Cybersecurity imprese, Italia seconda in Europa per device vulnerabili: le cinque fasi degli attacchi hacker

L’Italia è al secondo posto in Europa per numero di device esposti on line con oltre 110 mila dispositivi disponibili in rete e accessibili a costo zero. Questi numeri accendono i riflettori sulla vulnerabilità informatica delle imprese italiane e sulla facilità con la quale i cyber attacchi oggi sono diventati un gioco da ragazzi alla portata di hacker anche di livello amatoriale. Con danni ingenti per le realtà imprenditoriali, grandi e piccole, e per tutto il tessuto produttivo italiano. Ma cosa possono fare le PMI per salvaguardare la propria sicurezza informatica?

Tutti i passaggi fondamentali, le regole e i consigli da seguire e, soprattutto, gli errori da non fare. A cominciare da quello, gravissimo, che nell’immaginario collettivo relega la sicurezza informatica delle aziende a mero adempimento burocratico o normativo, trascurando piuttosto il suo potenziale di leva formidabile di innovazione tecnologica e, dunque, di crescita e sviluppo.

Cybersecurity aziende, le cinque fasi per il test di vulnerabilità

Tra gli attacchi informatici più comuni subiti dalle piccole imprese ci sono gli attacchi malware inviati tramite e-mail di phishing e mezzi simili. Particolarmente diffuso è il ransomware, un malware che crittografa o ruba i dati e quindi richiede un riscatto.  Virus, worm, trojan, ransomware, spyware e adware, vari tipi di cyber attacco ma che si declinano sempre attraverso cinque fasi: ricognizione; accesso iniziale; movimento laterale; manipolazione e impatto fisico.

Ad illustrarle è stata Micaela Caserza Magro, docente presso l’università di Genova per i corsi di Ingegneria elettrica e Informatica, durante l’evento Safety Innovation a Catania.  “Per capire se sia al sicuro, un’azienda può partire proprio da queste cinque fasi e, attraverso queste, testare la sua vulnerabilità, per capire come accorgersi di un attacco ma soprattutto come prevenirlo”, ha detto.

La ricognizione

“La prima fase di ogni cyber attacco – ha spiegato Caserza Magro – è quella nella quale l’hacker dà una sbirciata, verifica quali siano i dati disponibili in rete e dunque accessibili dall’esterno. Farlo è molto facile, più di quanto si creda. Il sito Shodan.yo, ad esempio, è una sorta di Google che permette di fare ricerche approfondite su tutto ciò che è disponibile e visibile on line, come ad esempio indirizzo IP, tipologia di prodotto, porte aperte, localizzazioni, ecc. Un servizio assolutamente legale”.

L’accesso iniziale

La seconda fase è l’accesso iniziale, facilitato da credenziali di default che non state cambiate e che fanno riferimento ad un router, un server o un firewall. “In rete – ha continuato l’esperta – si trovano moltissimi database che contengono le password di default. Avviene così l’accesso VPN non autenticato”.

Il movimento laterale

Nella fase del movimento laterale, l’hacker di fatto è già entrato. “Dalla rete IT l’hacker raggiunge la rete OT per assenza di segmentazione tra le zone. Nella fase della manipolazione avviene la modifica dei setpoint di pressione dei PLC. La funzione SIL non interviene. Risultato? Soglie alterate nel software. Nell’ultima fase, infine la valvola di sicurezza riceve il comando di aprirsi fuori sequenza”, ha chiosato Caserza Magro.

Secondo l’esperta, diffondere la cultura dell’importanza della sicurezza informatica per le aziende appare oggi l’unica strada possibile da intraprendere per far scendere i numeri sugli attacchi. “Siamo avanzatissimi, i presupposti e le condizioni ci sono. Possiamo ribaltare la condizione di vulnerabilità che vivono oggi le PMI italiane e trasformarla in elemento di forza attraverso percorsi di formazione che sviluppino competenza, conoscenza e consapevolezza”, ha concluso.

Sicurezza informatica PMI: la differenza tra safety e security

Quali sono le regole per la sicurezza informatica? La prima è conoscere la differenza tra safety e security. La safety protegge i sistemi da guasti accidentali, mentre la security difende da atti dolosi intenzionali. La safety, dunque, consente di prevenire l’errore. La security, invece, previene l’intrusione.

In ambito informatico, più nello specifico, la distinzione è tra sicurezza funzionale e sicurezza informatica. La prima fa riferimento alla protezione da guasti, da errori hardware e software, da malfunzionamenti del sistema. La seconda si riferisce alla protezione da minacce digitali intenzionali, accessi non autorizzati, attacchi cyber. Si tratta di due aspetti complementari, camminano di pari passo e vanno integrati. Eppure, il caso che si verifica più di frequente nelle PMI italiane e che in queste realtà né la sicurezza funzionale né la cybersecurity vengono progettate. In molti altri casi, poi, vengono realizzate di fretta oppure sono parziali o, peggio, inefficaci.

“Lo scenario ideale – ha spiegato Caserza Magro – è quello nel quale safety e security co-esistono fin dall’inizio, vengono progettate insieme sin dalla fase di analisi del rischio. Un approccio di questo tipo non va visto come un costo aggiuntivo perché è l’unico approccio che funziona”. Separare i due aspetti, senza farli “dialogare” crea dei vulnus pericolosi perché l’azienda pensa di aver fatto tutto ciò che doveva fare per proteggere i propri sistemi informatici ma in realtà l’esposizione al rischio è elevata.

Il caso COSEAP: formare i dipendenti per la loro sicurezza

“Oggi l’approccio alla cybersecurity delle aziende è orientato a due ambiti particolari – ha spiegato a Partitaiva.it Mariangela Camarda, direttrice tecnica COSEAP, azienda siciliana che ha promosso l’evento -. Il primo è sicuramente quello del lavoratore che ha la priorità assoluta. Il secondo riguarda la capacità di capire quanto siano sicure le nostre macchine e quanto sicuro sia il mondo all’interno del quale ci muoviamo per lavorare. Ciò è fondamentale per creare consapevolezza e per dare senso e valore alle persone che lavorano”.

Creare consapevolezza è l’obiettivo primo di COSEAP che progetta e realizza architetture meccatroniche integrando la sicurezza direttamente nel design tecnologico e offrendo consulenza specialistica per l’analisi dei rischi. Affiancare costruttori e utilizzatori nella validazione di sistemi sicuri e affidabili significa proteggere gli operatori senza compromettere i flussi produttivi.

“L’obiettivo – ha aggiunto Camarda – deve essere quello di parlare, approfondire l’aspetto legato alla sicurezza delle macchine che va poi collegato alla sicurezza dei lavoratori con l’introduzione di tutte le tecnologie e tenendo conto dei diktat normativi”. Quest’ultimi, secondo Camarda, servono e sono certamente utili ma non vanno affatto subiti quindi l’idea deve essere quella di lavorare su una sicurezza basata sui fatti e su quello che in modo concreto andiamo a realizzare.

“Ecco perché dobbiamo parlare soprattutto ai giovani. La sicurezza dobbiamo integrarla, realizzarla e poi scriverla. Però non ce ne facciamo nulla di carte e documenti scritti bene se non abbiamo prima lavorato bene sulle nostre macchine”, ha concluso l’ingegnere.