Notizie relative ad attacchi informatici e violazioni dei dati sono ormai una presenza regolare nei media, quasi a sottolineare costantemente la necessità per ogni organizzazione di disporre di una solida strategia di cybersecurity.
Spesso e volentieri si parla del settore privato come bersaglio principale degli hacker, rischiando di trascurare che anche nel settore pubblico questo tipo di incidenti si verifica sempre più frequentemente.
Nel 2018, secondo dati della Presidenza del Consiglio dei Ministri, la Pubblica amministrazione italiana centrale e locale è stata oggetto di attacchi a danno dei sistemi informatici nel 72% dei casi. Nel dettaglio, risulta rilevante l’aumento di attacchi contro reti ministeriali (24% delle azioni ostili) ed enti locali (39%).
Anche i dati del CERT-PA relativi al settore della Pubblica Amministrazione, contenuti all’interno del Rapporto Clusit 2019, vanno nella stessa direzione: nel corso del 2018 le segnalazioni gestite dal CERT-PA sono state 1.297, contro le 520 del 2017, con un incremento del 150% circa.
Di conseguenza le organizzazioni pubbliche, che già devono far fronte a bilanci sempre più ridotti, si trovano a rischiare pesanti sanzioni in caso di mancata protezione dei loro sistemi e dei loro dati.
In base al GDPR, il mancato rispetto delle norme può costare alle imprese fino al 4% del loro fatturato annuo globale – o fino a 20 milioni di euro. Una sanzione del genere inflitta a un’organizzazione pubblica potrebbe essere devastante per la fornitura di servizi correlati.
Non essere in grado di rispettare il GDPR può significare più di una semplice multa, ovviamente. Può indicare che dati sensibili dei cittadini – come le cartelle cliniche – oppure sistemi critici siano vulnerabili rispetto a sfruttamento o controllo. Questo non solo minaccia la credibilità e la sostenibilità finanziaria delle organizzazioni del settore pubblico, ma nel peggiore dei casi può anche mettere a rischio la salute e il benessere dei cittadini.
Oltre a ciò, i professionisti della cybersecurity che operano nel settore pubblico dipingono un quadro particolarmente cupo della loro attuale strategia di sicurezza informatica.
Secondo un recente studio di CyberArk, dice Claudio Squinzi, Country Sales Manager di CyberArk Italia, quasi la metà dei professionisti crede che gli aggressori possano entrare nella rete della loro organizzazione ogni volta che ci provano, mentre due terzi ammettono che la loro organizzazione sia a rischio rispetto a un attacco ben studiato e realizzato.
A ciò si aggiunge il fatto che la maggior parte di loro continua a mostrare abitudini preoccupanti in materia di sicurezza e conformità: secondo il nostro studio, a livello globale, più di un terzo (36%) sarebbe più propenso a pagare multe per una mancata compliance piuttosto che cambiare la propria strategia di cybersecurity a seguito di un attacco riuscito.
Si tratta di statistiche allarmanti se si considera la quantità di dati sensibili in possesso delle organizzazioni pubbliche. Dopo aver scontato un indiscutibile ritardo iniziale, la digitalizzazione nel settore pubblico continua ad aumentare costantemente, tanto che le identità digitali di cittadini che usufruiscono dei servizi digitalizzati sono passate dai circa 3 milioni del 2018 agli attuali 4 milioni, e le transazioni elettroniche sono ugualmente in crescita avendo superato quest’anno i 24 milioni.
Riorganizzare lo scenario attuale di sicurezza
Attualmente, fa notare Squinzi, la cybersecurity nel settore pubblico è rappresentata principalmente da sicurezza perimetrale basata su firewall. Inoltre, le organizzazioni pubbliche continuano a fare affidamento sulle VPN come soluzione standard per garantire un accesso sicuro alle informazioni sensibili.
Le stesse organizzazioni tendono a sovrapporre nuove applicazioni aziendali con le loro relative misure di sicurezza ai sistemi legacy esistenti, cosa che porta alla creazione di un complesso mosaico di sistemi e practice di sicurezza e, di conseguenza, di lacune che possono essere compromesse dagli aggressori.
