La sicurezza delle reti informatiche è una disciplina che si è evoluta nel corso degli anni per tenere il passo delle diverse tipologie di minacce veicolate mediante nuove tecnologie. In una eterna rincorsa fra “guardie e ladri”, chi difende sembra sempre stare un passo indietro. Chi difende non deve sbagliare e deve lavorare in funzione di normative e certificazioni, impiegando più tempo per standardizzare la tecnologia di protezione. Chi attacca procede per tentativi, fuori dalle regole, senza bollini e senza rispondere a leggi e regolamenti. Garantire nel tempo la sicurezza delle reti informatiche richiede, quindi, una continua adattabilità al panorama della minaccia.
La dottrina della sicurezza delle reti informatiche
Risale agli anni ’70 la tecnologia “a pacchetto” e l’introduzione del protocollo TCP/IP, usata insieme alle tecnologie di routing, che di fatto rendono la rete Internet quel sistema globale di interconnessione che tutti conosciamo. Le reti moderne e la stessa internet sono basate sullo standard promosso dall'International Organization for Standardization (ISO) che definisce la struttura logica della rete. Quando si parla di minacce che possono interessare le reti di questo tipo, ci si riferisce a “quegli eventi che possono avere come conseguenza la perdita dei requisiti generici, tra loro interdipendenti, di sicurezza delle informazioni in termini di confidenzialità, disponibilità e integrità” (Fonte ISCOM). Le minacce alla sicurezza non sono solo quelle di carattere doloso. Anche gli eventi causati da errori umani, quindi di tipo colposo, possono rivelarsi altrettanto dannosi. La sicurezza di una rete o di un sistema d'informazione perciò viene definita “come la capacità di resistere ad eventi imprevisti o atti dolosi che compromettono la disponibilità, l'integrità o la riservatezza dei dati conservati o trasmessi, nonché dei servizi forniti e accessibili tramite la suddetta rete o sistema” (Fonte ISCOM).
Minacce incombenti sulle reti informatiche
Le minacce alla sicurezza delle reti possono ricadere in cinque maggiori raggruppamenti: intercettazione delle comunicazioni, accessi non autorizzati, disturbo e caduta della rete, acquisizione di identità altrui, incidenti di carattere ambientale. Nel primo caso le comunicazioni possono essere intercettate, con vari mezzi e stratagemmi, per acquisizione illecita o modifica dei dati. Gli accessi non autorizzati sono effettuati da soggetti che violano il sistema di identificazione, autenticazione e autorizzazione (attacchi brute force). Nel caso di una caduta di rete e dipendentemente dal tipo di rete bersaglio, gli attaccanti mirano a interrompere il servizio (DoS) e possono procedere anche medianti attacchi coordinati e distribuiti (DDoS). Nei furti di identità gli attaccanti preferiscono rubare le credenziali di un utente lecito all’accesso a una rete, per poi usarlo a fini malevoli. Infine, i disastri naturali come terremoti e agenti atmosferici possono causare interruzioni delle disponibilità di una rete causando la rottura o lo spegnimento di hardware e software. La sicurezza delle reti e delle informazioni è un problema evolutivo. La rapidità dei cambiamenti tecnologici pone continuamente nuove sfide a cui rispondere con un approccio proattivo e possibilmente preventivo.
La normativa della sicurezza nelle reti informatiche
Per stimolare le aziende a occuparsi della sicurezza delle reti informatiche in modo sistematico e non su base facoltative o di opportunità, l’Unione Europea ha avviato un processo di normazione e regolamentazione culminato nel 2016 con l’emissione della Direttiva NIS (Network and Information Security) che impone agli Stati membri dell’Unione l’adozione di una serie di misure comuni per la sicurezza delle reti e dei sistemi informativi. In Italia le aziende sono tenute a rispettarla perché è stata recepita dal Decreto Legislativo 18 maggio 2018 (pubblicato sulla Gazzetta Ufficiale del 9 giugno 2018) ed è in vigore dal 24 giugno 2018. Basata sui 4 pilastri di gestione, protezione, individuazione (dei rischi) e riduzione (dei rischi). Alla NIS ha fatto seguito il Cybersecurity Act (pubblicato in Gazzetta Ufficiale il 7 giugno 2019) e le disposizioni urgenti del
D.L. 105/2019: perimetro di sicurezza cibernetica. Entrambi completano la roadmap avviata sulla Sicurezza delle reti informatiche nel nostro Paese.
Implementare misure di sicurezza nelle reti informatiche
In uno scenario digitale fortemente interconnesso, la sicurezza delle reti informatiche è un requisito necessario e abilitante al pari delle tecnologie fondanti su cui sono costruite le reti stesse.
L’approccio migliore per arrivare a una difesa efficace tenendo conto della normativa vigente passa per un approccio unico, secondo il modello olistico, sviluppando un approccio collaborativo e preventivo al contrasto delle minacce, includendo processi che possano favorire integrazione e cooperazione a ogni livello, digitale, logico, fisico.
Rispetto alle cinque categorie di minacce sopracitate, la difesa dovrebbe essere implementata a livelli, garantendo la segregazione e l’isolamento delle singole reti suddivise per tipo e criticità, e mantenendo aggiornati tutti gli strumenti e mezzi di protezione e di accesso (Identity Access Management).
La visione strategica sulla sicurezza delle reti informatiche potrebbe richiedere un’analisi mediante Threat Model per individuare le minacce più incombenti e preparare una difesa adeguata. È ulteriormente auspicabile l’adozione di strumenti proattivi capaci di analisi predittive sulle minacce e di segnalazione di Early warning.
Per garantire la disponibilità della rete, la misura di sicurezza riguarda l’implementazione delle misure di continuità aziendale di cui fanno parte le soluzioni di Disaster Recovery.
Quando in una c’è la volontà di avere un controllo continuo, certo e 24h, si può optare per un servizio gestito, che garantisca la sicurezza delle reti informatiche aziendali (sia come monitoraggio per Early warning, sia come interventi di gestione e remediation) e permetta di ingaggiare un team esterno in grado di gestire le situazioni di emergenza.
