Scarica CYBERCRIME, CYBERSECURITY E INTELLIGENCE e più Appunti in PDF di Sicurezza Dei Sistemi Informativi solo su Docsity!
CYBERCRIME, CYBERSECURITY E INTELLIGENCE
(Appunti video lezioni prof. Manno)
VIDEO LEZIONE 1
Tutela amministrativa del segreto di stato e delle informazioni classificate La cybersicurezza deriva dall’esigenza di preservare la riservatezza di banche date, attività e informazioni; chi minaccia una fonte sensibile, o definita come classificata, rientra nel parametro di giudizio dell’area di sicurezza cibernetica.
Normativa di riferimento Occorre partire da un caposaldo molto importante cioè la Riforma dei servizi d’intelligence (D.P.C.M. N.7/2009) che ha una serie di obiettivi, novellata in ragione delle evidenti esigenze di garantire il buon andamento democratico della Repubblica da minacce interne ed esterne che potevano minare il sistema del Paese. Su tale riforma, già con la Legge del 3 agosto 2007 (N.124), è stato istituito il “Sistema di Informazione per la Sicurezza della Repubblica” cercando di uniformare il comparto di intelligence italiano che sino al 2007 aveva operato sotto la precedente vigenza della Legge N.801 del ‘77. Quindi, già nel 2007, il legislatore aveva sentito l’esigenza di modificare l’architettura del comparto del sistema di informazione introducendo novità, prima fra tutte “L’attribuzione della responsabilità politica dell’intero settore al solo Presidente del Consiglio dei Ministri”, permettendo che si superasse la condivisione della responsabilità gestionale che era prevista con la precedente normativa del ‘77, in ragione ai servizi d’intelligence tra le figure del Ministro della Difesa e Ministro dell’Interno. Di conseguenza, con la normativa del 2009 e con l’eliminazione della condivisione della responsabilità gestionale, si decide che il Presidente del Consiglio può delegare qualsiasi compito a lui attribuito, all'autorità delegata individuata nella figura di un sottosegretario di Stato o di un ministro senza portafoglio. Attualmente, la responsabilità dei servizi di intelligence cade in capo all’attuale Presidente del Consiglio che ha delegato un sottosegretario di stato (l’onorevole Mantovano al giorno d’oggi) che svolge i compiti al suo posto. La Costituzione dei servizi d’intelligence prevede come braccio destro dell’autorità delegata il DIS (Dipartimento delle Informazioni della Sicurezza) che costituisce l’organismo di cui si avvale sia il Presidente del Consiglio sia la parte sotto-delegata per l’esercizio delle proprie competenze. Il DIS è, al giorno d’oggi, il destinatario di compiti specifici e più incisivi rispetto a quelli assegnati dalla legge ‘77 che prevedeva una serie di compiti assegnati alla segreteria generale del CESIS (organismo operante fino al 2009) in materia di raccolta informativa e attività ispettiva. Con la riforma del 2009, il DIS ha ricoperto un ruolo centrale nell’ambito del sistema di informazione della sicurezza della Repubblica. Sempre tale legge, ha istituito il “Comitato interministeriale per la sicurezza della Repubblica” (CISR) con funzione di consulenza, proposta e deliberazione sugli indirizzi e finalità generali della politica dell’informazione per la sicurezza.
Le competenze delle due agenzie di riferimento cioè l’ AISE (Agenzia per l’informazione e la sicurezza esterna) e l’ AISI (Agenzia per l’informazione e la sicurezza interna) sono ripartite secondo l’ambito territoriale della minaccia, a cui si aggiunge una specifica competenza per l’AISE in materia di contro profilazione.
Cosa prevede la riforma dei servizi d’intelligence? In materia di operazioni per scopi istituzionali, agli addetti delle agenzie è consentito di avvalersi, con le limitazioni previste dalla legge, dello strumento delle garanzie funzionali ovvero speciali cause di giustificazione previste per gli appartenenti ai servizi di informazione che pongono in essere delle condotte configurate come reato. Allora, la configurabilità di condotte costituenti reato può essere un esimente a condizione di aver compiuto quel determinato comportamento solo se autorizzati per lo svolgimento di specifici compiti istituzionali attribuiti dalla presidenza del consiglio, per il tramite dell’autorità delegata e per il tramite del direttore generale e del DIS. Questa riforma consente di avere una diversa sensibilità in materia di riservatezza della circolarità delle informazioni che sono considerate fondamentali e delicate.
D.P.C.M. N.5/2015 E SUCCESSIVE MODIFICHE 2017 → Disposizioni per la tutela amministrativa del segreto di stato e delle informazioni classificate e a diffusione esclusiva. Questo decreto è la normativa base di riferimento della gestione delle informazioni classificate.
