Gestire la compliance ai requisiti imposti da queste normative comporta il superamento di diverse sfide:
- coinvolgere tutte le unità organizzative e il management nella definizione di nuovi processi
- analizzare l’impatto dei requisiti normativi sui sistemi ICT
- individuare e implementare le contromisure in grado di rispondere in modo efficace ai requisiti tecnici
- verificare in modo costante l’efficacia dei processi di compliance e la corretta implementazione delle contromisure
- attivare processi di escalation per rispondere a eventuali non conformità ad elevato rischio.
Più in generale, se sostituiamo il concetto di normativa con una policy definita dall’azienda stessa e derivante dall’analisi dei rischi di diversa natura ai quali l’organizzazione è soggetta, le considerazioni relative alle sfide di compliance rispetto alla policy sarebbero ovviamente del tutto simili a quelle descritte.
La sicurezza informatica è quindi divenuta uno dei temi all’attenzione dei dirigenti e del top management delle imprese private e pubbliche e richiede competenze e conoscenze in diversi settori: dai processi di business alle vulnerabilità di nuove tecnologie, dall’organizzazione del personale alle procedure operative per la gestione di un sistema informativo.
Frodi, Cybercrime e Infrastrutture Critiche
Il fenomeno della comunicazione e dello scambio di informazioni e fruizione di nuovi servizi online basato su Internet ha mutato in modo eccezionale non solo le nostre abitudini ma anche gli scenari di rischio connessi alla sicurezza di persone, organizzazioni, aziende, come anche quelli di interi paesi.
Lo sviluppo di Internet ha anche contribuito a cambiare lo scenario internazionale dei crimini. I reati commessi sfruttando l’uso di strumenti informatici è infatti completamente evoluto negli ultimi dieci anni: dalle attività di spionaggio dei primi anni novanta e dalle azioni dimostrative di poche persone con competenze tecniche molto verticali si è giunti a un vero e proprio mercato underground (black market), nel quale operano molte persone e organizzazioni criminali.
Le attività riconducibili al black market sono in continua crescita e costituiscono una minaccia reale per i cittadini, per le imprese, per le banche e gli Istituti Finanziari. E’ all’attenzione di tutti i professionisti del settore l’aumento di attacchi basati sull’uso di semplici toolkit che possono essere semplicemente acquistati in rete da chiunque, a prezzi estremamente contenuti (come ad esempio Zeus). Questi toolkit semplificano la creazione di malware, come i Trojan, e riescono a eludere gli apparati di autenticazione e autorizzazione di sistemi di home banking anche molto sofisticati. Ma possono anche diffondere malware (come ad esempio Stuxnet) nei sistemi di controllo industriale basati su PLC, in grado di “spiare” un impianto industriale o alterarne il comportamento: nuove forme di attacco ai sistemi industriali che sono, di fatto, una concreta minaccia per la sicurezza di interi paesi.
Una ulteriore, incombente minaccia per aziende pubbliche e private è quella relativa alle frodi. Si è registrato, infatti, un costante aumento del numero di incidenti, dal furto di informazioni, fino all’utilizzo di dati raccolti illecitamente sulla rete per commettere reati e “monetizzarli”. In crescita anche le perdite, in termini economici e di immagine, a danno di istituzioni pubbliche e soggetti economici privati.
Di recente anche il Comitato Parlamentare per la Sicurezza della Repubblica (COPASIR) nel “Rapporto sulle possibili implicazioni e minacce per la sicurezza nazionale derivanti dall’utilizzo dello spazio cibernetico”, ha analizzato nel dettaglio questi temi e ha dichiarato che la difesa dello spazio cibernetico deve essere al centro delle strategie di protezione di tutti i paesi per la difesa di un bene comune, come previsto per la protezione di altri “spazi”, ad esempio l’atmosfera o le acque internazionali.
Ė chiaro che lo spazio cibernetico può diventare l’anello debole della catena di protezione sviluppata negli anni, sia dagli organi di sicurezza e difesa dei paesi sia dalle aziende private a tutela dei propri interessi economici. Ed è anche chiaro che tutti hanno l’urgenza di sviluppare strategie di protezione nel Cyberspace, vista l’assoluta rilevanza che questo spazio ha assunto nel nostro mondo.
Evoluzione delle soluzioni e dei servizi ICT e nuove minacce
Un’altra importante esigenza delle aziende e delle amministrazioni pubbliche è riconducibile all’adeguamento delle strategie di sicurezza rispetto alla continua trasformazione del mercato Information & Communication Technology.
Il fenomeno dei social network, la rapida diffusione di smartphone, l’avvento delle tecnologie di cloud computing sono un evidente esempio della rapidità con la quale il mondo ICT evolve.
Ad ognuno di questi scenari è semplice associare una serie di minacce e relative esigenze di sicurezza:
- il proliferare dei social network ha contribuito in modo notevole alla diffusione di informazioni personali molto utili al furto d’identità
- l’uso sempre più vasto di smartphone sta determinando la focalizzazione del mondo del cybercrime sullo sviluppo di tool e strumenti simili ai Trojan e ai Malware in grado di eludere i sistemi di sicurezza di questi nuovi device
- il cloud computing, che semplifica in modo significativo la gestione dei sistemi informativi delle aziende, solleva una serie di importanti questioni sulle garanzie di riservatezza dei dati, sulla compliance alle normative vigenti in uno specifico paese, sulla capacità dei provider di garantire, in che modo e con quali livelli di servizio, la continuità operativa dei processi specifici di un particolare settore d’industria.
Le sfide della Sicurezza Informatica sono quindi fortemente connesse all’evoluzione delle tecnologie del mercato ICT, come anche ai cambiamenti dei paradigmi d’offerta di questo stesso mercato: la sfida è riuscire ad adeguare efficacemente e velocemente competenze e organizzazione a questa continua mutazione.