Siamo tutti ormai fruitori delle nuove tecnologie, applicate con efficacia a tutti gli ambiti produttivi e professionali, ma non sempre ci si sofferma ad analizzare compiutamente ed analiticamente la rivoluzione digitale che sempre pi\u00f9 velocemente sta invadendo le attivit\u00e0 moderne.
\nNel corso degli ultimi venti anni le vite lavorative e personali di tutti noi sono state definitivamente trasformate dall’utilizzo sempre pi\u00f9 massiccio e pervasivo della tecnologia.
\nFino a pochi decenni fa i calcolatori (padri degli odierni computer, tablet o smartphone che tutti ormai utilizzano quotidianamente) avevano necessit\u00e0 di spazi estremamente grandi ed il loro costo elevato li rendeva disponibili esclusivamente all’area militare, prima, ed alle aziende di dimensioni multinazionali, poi, ma il loro utilizzo si limitava ad effettuare calcoli mirati a ricerca o immagazzinamento dati locali.
\nL’avvento della Silicon Valley e del boom economico degli anni ’80 hanno reso fruibile al grande pubblico i calcolatori dati che divennero ben presto Personal Computer; i tempi erano maturi per portare un PC sulla scrivania di ogni famiglia. Difficili da dimenticare sono le parole di un giovane Steve Jobs, riportate dalla rivista specialistica Inc nell’ottobre 1981, che cos\u00ec recitavano: “In the past 15 years, there have been only a few tools that have actually increased the efficiency of the office worker — the IBM Selectric typewriters, the calculator, the Xerox copier, and the newer, advanced phone systems. Like all those inventions, the personal computer offers its power to the individual. By combining typing and calculating functions, replicating of stored documents, and data transmission over telephone lines, Apple’s personal computers offer the promise of a synergistic increase in individual efficiency… I’m going to put an Apple Computer on every desk”.
\nMolta strada, da allora, \u00e8 stata fatta, lo sappiamo bene, e la tecnologia ha portato innegabili benefici, ma anche, inevitabilmente, comportato rischi che devono essere compresi e gestiti.
\nL’era che viviamo \u00e8 caratterizzata dalla condivisione di dati, e costante connessione ad internet; la rete globale odierna \u00e8 alla base della vita lavorativa e ludica di miliardi di persone, ma rappresenta anche una giungla ove opera ogni genere di illegalit\u00e0.
\nLe vite personali e professionali, nonch\u00e9 le attivit\u00e0 economico-commerciali, sono facilmente rintracciabili e disponibili alla grande utenza; senza dubbio questa macro esposizione (necessaria ovviamente per i soggetti commerciali e le attivit\u00e0 di servizi) di dati e profili, genera, insieme all’evidente aspetto positivo della “presenza”, anche notevoli rischi per la manomissione e l’uso illegittimo di tali dati.
\nIl Cyber Crime sembra dunque essere l’ultima, pi\u00f9 diffusa e pi\u00f9 complessa frontiera del crimine, e ci\u00f2 per alcuni ordini di ragioni. In primo luogo la globalizzazione e massiccia diffusione di internet rappresenta una via fondamentale per la nuova economia; la libert\u00e0 della rete, la velocit\u00e0 dei dati e la sostanziale carenza di uniformit\u00e0 legislativa, rappresentano, in positivo, il trend crescente di semplicit\u00e0 cui tutti gli operatori del settore informatico puntano, ma al contempo tutto ci\u00f2 rappresenta il Black Hole del crimine.
\nAssistiamo quotidianamente a tentativi di frodi informatiche, dalle pi\u00f9 artigianali a quelle poste in essere con particolare destrezza e competenza, il cui comune denominatore \u00e8 l’ampia possibilit\u00e0 della copertura delle attivit\u00e0 delittuose dietro un totale anonimato.
\nSempre pi\u00f9 frequenti sono le notizie di intromissioni da parte di hackers nei datacenter di colossi quali i pi\u00f9 grandi istituti bancari internazionali, ovvero societ\u00e0 come Sony (noti sono i recenti furti di dati attraverso la console di giochi Playstation), TK Maxx, Google e perfino la Nasa.
\nAltrettanto recenti sono inoltre le notizie dei furti di milioni di password dalle banche dati di Apple ad Amazon, e per tali fatti si stanno gi\u00e0 profilando classactions oltreoceano del valore di decine di milioni di dollari.