Anche se un costante aggiornamento dei record, l’esecuzione di audit e l’implementazione regolare di controlli di base possono attenuare questa situazione, le organizzazioni pubbliche hanno bisogno di un approccio maggiormente olistico per gestire la loro cybersecurity e ridurre il rischio di attacchi.
Per fortuna, lo scenario non è così cupo come potrebbe sembrare, e anche il settore pubblico sta iniziando ad adottare misure positive per colmare le lacune di cybersecurity.
Molti hanno iniziato a valutare le vulnerabilità dei loro sistemi, come primo passo verso l’adeguamento delle loro policy di difesa informatica. Il nostro studio ha rilevato che quasi la metà delle organizzazioni del settore pubblico (41%) ritiene che la maggiore minaccia provenga dall’interno dell’azienda.
Spesso però non si tratta di attività effettivamente condotte dai dipendenti ma rappresentano il riflesso di una inefficiente strategia di gestione delle credenziali, utilizzata come veicolo di attacco da parte degli hacker.
Altri comuni problematiche sono rappresentate da errori umani quali la corruzione o modifica involontaria di dati critici o la copia di dati su dispositivi non protetti. Indipendentemente dalla loro causa, una volta che questi problemi vengono identificati, le organizzazioni pubbliche devono agire rapidamente per ridurne l’incidenza e proteggere meglio sistemi e dati.
L’Agenzia per l’Italia Digitale (AGID), ricorda Squinzi, ha indicato una serie di misure che le organizzazioni pubbliche devono prendere per offrire requisiti almeno minimi di sicurezza. Si tratta di misure che consistono in controlli di natura tecnologica, organizzativa e procedurale e utili alle Amministrazioni per valutare il proprio livello di sicurezza informatica.
A seconda della complessità del sistema informativo a cui si riferiscono e della realtà organizzativa dell’Amministrazione, le misure minime possono essere implementate in modo graduale seguendo tre livelli di attuazione.
Per proteggere le informazioni più sensibili dalle minacce interne ed esterne, le organizzazioni pubbliche devono considerare attentamente il modo in cui monitorano e controllano gli account privilegiati (quelli con accesso a reti, sistemi e applicazioni critiche).
Per Squinzi è inoltre imperativo che eseguano un regolare backup di tutti i dati e i file mission critical che possono essere presi di mira dagli attaccanti. L’applicazione costante di patch a endpoint e server può ridurre drasticamente la superficie di attacco a disposizione degli hacker.
Anche la formazione dei dipendenti è essenziale per difendere meglio le organizzazioni pubbliche dagli aggressori potenziali.
Questo perché gli hacker spesso avviano i loro attacchi malware attraverso campagne di phishing mirate basate su tecniche di social engineering. Secondo una ricerca del Ponemon Institute, nel 2019 il 57% delle violazioni cyber è stato causato dal phishing.
Per Squinzi quindi essenziale che le imprese pubbliche informino i propri collaboratori sui diversi tipi di attacchi di phishing che possono verificarsi e su come evitare di esserne vittime. Già eliminare i diritti di amministratore locale crea una buona base per un’efficace sicurezza degli endpoint.
Implementando una combinazione tra controllo applicativo e riduzione al minimo dei privilegi di accesso a endpoint e server nell’ambito di un più esteso approccio zero trust, le aziende del settore pubblico possono ridurre il rischio di diffusione del malware da un punto di infezione iniziale e di un’escalation dei privilegi in caso di attacchi di phishing di successo.
Con l’aumento esponenziale della frequenza e della complessità degli attacchi informatici, una solida strategia di cybersecurity non solo aiuta ad evitare perdite economiche e di reputazione, ma riduce anche il rischio che dati sensibili finiscano nelle mani sbagliate.
Le policy di sicurezza devono diventare proattive, e non più reattive, tenendo presente la necessità di integrare via via nuove tecnologie e di superare le crescenti vulnerabilità delle reti, per contribuire a fornire servizi del più alto livello possibile.
