Gente in piedi al Security Summit organizzato dal Clusit a Verona, dove si è disegnato lo scenario della sicurezza in Italia, grazie all'aggiornamento del Rapporto Clusit 2014, con i dati del primo trimestre 2014.
Alcune conferme e diverse novità, come è naturale in un settore tanto dinamico. In particolare c'è da registrare un record: sulla rete di Fastweb, che da quest'anno collabora alla realizzazione del rapporto, è stato registrato un attacco volumetrico di Distributed Denial of Service dalla portata eccezionale: 140 Gbps. "140 Gbps praticamente equivalgono a tutto il traffico Internet italiano", spiega Davide Del Vecchio, membro del Clusit tra gli autori del report.
Security Summit Verona 2014
I dati raccolti da Fastweb sono anonimi, quindi non è dato sapere chi sia l'utente domestico cui era diretto questo massiccio attacco, probabilmente "ha dato molto fastidio alla persona molto sbagliata", scherza Del Vecchio.
Il rapporto del Clusit conferma la crescita degli attacchi dovuti al cybercrime (61%, mentre nel 2011 era il 36%), dimostrando definitivamente che l'hacker goliardico di una volta è praticamente sparito dalla scena.
A tal proposito, Gigi Tagliapietra, presidente del Clusit sottolinea come gli attacchi stiano diminuendo in valori assoluti in termini di quantità, ma contemporaneamente aumentano i danni prodotti. L'ipotesi è che i cybercriminali si stiano in qualche modo associando.
Ormai non si tratta di fronteggiare il singolo malintenzionato, ma vere e proprie organizzazioni, che, tra l'altro, hanno una capacità di investimento e di ricerca e sviluppo senza pari. Secondo dati dell'Onu, più precisamente dell'UNICRI (United Nations Interregional Crime and Justice Research Institute), arrivano fino a 1 trilione (miliardi di miliardi) di dollari i danni dovuti al cybercrime. Non c'è storia: nessuna impresa della sicurezza può stare al passo. Per questo è necessario fare fronte comune.
Un aspetto fondamentale è quindi la formazione, perché la cultura sulla sicurezza è di per sé la migliore difesa. Il 24% degli attacchi analizzati dagli esperti del Clusit sono stati portati a termine sfruttando vulnerabilità note. Si tratta della prima fonte di attacchi e sono tutti attacchi che sarebbero stati evitati con l'aggiornamento delle patch o con una delle tante soluzioni sul mercato che forniscono un patching virtuale.
La mancanza di consapevolezza è il dato più critico. I media generalisti non aiutano, perché pubblicizzano solo gli attacchi, poco dannosi, degli Anonymous, tra l'altro meno numerosi e raramente si parla di quelli realmente preoccupanti. Per esempio, i grossi attacchi con cui sono stati rubati milioni di numeri di carte di credito da alcuni retailer statunitensi, con malware caricato direttamente sui POS.
Sarebbe necessaria una maggiore condivisione dei dati, per fronteggiare meglio le minacce, ma manca la cultura: "Addirittura mi chiamano disperati di notte perché un attacco ha bloccato tutti i sistemi – racconta Andrea Zapparoli Manzoni, membro del consiglio direttivo del Clusit e fondatore de iDialoghi. Ma poi cerchi di capire cosa è successo e scopri che in azienda hanno smesso di registrare i log perché non volevano occupare spazio sul NAS".
Gigi Tagliapietra, presidente del Clusit
Inoltre, le imprese non denunciano gli incidenti: "L'esperto di security è il primo che non vuole chiamare la polizia", afferma sconsolato Tommaso Palumbo, Dirigente del Compartimento della Polizia Postale e delle Comunicazioni per il Veneto. Di fatto si teme che la Polizia Postale, entrando nei computer, vada a scoprire "chissà quali magagne".
"Invece - continua Palumbo -, siamo loro alleati e l'unica cosa che vogliamo è aiutarli. Tra l'altro non è più come una volta, quando si prendevano tutti i computer per le indagini, bloccando l'impresa".
Alla tavola rotonda sono intervenuti anche Bruno Giordano, Consigliere Delegato all'innovazione e Start Up di Confindustria Verona, e Maurizio Martinozzi, manager Sales Engineering di Trend Micro in rappresentanza del mondo dei vendor, che a loro volta hanno ribadito l'importanza della formazione.
A questo riguardo, però, Gigi Tagliapietra conclude con un invito a "pensare fuori dalla scatola", mutuando il concetto americano "dell'out of the box", rompere gli schemi per cercare nuove strade alla sensibilizzazione, forse inutile o comunque insoddisfacente: "Gli utenti, le imprese, hanno altre priorità. Cerchiamo alternative per aiutarli".