Greta Nasi: “Il problema delle piccole aziende in Italia è quello di non possedere internamente le competenze e la struttura tecnica e tecnologica per difendersi”
Bisognerebbe partire da una valutazione del grado di vulnerabilità dei propri sistemi. Per poi rivolgersi a intermediari che possano agire da external security center
Qual è stato l’impatto della guerra in Ucraina sulla sicurezza informatica in Europa?
Si tratta di un impatto legato più in generale alle interconnessioni tra le catene del valore delle diverse industrie e infrastrutture essenziali sulla cui base agiamo. Interconnessioni che non si fermano allo Stato fisico nel quale attualmente è in corso il conflitto. Ogni azione intrapresa e finalizzata, per esempio, a supportare l’Ucraina anche attraverso l’utilizzo di strumenti cyber rischia di generare effetti a cascata su altre industrie o territori. L’esempio principe è l’attacco NotPetya della Russia all’Ucraina nel 2017, che mandò fuori uso i sistemi di Maersk (gruppo danese attivo principalmente nel trasporto marittimo, nell’energia e nel cantieristico navale, ndr) che apparentemente nulla aveva a che fare con l’Ucraina e con l’attacco in questione. Questo è il nodo della questione e il motivo per cui non sono stati fatti interventi in tal senso, perché non si riesce a prevedere la portata degli effetti a cascata con ragionevole certezza.
A rischio sono solo le grandi imprese?
A rischio sono tutte le imprese, proprio in virtù di queste interconnessioni. Diverso è se si tratta di un attacco finalizzato a lanciare messaggi di cyber diplomacy che va a colpire determinate aziende, anche di piccole dimensioni ma che hanno una rilevanza strategica in tal senso. Ad ogni modo, il problema delle piccole aziende in Italia è quello di non possedere internamente le competenze e la struttura tecnica e tecnologica per difendersi. E se alla base abbiamo catene del valore, di produzione, e interscambi commerciali e industriali che hanno dei legami con l’Ucraina, è chiaro che possono essere maggiormente esposte. In una recente intervista (rilasciata a Open, ndr) anche Roberto Baldoni, direttore generale dell’Autorità per la cybersicurezza nazionale, ha dichiarato che una delle minacce più plausibili sia legata alle realtà italiane che hanno rapporti commerciali con l’Ucraina, perché spesso condividono gli stessi sistemi e appartengono allo stesso network.
Cosa possono fare le pmi per non lasciarsi cogliere impreparate?
La prima cosa che possono fare è un assessment (valutazione, ndr) del grado di vulnerabilità dei propri sistemi. Tutte le aziende che fanno attività di security operations center stanno supportando le aziende attraverso controlli extra che le aiutino a capire quali possono essere le fonti di vulnerabilità e le possibili minacce. Le realtà che hanno una divisione cybersecurity al proprio interno o un chief information security officer hanno già potenziato infatti i loro controlli. Mentre quelle che non ne sono dotate, almeno nel breve termine, possono rivolgersi a degli intermediari che possano agire da external security operations center. Nel medio periodo, però, mi auguro che i fondi del Piano nazionale di ripresa e resilienza sul cyber e in generale i fondi dedicati a queste tematiche vengano utilizzati per migliorare la competenza e la professionalizzazione dei soggetti coinvolti. A partire dall’Abc di una cultura digitale dei dipendenti.
C’è ancora tempo dunque per correre ai ripari?
Dire quanto siamo coperti oggi è difficile perché mancano dati di analisi concreti. È abbastanza verosimile però che non tutte le aziende siano preparate a potenziali attacchi. Certo, bisognerà capire quale potrà essere la gravità. Ma, per ora, si tratta per lo più di attacchi mirati. Quindi c’è tempo per le pmi. Non è un rischio dal quale non si può correre ai ripari, ma bisogna metterci mano subito.