Russia-Ucraina: come difendersi dagli effetti a cascata della cyberwar

È trascorso quasi un mese da quando l’Agenzia per la cybersicurezza nazionale ha diramato un allarme sui possibili attacchi informatici verso l’Italia, invitando a “innalzare la postura difensiva”. Un effetto delle tensioni nell’Est Europa dove, mentre le bombe continuano a piovere sull’Ucraina, anche la guerra cibernetica si è ritagliata un proprio spazio. Alimentando il rischio di ricadute sul resto del mondo. Compresa l’Italia. We Wealth ha intervistato Greta Nasi, professore associato del dipartimento di scienze e politiche sociali presso l’Università Bocconi e direttore della laurea magistrale dell’Università Bocconi e del Politecnico di Milano in cyber risk stategy and governance, per analizzare i rischi per le aziende (non solo quelle di grandi dimensioni) e identificare alcune possibili mosse per non lasciarsi cogliere impreparate dagli effetti a cascata della cyberwar.

Qual è stato l’impatto della guerra in Ucraina sulla sicurezza informatica in Europa?

Si tratta di un impatto legato più in generale alle interconnessioni tra le catene del valore delle diverse industrie e infrastrutture essenziali sulla cui base agiamo. Interconnessioni che non si fermano allo Stato fisico nel quale attualmente è in corso il conflitto. Ogni azione intrapresa e finalizzata, per esempio, a supportare l’Ucraina anche attraverso l’utilizzo di strumenti cyber rischia di generare effetti a cascata su altre industrie o territori. L’esempio principe è l’attacco NotPetya della Russia all’Ucraina nel 2017, che mandò fuori uso i sistemi di Maersk (gruppo danese attivo principalmente nel trasporto marittimo, nell’energia e nel cantieristico navale, ndr) che apparentemente nulla aveva a che fare con l’Ucraina e con l’attacco in questione. Questo è il nodo della questione e il motivo per cui non sono stati fatti interventi in tal senso, perché non si riesce a prevedere la portata degli effetti a cascata con ragionevole certezza.

A rischio sono solo le grandi imprese?

A rischio sono tutte le imprese, proprio in virtù di queste interconnessioni. Diverso è se si tratta di un attacco finalizzato a lanciare messaggi di cyber diplomacy che va a colpire determinate aziende, anche di piccole dimensioni ma che hanno una rilevanza strategica in tal senso. Ad ogni modo, il problema delle piccole aziende in Italia è quello di non possedere internamente le competenze e la struttura tecnica e tecnologica per difendersi. E se alla base abbiamo catene del valore, di produzione, e interscambi commerciali e industriali che hanno dei legami con l’Ucraina, è chiaro che possono essere maggiormente esposte. In una recente intervista (rilasciata a Open, ndr) anche Roberto Baldoni, direttore generale dell’Autorità per la cybersicurezza nazionale, ha dichiarato che una delle minacce più plausibili sia legata alle realtà italiane che hanno rapporti commerciali con l’Ucraina, perché spesso condividono gli stessi sistemi e appartengono allo stesso network.

Cosa possono fare le pmi per non lasciarsi cogliere impreparate?

La prima cosa che possono fare è un assessment (valutazione, ndr) del grado di vulnerabilità dei propri sistemi. Tutte le aziende che fanno attività di security operations center stanno supportando le aziende attraverso controlli extra che le aiutino a capire quali possono essere le fonti di vulnerabilità e le possibili minacce. Le realtà che hanno una divisione cybersecurity al proprio interno o un chief information security officer hanno già potenziato infatti i loro controlli. Mentre quelle che non ne sono dotate, almeno nel breve termine, possono rivolgersi a degli intermediari che possano agire da external security operations center. Nel medio periodo, però, mi auguro che i fondi del Piano nazionale di ripresa e resilienza sul cyber e in generale i fondi dedicati a queste tematiche vengano utilizzati per migliorare la competenza e la professionalizzazione dei soggetti coinvolti. A partire dall’Abc di una cultura digitale dei dipendenti.

C’è ancora tempo dunque per correre ai ripari?

Dire quanto siamo coperti oggi è difficile perché mancano dati di analisi concreti. È abbastanza verosimile però che non tutte le aziende siano preparate a potenziali attacchi. Certo, bisognerà capire quale potrà essere la gravità. Ma, per ora, si tratta per lo più di attacchi mirati. Quindi c’è tempo per le pmi. Non è un rischio dal quale non si può correre ai ripari, ma bisogna metterci mano subito.