2023: le novità normative in materia di cybersecurity e gestione degli incidenti
2 min read
Anche per questo 2023 il crimine informatico è in cima all’agenda degli Stati nazionali, delle aziende e delle organizzazioni internazionali ovunque, non solo in Italia.
L’approfondimento delle tensioni geopolitiche ha aumentato la prevalenza delle cosiddette minacce persistenti avanzate (APT), che stanno diventando tanto sofisticate quanto pervasive. Sicuramente la nuova tecnologia sta aumentando la portata e l’impatto del crimine informatico: gli attacchi di malware e ransomware (questi ultimi minacciano di pubblicare dati o di bloccarli permanentemente a meno che non venga pagato un riscatto) sono aumentati rispettivamente di oltre il 350% e il 430% nel 2020. Il crimine informatico è infatti un grande business.
I danni subiti da tutte le forme di criminalità informatica, compresi i costi di ripristino e riparazione, ammontavano a 3 trilioni di dollari nel 2015, 6 trilioni di dollari nel 2021 e potrebbero raggiungere i 10,5 trilioni di dollari all’anno entro il 2025. (Fonte: Cybersecurity Ventures).
Ma l’impatto della criminalità informatica si estende molto al di là dei costi economici: degrada la fiducia tra gli utenti di Internet e danneggia la reputazione dei fornitori di servizi pubblici e privati.
Inoltre gli attacchi online aumentano le tensioni tra le nazioni, dal momento che i governi e le infrastrutture critiche sono sempre più i bersagli. Nonostante tutto ciò, esistono ancora poche norme, standard e regole globali chiare per mitigare e prevenire il crimine informatico. Gran parte del problema è che molte delle autorità pubbliche, delle aziende e dei gruppi della società civile presi di mira non hanno l’obbligo di segnalare violazioni dei dati e furti informatici. Oppure molti sono riluttanti a farlo, temendo un danno reputazionale. Il panorama descritto sta però iniziando a cambiare: al Perimetro di Sicurezza Nazionale Cibernetica è stato esteso l’ambito delle notifiche obbligatorie in caso di incidenti informatici.
L’Agenzia ACN, pertanto da poche settimane, ha elaborato la prevista tassonomia di tale ulteriore tipologia di incidenti informatici per renderne più agevole la notifica e il processo di valutazione degli impatti. Il processo di notifica, da compiersi entro 72 ore, riguarda tutti gli altri beni “informatici” dei soggetti compresi nel Perimetro. Diventa quindi obbligatorio notificare anche gli incidenti che impattano su reti, sistemi e servizi informativi che non sono direttamente conferiti sotto il Perimetro stesso.
Le categorie di incidenti sono sei: dalla “Raccolta di dati” alla loro esfiltrazione fino al phishing mirato, ma ricomprendono la maggior parte delle tecniche di attacco informatico descritte dal MITRE ATT&CK un riferimento internazionale per le tecniche, tattiche e procedure di attacco informatico.
Pertanto a partire dalle prossime due settimane la notifica di tali incidenti sulla base della Tassonomia indicata favorirà la tempestiva valutazione della situazione e la stima di eventuali impatti sistemici. Questo significa che se, ad esempio, un fornitore nazionale di energia scopre e comunica velocemente un attacco, sarà possibile allertare subito altri fornitori potenzialmente oggetto della stessa aggressione.
L’ampiezza dell’allerta e la velocità di risposta in questi casi possono fare la differenza tra un attacco riuscito e un attacco fallito.
Authors