\nL’ argomento \u00e8 ovviamente sul tavolo di tutti i Governi, sia per l’alta incidenza economica che rappresenta il crescente fenomeno del Cyber Crime, sia per i rischi legati alla sicurezza internazionale, anche alla luce di possibili “attacchi” terroristici di natura informatica.
\nAnche l’Unione Europea ha posto la massima attenzione sul rischio informatico, al punto che nel gennaio 2013 ha visto la luce il Centro Europeo per la lotta alla criminalit\u00e0 informatica (EC3), con il preciso scopo di monitorare e creare le basi per la lotta su scala comunitaria al Cyber Crime.
\nLeggiamo nel documento ufficiale della UE ci\u00f2 che rappresenta la rete, sia in campo economico che socio-politico: “Over the last two decades, the Internet and more broadly cyberspace has had a tremendous impact on all parts of society. Our daily life, fundamental rights, social interactions and economies depend on information and communication technology working seamlessly. An open and free cyberspace has promoted political and social inclusion worldwide; it has broken down barriers between countries, communities and citizens, allowing interaction and sharing of information and ideas across the globe; it has provided a forum for freedom of expression and exercise of fundamental rights, and empowered people in their quest for democratic and more just societies – most strikingly during the Arab Spring” [1].
\nLa Commissione Europea sancisce la necessit\u00e0 da parte dei Governi di promuovere ed incentivare un uso libero di internet, ma al contempo di vigilare sul corretto utilizzo di tale potente mezzo: “Our freedom and prosperity increasingly depend on a robust and innovative Internet, which will continue to flourish if private sector innovation and civil society drive its growth. But freedom online requires safety and security too. Cyberspace should be protected from incidents, malicious activities and misuse; and governments have a significant role in ensuring a free and safe cyberspace. Governments have several tasks: to safeguard access and openness, to respect and protect fundamental rights online and to maintain the reliability and interoperability of the Internet”.
\nLa strategia Europea esprime la visione che la UE ha della sicurezza informatica, articolandola in
\ncinque priorit\u00e0:
\n\u2022 conseguire la resilienza informatica;
\n\u2022 ridurre drasticamente la criminalit\u00e0 informatica;
\n\u2022 sviluppare la politica di difesa e le capacit\u00e0 informatiche connesse alla politica di sicurezza e di difesa comune;
\n\u2022 sviluppare le risorse industriali e tecnologiche per la sicurezza informatica;
\n\u2022 istituire una coerente politica internazionale del ciberspazio per l’Unione europea, e sostenere i valori fondamentali della UE.
\nLa politica internazionale della UE per il ciberspazio intende promuovere il rispetto dei valori fondamentali dell’Unione europea, definire regole di comportamento responsabile, favorire l’applicazione delle leggi internazionali in vigore, aiutando inoltre i paesi terzi a costruire sicurezza informatica, e favorire la cooperazione internazionale su questi temi.
\nNel testo Europeo si legge una proposta di Direttiva sulla sicurezza delle reti e dell’informazione (SRI), che costituisce la principale misura prevista dall’Agenda Digitale. Essa pone in capo agli Stati obblighi in materia di prevenzione, trattamento e risposta nei confronti dei rischi e degli incidenti informatici, pone le basi per la creazione di un meccanismo di collaborazione tra i Paesi membri, e stabilisce obblighi di sicurezza per gli operatori del mercato e le Amministrazioni Pubbliche.
\nIn sintesi le misure ipotizzate sono le seguenti:
\n\u2022 analizzare e realizzare una strategia per la sicurezza delle reti e dell’informazione con la quale definire gli obiettivi, le priorit\u00e0 e le misure necessarie al fine di mantenere un adeguato, elevato livello di sicurezza;
\n\u2022 nominare un’autorit\u00e0 responsabile della sicurezza delle reti e dei sistemi informativi, dotata di risorse e poteri adeguati, il cui compito appare quello di sorvegliare sul rispetto della direttiva a livello nazionale e di contribuire alla sua coerente applicazione in tutta la UE;
\n\u2022 istituire, in collaborazione con la Commissione, una rete, al fine di garantire un effettivo coordinamento. Al suo interno, le autorit\u00e0 nazionali competenti dovranno svolgere attivit\u00e0 quali la diffusione di preallarmi in merito a rischi e incidenti, la pubblicazione periodica di informazioni non riservate sui preallarmi in corso, la collaborazione con le altre autorit\u00e0 e con gli altri organismi competenti, al fine di scambiare informazioni e buone pratiche e fornire assistenza reciproca;
\n\u2022 provvedere affinch\u00e9 le amministrazioni pubbliche e gli operatori del mercato adottino misure adeguate per la gestione dei rischi relativi alle reti ed ai sistemi informativi che essi controllano ed utilizzano nello svolgimento delle proprie attivit\u00e0. In particolare, essi saranno tenuti a notificare all’autorit\u00e0 competente ogni incidente che abbia un impatto significativo sulla sicurezza dei servizi prestati. L’autorit\u00e0 potr\u00e0 rendere pubblico l’incidente, qualora lo ritenga necessario [2].