Cos’è un'informazione classificata? In ragione della peculiarità e sensibilità del contenuto, è stata considerata tale dall’ente originatore e pertanto conoscibile esclusivamente da una specifica e ben circoscritta platea di soggetti. E’ classificata quell’informazione il cui contenuto è di una tale sensibilità e riservatezza che, ove fosse conosciuta o acquisita da soggetti non autorizzati, potrebbe arrecare dei danni alla Repubblica. Proprio l’elemento “danno” configura anche la cosiddetta "responsabilità amministrativa” cioè la compromissione di un’informazione sensibile dichiarata classificata può determinare un danno che ha necessariamente l’esigenza di essere tutelato anche sul piano amministrativo.
L’incisivo a “diffusione esclusiva” significa a diffusione limitata circoscritta a una platea ben individuata e identificata di soggetti.
Già con la legge 124 del 2007, con l’articolo 42, venivano regolate le modalità con le quali i documenti sensibili per la sicurezza della Repubblica dovevano essere gestiti nel corso di indagini preliminari o di un procedimento penale; vi erano delle cautele precauzionali sia per la segretezza dell’indagine preliminare sia per una tutela speciale per le informazioni sensibili che potevano celare un interesse particolare. L’aver costituito una norma che disciplini la tutela del segreto di Stato e delle informazioni classificate, ha fatto sì che il sistema fosse dotato di una protezione importante che sarà
Si è cercato, in maniera trasversale, di individuare 3 ambiti di applicazione in base ai quali, sulla base di norme di riferimento osservate, possa essere garantita la sicurezza delle informazioni sensibili.
Più volte è stato accennato, già con la legge del 2009, che il legislatore aveva enucleato la responsabilità politica delle decisioni alla presidenza del Consiglio, cioè il legislatore ha cercato di prevedere un sistema articolato che possa coinvolgere diversi livelli istituzionali, diverse procedure di classificazione e svariati meccanismi di controllo per garantire la protezione dei materiali sensibili. Si è voluto attribuire al Presidente del Consiglio dei Ministri, vertice del sistema di sicurezza nazionale, il potere di apporre, prorogare o rimuovere il segreto di Stato (secondo il dettato dell’articolo 39 della legge 3 agosto 2007 N.124), mentre il dipartimento della sicurezza delle informazioni opera come un organo nazionale deputato alla gestione dei flussi informativi sensibili.
L’autorità nazionale per la sicurezza (A.N.S), rinnovata con l’ articolo 4 del D.P.C.M. 5/2015 , si avvale oltre alla figura del Presidente del Consiglio dei Ministri, anche alla figura dell’autorità delegata (sottosegretario di Stato); l’abbinamento di questi due ruoli incarna la responsabilità politica di tutto ciò che attiene alle informazioni di sicurezza della nostra Repubblica.
Organi dell’Organizzazione Nazionale di Sicurezza Si fa riferimento all’ articolo 5 del D.P.C.M. 5/2015 fino all’articolo 12, in cui si enunciano gli organismi che entrano in gioco nella gestione delle informazioni classificate:
- Organo Nazionale di Sicurezza (DIS) (art.6 D.P.C.M. 5/2015): è una sorta di “longa manus” della presidenza del Consiglio che si avvale di un ulteriore organismo cioè l’UCSE;
- Ufficio centrale per la segretezza (UCSE) (art.7 D.P.C.M. 5/2015): responsabile del rilascio e revoca di quelle abilitazioni che sono necessarie per accedere alle informazioni classificate. Egli risponde ad una specifica esigenza che fa capo al primo caposaldo cioè concede le abilitazioni di sicurezza a tutti i soggetti fisici e giuridici che hanno la necessità di gestire informazioni classificate in ragione del loro incarico, evitando che si creino delle crepe che vadano a minare la riservatezza delle informazioni sensibili;
- Organi centrali di sicurezza (OCS) (art.8 D.P.C.M. 5/2015);
- Organi periferici di sicurezza (OPS) (art.10 D.P.C.M. 5/2015); In merito agli organi di OCS e OPS, il legislatore ha inteso prevedere che ciascuna amministrazione dello Stato si doti di un piccolo nucleo di sicurezza deputato a gestire al suo interno le informazioni che siano considerati sensibili quindi, è un obbligo legislativo avere la presenza di questi soggetti che facciano capo ad un organo centrale di sicurezza.
- Organi di sicurezza presso gli operatori economici (art.12 D.P.C.M. 5/2015): anche gli operatori economici, in taluni casi, devono prevedere al loro interno soggetti che siano deputati a gestire informazioni classificate.
Ad esempio, si pensi ad un operatore economico che abbia come oggetto del proprio mercato dei beni sensibili (azienda Leonardo), come vendere elicotteri ad uno Stato straniero. In questo caso, si parla di un soggetto economico non paragonabile ad altri soggetti che trattano beni fungibili, ma di strumentazione che ha specifiche caratteristiche individuate attraverso criteri riservati. Chi gestisce quel contratto dovrà far riferimento ad una documentazioni di dati classificati e sensibili; l’obiettivo è evitare che tali informazioni possano essere utilizzate in maniera scorretta da parte di soggetti esterni.
