Siamo quattro volte più fragili della media mondiale quando subiamo un attacco cyber e l’utilizzo di infrastrutture sempre più ibride, complesse e, grazie al cloud dal perimetro indefinito, rendono difficile una protezione adeguata alla crescente sofisticazione degli attacchi cyber, che in Italia lo scorso anno sono cresciuti di ben il 65%. Elementi più che sufficienti per Fortinet per invitare clienti e partner a un momento di riflessione e confronto comune quale è stato il recente Security Day 2024 che si è tenuto a Milano, al margine del quale le impressioni e le considerazioni di quanto emerso durante il summit, al netto delle soluzioni proposte dal vendor, sono state condivise con la stampa e alcuni esperti di cybersecurity, sia del mondo della ricerca sia di quello accademico.
“Il Security Day vuole essere un momento di riflessione su quanto è successo nell’anno precedente, fino a oggi, non solamente un momento di celebrazione – ha esordito Massimo Palermo, VP e country manager Italia e Malta di Fortinet -. Ogni anno sembra essere l’anno nero per gli attacchi e la difesa cyber, ma poi l’anno successivo si scopre di essere messi sempre un po’ peggio, soprattutto rispetto alla media europea. Una situazione che è aggravata dalla mancanza di visibilità sulla superficie di attacco, sempre più vasta e complessa, e dalla frammentazione tecnologica causata dal proliferare di piattaforme e applicazioni. Con il continuo aumento delle vulnerabilità e della sofisticazione degli attacchi, sempre più distruttivi, le aziende devono investire in tecnologie avanzate e formare personale qualificato per proteggersi in maniera adeguata”.
Fortinet avverte: attacchi complessi, aumento degli zero-day e corruzione dei dipendenti
Dichiarazioni che si basano sulle analisi che Fortinet ha fatto degli ultimi sei mesi del 2023, le quali confermano l’aumento dell’impegno, tecnologico e anche economico, che il cybercrime sta profondendo nel progettare attacchi sempre più complessi e articolati, foraggiati da stati e gruppi criminali organizzati che operano a livello globale. Con il risultato che sono aumentati gli attacchi alle infrastrutture critiche, bersaglio di attacchi mirati, mettendo in luce la necessità di innalzare il livello delle difese.
“Guardando al 2024 possiamo evidenziare alcune macrotendenze – riprende Palermo -. Innanzitutto l’aumento della complessità degli attacchi, che utilizzano tecniche, tattiche e procedure avanzate che richiederanno una maggiore cooperazione internazionale per condividere informazioni e costruire un quadro completo delle operazioni e delle tattiche degli aggressori. In secondo luogo, le vulnerabilità zero-day saranno al centro dell’attenzione, In base a questa analisi, nella seconda metà del 2023 i responsabili degli attacchi hanno aumentato la velocità con cui capitalizzano le falle appena rese pubbliche (43% in più rispetto al primo semestre 2023). La velocità con cui queste vulnerabilità vengono sfruttate è ormai impressionante, con una media di 4,76 giorni dal momento della scoperta al loro effettivo sfruttamento. Inoltre, maggiore attenzione deve essere data anche alle minacce interne alle aziende, che sono in continuo aumento. La crescente difficoltà di penetrare le difese esterne, messe in atto dalle aziende grazie alle nuove tecnologie di difesa, sta infatti spingendo i criminali informatici a corrompere o sfruttare personale interno per poter accedere a quanto desiderato”.
Fortinet propone piattaforme, soluzioni, integrazione e formazione per una lotta efficace al cybercrime
Di fronte a questo scenario, Fortinet ribadisce il proprio impegno a supportare le aziende attraverso investimenti in innovazione e formazione. A partire dallo sviluppo di piattaforme integrate e automatizzate per un più efficace monitoraggio della superficie d’attacco.
“Un lavoro iniziato già dal 2016 – puntualizza Palermo – e da allora la piattaforma di sicurezza di Fortinet è stata costantemente migliorata per offrire un approccio integrato e coordinato nella gestione delle minacce”.