\nNel febbraio 2014, la Commissione Europea ha pubblicato uno studio analitico rispetto al primo anno di attivit\u00e0 del Centro Europeo per la lotta alla criminalit\u00e0 informatica: “Il modus operandi criminale \u00e8 in rapida mutazione e sfrutta gli sviluppi tecnologici e le lacune giuridiche. I criminali continueranno a dimostrarsi creativi e a lanciare attacchi sofisticati per incrementare i loro proventi e noi dobbiamo essere in grado di difenderci. Il bagaglio di conoscenze di cui dispone l’EC3 ci aiuta a combattere questa battaglia e a rafforzare la cooperazione a livello europeo. Grazie a diverse operazioni di ampio respiro nel corso dell’ultimo anno, il Centro europeo per la lotta alla criminalit\u00e0 informatica gode gi\u00e0 di una meritata reputazione fra le agenzie incaricate di assicurare l’applicazione della legge”, ha dichiarato Cecilia Malmstr\u00f6m, Commissaria UE per gli Affari interni.
\nTroels \u00d6rting, Capo del Centro europeo per la lotta alla criminalit\u00e0 informatica, ha aggiunto: “Nei primi 12 mesi di funzionamento dell’EC3 siamo stati molto impegnati ad aiutare le autorit\u00e0 europee preposte all’applicazione della legge per prevenire e indagare sui crimini informatici transfrontalieri. Sono fiero e soddisfatto dei risultati finora ottenuti ma non possiamo adagiarci sugli allori. Mi preoccupano in particolar modo le forme sempre pi\u00f9 complesse assunte dai programmi maligni che incontriamo, oltre alle truffe informatiche sempre pi\u00f9 avanzate dal punto di vista tecnologico, nella fattispecie le estorsioni a sfondo sessuale di cui sono vittime i minori. Abbiamo visto solo la punta dell’iceberg, ma l’EC3, con il sostegno dei nostri validi partner e collaboratori, \u00e8 impegnato a sostenere le operazioni pi\u00f9 avanzate degli Stati membri contro il crimine informatico”.
\nSecondo una recente indagine di organi comunitari, il 12% degli utenti europei di internet ha subito un attacco informatico al proprio conto di posta elettronica o di piattaforma sociale, mentre il 7% \u00e8 stato vittima di frodi bancarie o con carta di credito online.
\nIl dato \u00e8 assolutamente allarmante, ma sebbene non sia di certo sottovalutato, potrebbe in certa misura essere sottostimato, in considerazione del fatto che, accanto alle citate vere e proprie truffe o frodi informatiche, potrebbe nascondersi nella “rete” un rischio ancora maggiore e pi\u00f9 diffuso.
\nLeggendo i pi\u00f9 recenti studi statunitensi a riguardo [3], viene prospettato un quadro decisamente allarmante, con un’incidenza del cyber crime sull’economia globale dell’ordine di circa 400 miliardi di dollari all’anno.
\nNonostante questi dati preoccupanti, da pi\u00f9 parti, in particolar modo nel nostro Paese, si ritiene che solo le grandi aziende multinazionali siano esposte a fenomeni di reati informatici, in considerazione della loro grande visibilit\u00e0, e che solo tali realt\u00e0 economiche siano tenute a porre in essere le adeguate e delicate misure di barriera e controllo anti intrusione.
\nDa tale presupposto deriva una inevitabile e generale sottovalutazione del problema, accompagnato dall’idea che “it will never happen to us”, mentre dai pi\u00f9 accurati studi appare evidente che le piccole realt\u00e0 economiche, e persino i professionisti non sono di certo immuni al Cyber Rysk, e ci\u00f2 proprio in considerazione della loro minore protezione dall’esterno.
\nGeneralmente, le imprese medio-piccole ed i professionisti (Notai, Commercialisti, Architetti, Ingegneri, Avvocati, ecc) sempre pi\u00f9 fruitori delle nuove tecnologie e relative applicazioni (Cloud computing, virtual data, ecc), si affidano a strumenti che potrebbero rivelarsi del tutto inadeguati a fronteggiare le intrusioni degli hackers.
