Le organizzazioni oramai eseguono un risk assessment (RA) almeno una volta l’anno. Rispetto al passato, ci risulta che sono tante quelle che hanno rivisto il metodo adottato affrontando le minacce in modo olistico.
Solo in pochi casi abbiamo potuto capire che il RA tiene in conto che gli attacchi possono essere mirati alla organizzazione in oggetto e persistenti, fino cioè a poter accedere ai sistemi.
Non sappiamo quante prendono in esame anche il caso di attacchi provenienti da nemici dell’Europa e della NATO.
Sicuramente lo fanno le infrastrutture critiche, dichiarate formalmente tali dalla Agenzia Nazionale Cibernetica, ma le altre aziende che, ad esempio, sono fornitrici di mezzi, strumenti, persone alle organizzazioni che operano nei Paesi coinvolti nella guerra, hanno perfezionato il RA? Eseguono simulazioni a tavolino di possibili attacchi e testano i sistemi di sicurezza preventivi, all’occorrenza e post incident?
Il CSIRT Italia ricorda di tenere conto di quanto testé da noi scritto:
L’evoluzione della situazione internazionale e del quadro geopolitico che ne consegue ha fatto emergere nuovi elementi che hanno ridefinito lo scenario di rischio tecnologico. Ciò ha reso, in particolare, opportuno considerare le implicazioni di sicurezza derivanti dall’utilizzo di tecnologie informatiche fornite da aziende legate alla Federazione Russa.
A tal riguardo, ad oggi, non vi sono evidenze oggettive dell’abbassamento della qualità dei prodotti e dei servizi tecnologici forniti. Ciononostante, in tale crescente livello di conflitto internazionale, non si può prescindere da una rivalutazione del rischio che tenga conto del mutato scenario e che consideri la conseguente adozione di misure di mitigazione.
Tra tali tecnologie particolare rilevanza assumono quelle di sicurezza informatica per l’elevato livello di invasività rispetto ai sistemi su cui operano. Stante la necessità di disporre di tali soluzioni tecnologiche nelle infrastrutture digitali in uso, non si esclude che gli effetti del conflitto ne possano pregiudicare l’affidabilità e l’efficacia, in quanto potrebbero ad esempio influire sulla capacità delle aziende fornitrici legate alla Federazione Russa di assicurare un adeguato supporto ai propri prodotti e servizi.
Alla luce di quanto sopra, l’Agenzia per la Cybersicurezza Nazionale, sentito il Nucleo per la cybersicurezza, raccomanda di procedere urgentemente ad un’analisi del rischio derivante dalle soluzioni di sicurezza informatica utilizzate e di considerare l’attuazione di opportune strategie di diversificazione per quanto riguarda, in particolare, le seguenti categorie di prodotti e servizi:
- sicurezza dei dispositivi (endpoint security), ivi compresi applicativi antivirus, antimalware ed “endpoint detection and response” (EDR);
- “web application firewall” (WAF);
- protezione della posta elettronica;
- protezione dei servizi cloud;
- servizi di sicurezza gestiti (managed security service).
È fondamentale, in ogni caso, per non indebolire la protezione delle organizzazioni, che durante tale processo di diversificazione non sia mai interrotta la continuità dei servizi di sicurezza.
