Investiamo su persone e competenze per salvare l’Italia dalle minacce informatiche

La scorsa settimana sono successi due eventi importanti per la cybersecurity

1. C’è stato un attacco ransomware con sequestro dei dati e successiva richiesta di riscatto alla Regione Lazio
2. È stato nominato il direttore dell’Agenzia per la Cybersicurezza Nazionale (ACN), Roberto Baldoni, a seguito della pubblicazione – sempre in settimana – della legge sulla cybersecurity.

Due eventi “storici” per la sicurezza digitale

Il primo evento, se ce ne fosse ancora bisogno, ha messo in evidenza la centralità nella nostra vita dei sistemi informatici, nonché la loro vulnerabilità. L’attacco ha anche messo in chiaro che organizzazione aziendale, competenza dei tecnici e consapevolezza degli utenti sono fattori chiave per limitare il successo di attacchi cyber che sicuramente continueranno.

Ecco la legge sulla cybersecurity e l’Agenzia, ma ora bisogna correre

Il secondo evento ha mostrato che finalmente la politica ha  superato le divisioni e ha capito l’importanza di avere anche Italia qualcosa di simile a “una struttura leggera centralizzata multidisciplinare, in parte governativa, in parte privata e in parte legata al mondo della ricerca, in grado sia di far fronte a una serie di servizi e attività di ricerca sia di giocare un ruolo primario nelle linee attuative del processo dinamico di implementazione del Piano Strategico Nazionale di Sicurezza Cibernetica, insieme alle altre componenti del sistema governativo nazionale” che avevamo già auspicato nel 2015[1].

Non avendo conoscenza degli elementi che la polizia postale ha sicuramente acquisito non riesco ad unirmi al coro degli esperti che fanno ipotesi sulle tecniche di attacco e sulle responsabilità della regione, dei tecnici, dei dipendenti eccetera.

Tra le cause vengono ipotizzate assenza di two-factor authentication per l’accesso alla VPN, violazioni di password,  tecniche di phishing.

Io vorrei approfittare di questo spazio solo per fornire alcune indicazioni generali su come prepararsi ad attacchi di ransomware. E vorrei provare sommessamente a suggerire che la neonata agenzia metta in agenda piani di difesa dal cybercrime partendo dalla formazione e dalla ricerca avanzata.

Preparare le aziende a fronteggiare il ransomware

Tutte le organizzazioni pubbliche o private grandi, medie o piccole debbono mettere in conto che un attacco ransomware ai loro sistemi informatici è sempre possibile e dovranno mettere a punto strategie che, come delineato in un articolo su Cyberdefence eMagazine[2], prevedano:

1. Valutazione del rischio che pone un ransomware, analizzando quali sono le loro principali vulnerabilità e quali sono le loro operazioni più critiche che debbono essere sempre funzionanti
2. Sviluppo di un piano che preveda chi prende le decisioni in situazioni critiche e garantisca la non interruzione del servizio e la risposta alll’attacco (che ad esempio backup regolari off line e cifratura dei dati)
3. Definire un piano per far fronte alle richieste di riscatto se assolutamente indispensabile. E ripeto solo se assolutamente indispensabile con opportuni backup e cifrature si può non pagare.
4. Focalizzarsi sulle tecniche di difesa della rete ma anche delle persone investendo in opportuni protocolli di sicurezza ma anche nella formazione del personale. Spesso il problema sta tra la sedia e la tastiera; in inglese PEBCAK – Problem Exists Between Chair and Keyboard.

Preparare le persone per la cybersecurity

Come ha detto un amico subito dopo la nomina del direttore dell’ACN: fatto il direttore ora bisogna fare l’agenzia. Perché questa possa essere efficace è necessario che possa avvalersi di grandi competenze in termini di tecnici, ingegneri, esperti e ricercatori e serve anche che le altre realtà del paese abbiano esperti che possano dialogare con l’agenzia stessa e che siano in grado, di concerto con l’agenzia, di mettere a punto piani di difesa cyber per le aziende e le organizzazioni per le quali lavorano.

Per avere a disposizione le competenze necessarie serve avviare un piano straordinario per la formazione in cybersecurity e puntare a trattenere in Italia il maggior numero possibile di esperti.  Alcune proiezioni prevedono per il prossimo anno uno skill shortage mondiale di 3 milioni e mezzo di personale esperte nell’ambito della cybersecurity e queste figure hanno un mercato mondiale. Spesso in Italia ci troviamo a competere con realtà che, oltre confine, offrono condizioni lavorative di gran lunga migliori.

È pertanto necessario mettere a punto delle strategie di brain retention che rendano più attraente lavorare su tematiche di sicurezza informatica nel nostro Paese e creare le condizioni per riportare in Italia i nostri migliori cervelli nell’ambito della scienza e dell’imprenditoria nel settore della sicurezza.

Al momento, il numero di figure professionali legate alla cybersecurity prodotte dalle nostre università è troppo basso anche a causa del basso numero di docenti presenti in Italia in questo settore che, di fatto, impedisce sia l’attivazione di nuovi corsi di laurea in cybersecurity in molte università italiane, sia lo sviluppo di significative attività di ricerca nel settore. Per raggiungere, nel più breve tempo possibile, un livello di workforce nel settore della cybersecurity adeguato alle esigenze del Paese, già nel passato abbiamo auspicato[3] che, come fatto per la Chimica negli anni ’60, si riconosca la strategicità del settore della cybersecurity e venga avviato in Italia un piano straordinario per l’assunzione di ricercatori e professori universitari che si occupino di sicurezza informatica e, in generale, di trasformazione digitale in tutte le sue componenti: giuridiche, economiche e soprattutto tecnologiche

Ci aspettiamo che l’ACN contribuisca a questo piano e oltre a definire piani di igiene cyber per tutti i cittadini aiuti le università a istituire nuovi corsi di laurea e dottorati specifici sulla cybersecurity. Quest’anno è partito un dottorato nazionale in Intelligenza Artificiale, ebbene quanto prima in collaborazione con l’Agenzia vanno definiti dei programmi di dottorato nazionale in cybersecurity perché solo formando persone con competenze di altissimo livello saremo in grado di gestire la progressiva digitalizzazione promossa dal piano Impresa 4.0 e di far fronte ad attacchi che si possono manifestare anche per l’uso sempre più pervasivo di tecniche di Intelligenza Artificiale e Big Data Analytics.

Come evitare altre minacce ransomware al Paese: le misure per aziende e PA

Note

[1] https://www.consorzio-cini.it/index.php/en/component/attachments/download/416

[2] Rob T. Lee “4 steps to prepare for a ransomware attack: A C-Suite guide”; Cyberdefence eMagazine August 2021.

[3] https://cybersecnatlab.it/wp-content/uploads/2019/07/Libro-Bianco-2018.pdf