\nMa quali sono i principali rischi informatici?
\nFurto o manipolazione illecita di dati sensibili e divulgazione di informazioni riservate, trade secretes, violazione della propriet\u00e0 intellettuale ed estorsione, perdita di dati con conseguente perdita finanziaria, perdita dei ricavi, interruzione del Supply Chain Management con conseguente perdita degli ordini, accesso alle informazioni personali, download e diffusione di virus nei computers che possono distruggere o bloccare le funzioni di una rete e le relative operazioni aziendali.
\nTali rischi aziendali e professionali non possono che aprire la strada ad un’attenta e corretta valutazione della realt\u00e0, portando alla individuazione di figure che predispongano adeguate operazioni di Cyber Risk Management.
\nLa valutazione del rischio dovr\u00e0 necessariamente tener conto di alcune, imprescindibili, valutazioni:
\n-beni e dati da proteggere
\n-entit\u00e0 di minacce
\n-vulnerabilit\u00e0 del sistema
\n-perdite e danni possibili
\n-contromisure
\nLe manovre che non potranno pertanto non essere considerate attengono da un lato all’individuazione degli investimenti necessari in Sicurezza Informatica, e dall’altro al trasferimento del rischio ad un soggetto terzo (Compagnia di Assicurazioni).
\nI soggetti interessati (aziende e professionisti) per il tramite dei Ciber Risk Management dovranno considerare le diversificate possibili previsioni di rischio, i termini di costi, siano essi tangibili o intangibili, quali il danno concreto per la perdita materiale dei dati, perdite determinate dal fatto che i clienti si possano rivolgere alla concorrenza, costi materiali per la riparazione, rilevamento e ricostruzione dei danni ai dati oggetto di furto e manomissione, costi delle azioni legali perpetrate dai titolari di dati persi o manomessi, perdita generalizzata di fiducia e immagine, accesso dei concorrenti ad informazioni confidenziali o riservate.
\nIn sostanza, come ben spiegato da un noto istituto di ricerche [4], “know what constitutes their data “crown jewels”, be it customer data, credit card data, intellectual property or knowledge” dovr\u00e0 essere una priorit\u00e0 per tutti i soggetti economici, professionali e privati, e, di conseguenza, per le istituzioni nazionali ed internazionali ad essi correlati.<\/p>\n
<\/p>\n
\u00a0<\/p>\n
[1]\u00a0Cybersecurity Strategy of the European Union \u2013 Bruxelles 7 febbraio 2013.<\/p>\n
[2]\u00a0La proposta di Direttiva sulla sicurezza delle reti e dell’informazione rappresenta un elemento fondamentale della strategia complessiva e richiede che tutti gli Stati membri, i principali operatori di internet e di infrastrutture critiche, come le piattaforme per il commercio elettronico e le reti sociali, nonch\u00e9 gli imprenditori nei settori dell’energia, dei trasporti, dei servizi bancari e dell’assistenza sanitaria si adoperino per garantire un ambiente digitale sicuro e affidabile nell’intera Unione. La proposta di direttiva stabilisce misure che prevedono:<\/p>\n
a) l’elaborazione da parte degli Stati membri di una strategia per la sicurezza delle reti e dell’informazione e la designazione di un’autorit\u00e0 nazionale competente in materia, dotata delle risorse finanziarie e umane necessarie per prevenire, far fronte e rispondere ai rischi e agli incidenti che si verificano in tale ambito;
\nb) l’istituzione di un meccanismo di cooperazione tra gli Stati membri e la Commissione, al fine di mettere in comune mediante un’infrastruttura sicura i sistemi di preallarme riguardo a rischi e incidenti, collaborare e organizzare regolarmente valutazioni inter pares;
\nc) l’adozione da parte degli operatori di infrastrutture critiche in alcuni settori (servizi finanziari, trasporti, energia, sanit\u00e0), degli operatori di servizi della societ\u00e0 d’informazione (in particolare: app stores, piattaforme di commercio elettronico, pagamenti su internet, “cloud computing”, motori di ricerca, reti sociali) e degli amministratori pubblici di prassi in materia di gestione dei rischi e di notifica degli incidenti gravi a livello di sicurezza nei rispettivi servizi fondamentali.<\/p>\n
[3]\u00a0Center for Strategic and International Studies.<\/p>\n
[4]\u00a02013 Data Breach Investigations Report, Verizon.<\/p>\n