Secondo studi recenti un numero costante di aziende hanno dichiarato di avere subito un attacco informatico (37,6%) con una crescita esponenziale della frequenza del numero di attacchi per singola azienda, organizzazione. Questo fenomeno interessa aziende la cui dimensione e notorietà, a livello internazionale, le rendono obiettivo appetibile per il cybercrime, che le attaccarà ripetutamente, con tecniche sempre più sofisticate.
Sono alcuni dei dati contenuti nella sesta edizione dello studio dell'Osservatorio sugli Attacchi Digitali (Oad) realizzato da Aipsi, capitolo italiano di Issa, e presentato da F5 Networks.
Il report analizza gli attacchi rilevati nel 2015 ai sistemi informatici di organizzazioni di ogni dimensione e settore merceologico, incluse le pubbliche amministrazioni centrali e locali, e rileva come le aziende oggi reagiscano e quali siano gli strumenti di prevenzione, protezione e ripristino in uso per contrastare e limitare gli effetti.
Se le vulnerabilità note sono normalmente risolte dai produttori-fornitori, emettendo patch e aggiornamenti dei software; questi non vengono installati sempre tempestivamente dalle aziende, e solo il 44,5% degli intervistati ha dichiarato di aggiornare il software in uso.
Alcune vulnerabilità, non note o rimediate, possono trasformarsi in un'arma pericolosa per il cybercrime. La vulnerabilità maggiormente critica e diffusa, secondo gli intervistati, è ancora legata al comportamento delle persone: la buona fede, la disattenzione o ingenuità, la non conoscenza di come usare in maniera sicura gli strumenti ICT e la scarsa sensibilità alla sicurezza informatica permangono la causa principale della maggior parte degli attacchi riusciti, soprattutto in un contesto dove le vulnerabilità personali legate ai social network, alla posta elettronica, e ai dispositivi mobile, amplificano notevolmente il fenomeno.
L’Italia sta affrontando la problematica con la necessaria attenzione soltanto da qualche anno. Il sistema e le architetture informatiche delle aziende, della Pubblica Amministrazione e soprattutto delle strutture critiche devono essere in grado di potersi difendere con applicativi di sicurezza di altissimo livello. Purtroppo l’efficacia degli applicativi è direttamente proporzionale agli investimenti, che la quasi totalità delle aziende non prevedono nei propri bilanci. Viene trascurato quanto denaro potrebbe essere perso, in seguito ad un attacco malevolo. Solo lo Stato può e deve porre rimedio per salvaguardare la sicurezza del sistema produttivo del Paese.
Finalmente qualcosa si è mosso in tal senso, Computer Emergency Response Team (Cert) della Pubblica Amministrazione e Agenzia per l'Italia Digitale della presidenza del consiglio dei ministri hanno annunciato una web application il cui obiettivo è quello di fornire uno strumento per una corretta valutazione delle minacce cibernetiche (cyberthreat) portate verso le infrastrutture informatiche.
È online “Infosec”, una web application per la cyber security focalizzata sulla gestione delle vulnerabilità applicative e i rischi connessi. Partendo da una singola vulnerabilità è possibile risalire al tipo di debolezza (CWE) dell'entità oggetto della falla di sicurezza e da questa prendere in considerazione le varie tecniche di attacco (Common Attack Pattern Enumeration and Classification, Capec) associate alla debolezza stessa.
Il proposito che si pone l'applicativo è quello di essere strumento a supporto della gestione della sicurezza in fase di assessment conseguente al rilascio di nuove vulnerabilità.
Ma è anche possibile sviluppare una logica inversa che, dalla tecnica di attacco subita, permetta di arrivare ai CVE (e quindi le vulnerabilità) utilizzate, incrociando i dati di CPE inclusi nelle entità CVE con l'asset manager dell'organizzazione.
In pratica il sito, che ha lo scopo di fornire uno strumento per una corretta valutazione delle minacce cibernetiche portate verso le infrastrutture informatiche, è un aggregatore di dati e informazioni relativi a tecniche d'attacco, vulnerabilità hardware e software, pubblicate originariamente dal MITRE e rilasciate con specifiche di dettaglio da parte del "National Vulnerability Database" (NVD).
Posso dire che si sta correndo ai ripari, meglio tardi che mai!!! È un punto di inizio importante nella lotta al cybercrime.
(foto: U.S. Air Force)
