Sicurezza: uno scenario tra rischi, tecnologia e formazione

“Ogni anno le cose peggiorano e sono sempre di più gli attaccanti che vanno a segno. Di fatto le aziende mancano di visibilità rispetto a una superficie di attacco più vasta e multiforme. A questo si accompagna una frammentazione tecnologica e di conseguenza la necessità di tenere sotto controllo attacchi sempre più distruttivi e sofisticati.” Così Massimo Palermo, vp & country manager, Italia e Malta di Fortinet, ha esordito durante un incontro con la stampa organizzato in occasione dell’evento Security Day 2024 che il vendor tiene ogni anno per partner e clienti.

Partendo dal Global Landscape Report rilasciato periodicamente da Fortinet, Palermo ha quindi illustrato anche alcune tendenze a partire dall’innalzamento del livello medio delle barriere, una maggiore sofisticazione del cybercrime (è la terza economia mondiale), con azioni che mirano a infrastrutture critiche su diversa scala. E ancora, una crescita continua dell’uso delle vulnerabilità ‘zero ed n day’. “Nell’ultimo semestre del 2023 si è tra l’altro registrato un aumento del 43% nella velocità di sfruttamento delle nuove vulnerabilità. Senza dimenticare il fenomeno del phishing utilizzato dai gruppi criminali per superare barriere su cui le aziende investono sempre di più.”

Ecco che Fortinet risponde con una piattaforma che comprende soluzioni integrate e automatizzate fin dal 2016 e lavorando nel contempo sulla formazione attraverso la Fortinet Security Academy che ha l’obiettivo di preparare un milione di persone entro il 2026. E infine la collaborazione con le istituzioni e le forze dell’ordine mettendo a disposizione un know composto da dati raccolti ad esempio attraverso oltre 10 milioni di firewall installati nel mondo, per mappare le infrastrutture criminali e le tecniche e modalità operative utilizzate. Il tutto in uno scenario in cui se in Italia nel 2023 la capacità di detection è aumentata allo stesso tempo si è comunque registrato un aumento delle minacce. “Il 38% delle attività si svolge nella parte di pre attacco, dove si cerca di individuare la superficie esposta e quali sono gli attacchi efficaci da utilizzare per andare a segno. Qui si cresce con l’intelligence, analizzando cosa sta ad esempio avvenendo nel Dark Web. E soluzioni di ‘esca’ per far finta di essere attaccati e agire di conseguenza”, ha sottolineato Aldo di Mattia, sr manager Systems Engineering Public Sector di Fortinet Italia.

Valutare e affrontare il rischio

Nel corso dell’incontro Annita Sciacovelli, docente di Diritto internazionale Università di Bari Aldo Moro, AG Agenzia dell’Unione Europea per la cybersecurity-ENISA, ha spiegato che, citando l’ex capo dell’FBI Robert Mueller, esistono due tipi di aziende: quelle che devono essere hackerate e quelle che lo sono già state. “Il problema che oggi ENISA si pone, fornendo, tramite le normative dei modelli di obblighi, è quello del cyber risk, da valutare in termini qualitativi e quantitativi in un processo in cui è coinvolta la figura del cyber risk manager. Si parla di una valutazione del rischio cyber che parte dalla conoscenza degli asset di cui si dispone e quali devono essere protetti. Valutazione che ha tuttavia una sua complessità.”

Roberto Setola, direttore Master Homeland Security Università Campus Bio-Medico di Roma, ha dal canto suyo spiegato come esista un interesse, anche se a macchia di leopardo, per i professioniti della cybersecurity. “In parte si formano con percorsi di ingegneria, meno tramite una formazione trasversale. E se ci sono corsi nelle scuole anch’essi sono verticali. Si tratta comunque di un investimento a lungo termine i cui frutti arriveranno tra qualche anno. Nel frattempo è fondamentale pensare a percorsi di reskilling che consentano alle persone che hanno seguito un percorso formativo non orientato alla cybersecurity di potersi proporre e coprire le esigenze su un tema che sarà sempre più importante. E questo considerato anche quanto previsto ad esempio dalla NIS2, che lo porterà su diverse migliaia di aziende. Tema che evolva dalla prevenzione alla resilienza.”

Unire le forze

Gabriele Faggioli, presidente Clusit, ha invece evidenziato come in Italia ci si trovi a in una situazione critica a livello di sistema. “Da una parte abbiamo un Paese estremamente frammentato tra PMI e tantissime piccole pubbliche amministrazioni, e non è possibile pensare che si possa investire sulla sicurezza come invece fanno realtà con miliardi di fatturato. Inoltre l’Italia è terzultima in Europa per competenze digitali e quartultima per competenze digitali avanzate. E non si può pensare che da qui a qualche anno l’intera popolazione italiana sarà in grado di averne di adeguate. La leva normativa è importantissima ma presuppone che ogni azienda sia una sorta di ecosistema autonomo, con un ‘esercito’ capace di difendersi. Io penso invece che serva fare molta più economia di scala, molti più investimenti da mettere a fattor comune.”