Ma gli investimenti del vendor vertono in maniera significativa anche nella formazione attraverso il programma Security Academy, con l’obiettivo di formare sul tema della sicurezza IT almeno un milione di persone entro il 2026, un progetto per il quale sono state attivate collaborazioni con università e istituzioni educative in tutta Italia, a partire dall’Università di Bari e l’Università Campus Biomedico di Roma, che mirano a preparare nuove generazioni di professionisti della sicurezza informatica.
Infine, sul tema della condivisione di informazioni, Fortinet informa di collaborare attivamente con istituzioni governative e organizzazioni internazionali, come la Nato e il World Economic Forum, per condividere dati e strategie di difesa, mentre in Italia lavora con la Polizia Postale e il Cni per contribuire a mappare le infrastrutture critiche e le tecniche operative dei cyber criminali.
La conoscenza del rischio alla base delle normative UE
“Le minacce informatiche stanno crescendo, e nessuna azienda può ritenersi al riparo, prima o poi succede a tutti – è il commento di Annita Sciacovelli, docente di Diritto Internazionale presso l’Università di Bari Aldo Moro e membro dell’Agenzia dell’Unione Europea per la Cybersecurity (ENISA), intervenuta all’evento Fortinet -. Ed è proprio su questa certezza che l’Unione europea sta implementando normative che spostano l’attenzione dalla reazione agli incidenti alla prevenzione e gestione del rischio cibernetico, obbligando aziende e enti pubblici a adottare modelli di gestione del rischio, con la nuova normativa che richiede una valutazione continua e dettagliata del rischio, elevando di fatto l’importanza del ruolo del cyber risk manager, soprattutto nelle infrastrutture critiche, per gestire e mitigare questi rischi”.
Situazione allarmante. Urge mettere le Pmi in contatto con chi ne sa di cybersecurity
E a sottolineare l’urgenza di porre rimedio all’atavica lentezza negli investimenti in cybersecurity, o alla scarsa importanza che le aziende vi pongono, ci ha pensato Gabriele Faggioli, presidente del Clusit, che, prendendo la parola all’evento Fortinet, con una manciata di dati che riuscirebbe a fare sobbalzare sulla sedia chi è interessato alla tutela del proprio business, svela la vera situazione che, se è preoccupante a livello mondiale, diventa allarmante guardando all’Italia: “I dati più recenti del Clusit evidenziano un aumento significativo degli incidenti informatici a livello mondiale, con un incremento delle attività di hacktivismo. In Italia, la situazione è particolarmente critica: nel 2022, gli incidenti informatici sono aumentati del 170% rispetto al 2021, e del 65% nel 2023 rispetto al 2022. Dati che indicano una crescita continua e preoccupante delle minacce alla quale il sistema imprenditoriale italiano, composto in gran parte da piccole e medie imprese, non è in grado di rispondere e gestire autonomamente. La frammentazione e la mancanza di competenze digitali avanzate rendono difficile per le PMI adottare misure di sicurezza efficaci e le attuali normative, basate sull’idea che ogni azienda possa autonomamente difendersi dagli attacchi informatici, sono irrealistiche per le piccole imprese”.
Normative che invece dovrebbero incentivare la collaborazione tra imprese e fornitori di servizi di sicurezza, creando economie di scala e migliorando la protezione complessiva.
Investimenti al rallentatore
Nonostante un aumento degli investimenti, l’Italia spende ancora troppo poco in cybersecurity.
“Nel 2023, il paese ha speso circa 2,2 miliardi di euro, un aumento del 16% rispetto all’anno precedente – informa Faggioli -. Una cifra che però rappresenta solo lo 0,12% del PIL, contro lo 0,2% di Francia e Germania e lo 0,3% degli Stati Uniti”.
Una lentezza nell’acculturamento o della presa di coscienza delle imprese riguardo alla necessità di aumentare gli investimenti in cybersecurity che fa il gioco al cybercrime, il quale sta per contro aumentando investimenti e risorse per fare fronte a chi lo combatte, ma certamente trova vita facile presso chi lascia spiragli aperti. Probabilmente ancora convinti che la sicurezza sia un costo e non un’assicurazione sul proprio business.
