stessa tecnologia a non poter avanzare. La percentuale di investimenti dedicata all’information security risulta invariata dal 2016 ed è di appena il 6%, secondo quanto riferisce il rapporto di Enisa, mentre la percentuale di investimenti pianificati in UE rispetto a quella USA sono del 41% in meno, anche se è bene rimarcare che il paragone tra Europa e Stati Uniti regge ben poco, visto che l’UE deve ancora fare parecchia strada per poter essere al pari della potenza americana sul piano della cybersecurity e sulla produzione stessa di tecnologia.
Il direttore esecutivo di Enisa, Juhan Lepassaar, mette in evidenza proprio questo divario nella presentazione del rapporto.
