Cyber resilience: l’importanza di resistere e sopravvivere agli attacchi informatici

Se ci pensiamo bene, la rete è la cosa di cui ci fidiamo di più. Affidiamo ai sistemi informatici i nostri dati personali, i nostri conti in banca e la sicurezza di un intero paese e dell’ordine mondiale. Sia a livello individuale che collettivo, confidiamo letteralmente sui sistemi cibernetici. Ma se da una parte digitalizzare tutto ha reso le cose semplici per noi, dall’altra nascono ogni giorno minacce informatiche sempre più affinate da parte di gruppi hacker, terroristi e addirittura enti governativi. Furti, modifiche e violazioni di dati, infezioni da virus informatici e molti altri problemi possono compromettere sistemi interi e di cui siamo tutti potenziali obiettivi: dalle grandi aziende alle banche e agli enti sanitari e governativi, fino ad individui privati. Milioni di dati e coordinate bancarie vengono rubati ogni giorno. La capacità degli hacker arriva a compromettere anche i sistemi di sicurezza più all’avanguardia. Il web ci rende più vulnerabili e le minacce informatiche sono pericolose in termini non solo di perdita economica, ma anche di disordine sociale.

La rapida evoluzione delle minacce ai sistemi informatici e la loro imprevedibilità impongono la necessità di trovare nuovi approcci per gestire e affrontare il rischio. Rendere più complessi i sistemi informatici non ha risolto il problema. I crescenti attacchi ci impongono a constatare l’evidenza che, per quanto sicuri, i nostri sistemi non saranno mai del tutto protetti. Per ogni evoluzione del sistema ci sarà sempre il modo per fare breccia e comprometterlo. Le politiche di cyber security devono puntare anche alla limitazione del danno. Se non c’è modo per prevenire determinate minacce, l’obiettivo è l’immunità dei sistemi a tali colpi e la loro conseguente resilienza.

Come accade nei sistemi fisiologici, anche le macchine possono diventare immuni agli attacchi. Come il nostro corpo diventa immune da infezioni e virus a cui veniamo esposti, anche i sistemi informatici possono sviluppare una sorta di immunità alle minacce esterne a cui sono sottoposti, in modo da limitare il danno una volta riconosciuto. La resilienza informatica, infatti, si riferisce alla capacità del sistema di prepararsi, assorbire, recuperare e adattarsi agli effetti negativi, come gli attacchi informatici.

La resilienza non è una caratteristica esclusivamente umana. Siamo abituati a parlare di resilienza in psicologia e in sociologia. Esiste però anche l’ingegneria della resilienza, ovvero la capacità dei sistemi di anticipare e adattarsi a potenziali sorprese e guasti. La capacità, dunque, di far fronte a determinati inconvenienti che si innesca quando prevenirli non è possibile. La valutazione del grado di resilienza si basa sulla velocità di recupero da parte di un sistema colpito e la cui funzionalità è stata compromessa. Per l’appunto, il rischio informatico si calcola sul modello rischio = minaccia x vulnerabilità x conseguenza. Più un sistema è vulnerabile, più il rischio è alto. Ridurre la sua vulnerabilità renderà quindi i rischi meno pericolosi. La resilienza guida proprio alla limitazione delle conseguenze negative e dannose, migliorando la capacità di un sistema di riprendersi da qualsiasi interruzione, sia essa prevedibile o meno. 

La resilienza non è una caratteristica esclusivamente umana. Siamo abituati a parlare di resilienza in psicologia e in sociologia. Esiste però anche l’ingegneria della resilienza, ovvero la capacità dei sistemi di anticipare e adattarsi a potenziali sorprese e guasti. La capacità, dunque, di far fronte a determinati inconvenienti che si innesca quando prevenirli non è possibile. La valutazione del grado di resilienza si basa sulla velocità di recupero da parte di un sistema colpito e la cui funzionalità è stata compromessa. Per l’appunto, il rischio informatico si calcola sul modello rischio = minaccia x vulnerabilità x conseguenza. Più un sistema è vulnerabile, più il rischio è alto. Ridurre la sua vulnerabilità renderà quindi i rischi meno pericolosi. La resilienza guida proprio alla limitazione delle conseguenze negative e dannose, migliorando la capacità di un sistema di riprendersi da qualsiasi interruzione, sia essa prevedibile o meno.

