Cybersecurity: serve una rivoluzione culturale

All’alba del 2 agosto 2021 l’Italia si è scoperta fragile. Debole nelle sue infrastrutture informatiche nella sua Cybersecurity , vulnerabile nei sistemi della sua Pubblica Amministrazione, perforabile nella difesa dalle minacce hacker, sempre più frequenti nell’era della digitalizzazione della nostra vita sociale e professionale.

“Hello Lazio! Your files were encrypted”, i tuoi file sono stati criptati. Questo il messaggio apparso quel lunedì sui Pc dei dipendenti della Regione Lazio, colpita da un attacco ransomware che ha disattivato i suoi sistemi informatici, compreso il portale di registrazione per le vaccinazioni COVID-19. Un attacco, appunto, che ha scoperchiato tutte le debolezze della nostra amministrazione.

«Questa vulnerabilità ha radici culturali», dice a Changes il Prof. Ranieri Razzante, consulente per la Cybersecurity del Sottosegretario alla Difesa Giorgio Mulè. «La sottovalutazione dei rischi cyber ha prodotto una clamorosa mancanza di accorgimenti tecnici che dovrebbero essere banali: alcuni sistemi di difesa sono molto basici, con password non aggiornate con regolarità, senza doppia verifica, con backup non protetti, con sistemi di decriptazione molto semplici».

Un elenco di mancanze che disorienta, visto che stiamo parlando del nostro stesso sistema amministrativo pubblico, dimostratosi impreparato. Il Ministro Vittorio Colao d’altronde ci aveva avvertiti già lo scorso aprile: «Il 95% della nostra PA non è in condizioni di sicurezza».

I danni di quell’attacco agostano alla Regione Lazio sono ingenti. Danni diretti, viste le ripercussioni avute per esempio sulla campagna vaccinale in corso, ma soprattutto indiretti e reputazionali. I più gravi, secondo Razzante, «perché questi attacchi hanno dimostrato una forte vulnerabilità e debolezza di sistema che potrebbe causare un pericoloso effetto emulativo, un marketing del virus che rafforzerebbe gli attacchi e le strutture da cui questi attacchi partono». Insomma, dopo quanto successo, rischiamo di essere ancora più esposti, visto che i criminali potrebbero prendere forza e coraggio proprio dalle debolezze dimostrate dai nostri sistemi.

Ma chi sono questi criminali? «È difficile conoscerli per la natura stessa del luogo che li produce e li fa proliferare: il web che non ha nazionalità. Spesso alla base dei crimini informatici ci sono gruppi nazionali e internazionali che dialogano agevolmente attraverso deep e dark web» sottolinea Razzante. «Non esiste un profilo tipico dell’hacker e a complicare tutto c’è anche il ricorso alle criptomonete, la valuta del riscatto richiesta dal 99% degli attacchi con malware (la richiesta di riscatto secondo il Rapporto Clusit 2021 è l’obiettivo dell’80% degli attacchi hacker, NdR). Oggi non esistono valigette piene di banconote, ci sono i Bitcoin, senza i quali questi attacchi sarebbero quasi impossibili. Per questo tracciabilità e trasparenza devono essere obiettivi da perseguire».

Nell’agosto terribile della Cybersecurity italiana, tuttavia, è arrivata anche una buona notizia: la nascita dell’Agenzia per la Cybersicurezza, un organismo che avrà il compito di coordinare tutte le attività contro i crimini informatici. «La sua istituzione è fondamentale, pur se arriva con colpevole ritardo» dice Razzante. «Proprio il mancato coordinamento è stato infatti sinora un vulnus molto grave nella lotta al crimine cyber. L’agenzia favorirà un aspetto decisivo nella lotta al crimine informatico: il contrattacco. Sarà infatti il centro di formazione dei futuri agenti cyber, addestrati in una struttura che rappresenterà un autentico salto culturale che mancava e che permetterà finalmente di fare prevenzione».

Prevenzione, contrattacco, ma anche cambiamento dell’approccio culturale: ecco la ricetta necessaria. «Siamo tutti coinvolti sia personalmente che come aziende», osserva Gastone Nencini, Country Manager Italia Trend Micro, società che opera nel campo della Cybersecurity. «Oggi viviamo interconnessi e tutta le nostre attività sono a rischio».

Questo è ancora più vero in epoca di smart working. Secondo i dati di Trend Micro, nel 2021 l’Italia si conferma nelle prime tre posizioni della classifica mondiale dei Paesi presi di mira dai malware con sanità, banking e PA come settori più colpiti. E allora ancora una volta l’elemento culturale è centrale. Sempre Gastone Nencini ci offre qualche utile consiglio, una sorta di buon vivere online badando alla nostra e altrui Cybersicurity.

Iniziamo palla password. «Deve essere lunga, complessa, magari una frase con dei numeri, di cui utilizzare le prime lettere delle parole maiuscole. Un codice che non deve essere salvato su mail, o foglietti sparsi sulla scrivania o peggio attaccati al muro. Potremmo salvarla su file word, protetto da password su disco criptato. Fondamentale è poi l’autenticazione a due fattori tramite sms o ulteriore mail».

Sempre più spesso però gli attacchi ai nostri sistemi informatici avvengono tramite phishing, attraverso cui si inviano false comunicazioni agli utenti raggirati e invitati a fornire dati sensibili. «In questo caso per prima cosa, in caso di dubbi, contattare l’ente o l’azienda che ha inviato la mail e verificare l’autenticità della comunicazione. Ma soprattutto ragioniamo, non abbocchiamo a mail di regali, sorteggi fortunati, ecc. Un trucchetto? Spostiamo il mouse sul nome del mittente e vediamo se il suo indirizzo mail è corretto o un fake».

Il malware può inoltre essere contenuto su file, sfruttando le sue vulnerabilità. «I file sospetti non vanno mai aperti. Installiamo poi un buon antivirus commerciale e non free, per sua ammissione debole. L’applicazione di patch virtuali rimane il modo migliore per mitigare i rischi delle minacce”. E poi ancora altri consigli: «Fate gli aggiornamenti, che non sono una seccatura ma necessari. E mi raccomando ai backup, plurimi e separati».

Anche questa è cultura, anche questa è formazione. L’obiettivo è «passare dalla sicurezza alla security», dice Ranieri Razzante. Per fare ognuno la propria parte e proteggere la nostra Cybersecurity , il nostro modo di vivere sempre più digitalizzato e perciò minacciato. ​

​