In questo contesto globale di continue e imprevedibili minacce, la cyber security deve adottare un approccio diverso e più ampio, basato proprio sulla capacità di anticipare e prevenire, ma anche di resistere e adattarsi a eventi informatici avversi. Gestire gli attacchi minimizzando i danni è essenziale per non mettere in crisi tutto quel che concerne l’attività. Nell’ambito legal, la capacità di preservare i dati e i sistemi è di particolare importanza, vista la crescente digitalizzazione dei processi legali. Fin troppi dati rischiano di essere compromessi: i dati sensibili dei clienti, le documentazioni dei contratti, gli atti giudiziari, gli accordi di riservatezza e tutta la corrispondenza legale. La perdita di questi dati e documenti causata da un data breach può avere disastrose conseguenze. Inoltre, un attacco ransomware può bloccare le operazioni aziendali, e quindi danneggiare la reputazione. La cyber resilience è quindi fondamentale per proteggere le informazioni, garantire la continuità operativa e preservare la reputazione.

Le aziende e le organizzazioni, per proteggere meglio i loro sistemi, devono avere un piano di risposta efficace, al fine di garantire un rapido ripristino. Questo processo le renderà man mano “immuni” a determinati attacchi, accusando sempre meno il colpo. La cyber resilience si articola in diverse fasi: la fase di prevenzione, tramite antivirus e firewall, la fase riguardante la detection di attacchi, quindi la capacità di individuare le minacce, e la fase di risposta a questi. Infine, la fase di ripresa, che è la parte principale della cyber resilience, ovvero riportare l’attività informatica alla normalità dopo l’attacco. 

Le aziende e le organizzazioni, per proteggere meglio i loro sistemi, devono avere un piano di risposta efficace, al fine di garantire un rapido ripristino. Questo processo le renderà man mano “immuni” a determinati attacchi, accusando sempre meno il colpo. La cyber resilience si articola in diverse fasi: la fase di prevenzione, tramite antivirus e firewall, la fase riguardante la detection di attacchi, quindi la capacità di individuare le minacce, e la fase di risposta a questi. Infine, la fase di ripresa, che è la parte principale della cyber resilience, ovvero riportare l’attività informatica alla normalità dopo l’attacco.

A livello europeo, è in corso di definizione il Cyber Resilience Act (CRA), un’iniziativa legislativa che mira a rafforzare la sicurezza dei prodotti con componenti digitali. In Italia, il Ddl cyber contiene già alcune disposizioni relative alla cyber resilience, ma si attende l’approvazione dell’atto europeo che renderà conforme la normativa. Il CRA si applica, infatti, a tutti i distributori e produttori digitali, per armonizzare la sicurezza informatica nel territorio europeo e renderli sempre meno vulnerabili sin dalle fasi iniziali della progettazione secondo il principio di security by design, alzando così gli standard di sicurezza e imponendo cambiamenti a livello globale. Il regolamento si inserisce nel piano europeo finalizzato a rendere più sicuri e competitivi i dispositivi digitali, di cui fanno parte anche la direttiva NIS2 e il Regolamento DORA (Digital Operational Resilience Act).

Il lavoro sulla resilienza dei sistemi informatici si adatta con la dinamicità di un mondo digitale in continua evoluzione. Quando le organizzazioni recuperano dagli incidenti, devono imparare dall’esperienza vissuta, modificando le procedure, la formazione, la progettazione e persino la strategia. Un’operazione basata sull’empirico, che porta al miglioramento della capacità di subire sempre meno degli attacchi esterni. La resilienza informatica è una strategia che unisce il principio di base della sicurezza informatica con la capacità di gestire in rapidità una continuità operativa: solo seguendo questa strategia le aziende diventeranno davvero resistenti ad attacchi informatici, violazioni e qualsiasi altro evento avverso.

Riferimenti

Cyber resilience of systems and networks – A. Kott, I. Linkov, Springer, 2019