Il tema della gestione delle informazioni classificate non fa riferimento solo al comparto di sicurezza o di difesa dello Stato , ma è trasversale a tutte le organizzazioni dello Stato.
VIDEO LEZIONE 3
Classifiche di segretezza Art.4 D.P.C.M. 7/2009 → era il provvedimento con cui già si era declinata la riforma dei servizi segreti. Sul piano processuale, l’importanza di attribuire una diversa classifica di segretezza di un documento comporta delle differenti conseguenze in termini di danno arrecato all'interesse della Nazione. Sotto il profilo organizzativo, la sicurezza delle informazioni si basa su un sistema articolato che coinvolge diversi livelli istituzionali come procedure di classificazione e meccanismi di controllo per garantire la protezione dei materiali sensibili. La tutela delle informazioni classificate avviene attraverso una serie di misure fisiche, tecniche ed organizzative; nell’ambito di queste misure rientra anche la segretazione delle informazioni che si fonda su due istituti:
- Il segreto di Stato: provvedimento in assoluto più limitativo della circolazione apponibile esclusivamente dal Presidente del Consiglio dei Ministri con un atto di natura politica;
- Le classifiche di segretezza ;
In questo ambito, la gestione delle informazioni può essere immaginata come una piramide nella quale i diversi provvedimenti di secretazione sono assunti in base ad un potenziale danno (come la diffusione non autorizzata dell’informazione medesima).
Perché e come le classifiche di segretezza sono nate? Quali sono le loro funzioni? Le classifiche di segretezza contribuiscono ad assicurare la tutela di quelle informazioni la cui diffusione sia idonea a recare un pregiudizio agli interessi fondamentali della Repubblica e sono attribuite per circoscrivere la conoscenza di informazioni, documenti, atti, attività o cose ai soli soggetti che abbiano necessità di accedervi in ragione delle proprie funzioni istituzionali.
VIDEO LEZIONE 4
Qualifiche di sicurezza Non devono essere confuse con una categoria alternativa alla classifica di segretezza. Si intendono come la sigla o qualsiasi altro termine convenzionale che viene attribuito ad un’informazione, sia essa classificata e non, ed indica l’organizzazione internazionale o dell’unione europea o il programma intergovernativo di appartenenza della stessa ed il relativo circuito di divulgazione. Ad esempio, se ad un’informazione viene attribuito il livello di riservatissimo, questa può avere tale valore esclusivamente in un determinato quadro o ambito territoriale quindi, si andrà a definire informazione riservatissima/UE/Nato. Cosa significa? Indica che il livello di segretezza di quella informazione è in vigore esclusivamente tra i paesi dell’UE o della Nato. La qualifica di sicurezza cerca di circoscrivere l’area di divulgazione di appartenenza di quell’informazione.
Diverse sono le informazioni non classificate controllate (INCC) in cui occorre fare riferimento a tutte quelle attività che pur non essendo definite come non classificate, tuttavia richiedono che il destinatario o il mittente debba definire delle misure minime di protezione in ragione della sensibilità dei contenuti. Un esempio può essere l’invio di una pec dato che questa non necessariamente può trasmettere un’informazione classificata in quanto viene trasmessa tramite circuito via internet ma, è un accorgimento che necessita di un mittente e un destinatario il quale esclusivamente può leggerne il contenuto.
Nulla osta di sicurezza Le informazioni classificate necessitano di una serie di procedure per la stessa gestione ovvero il legislatore ha inteso procedere ad individuare il circuito di divulgazione delle stesse definite dal D.P.C.M. 5/2015. Tra queste è importante uno dei tre capisaldi delle abilitazioni di sicurezza che devono essere acquisite da coloro che gestiscono informazioni classificate e che richiede un’autorizzazione necessaria. Il D.P.C.M. 5/2015 stabilisce una procedura molto puntigliosa per ottenere un nulla osta di sicurezza da parte dei soggetti che debbano gestire informazioni classificate. Innanzitutto, per ricevere tale nulla osta si fa riferimento ad informazioni di tipo segretissimo, segreto e riservatissimo. Per quanto riguarda le informazioni classificate di tipo riservato è necessario aver ricevuto, da parte del responsabile per l’impiego, l’istruzione alla sicurezza che ha ad oggetto il complesso delle norme relative alla protezione delle informazioni classificate. Per accedere alle informazioni non classificate controllate non è prevista nessuna forma particolare di autorizzazione, ma le stesse devono essere conosciute solo dal personale che ne ha necessità in funzione del proprio incarico. L’abilitazione di sicurezza è un vero e proprio processo amministrativo che legittima il trattamento di informazioni riservate, ma il singolo soggetto non può richiederlo direttamente perché la richiesta di sicurezza deve essere inoltrata da un soggetto pubblico o economico che
ha evidenziato la necessità di accedere a tali informazioni per poter svolgere un determinato incarico. Come funziona il procedimento? La richiesta è presentata all'autorità nazionale per la sicurezza (Ufficio nazionale per la segretezza) da un funzionario o da una figura di ufficiale della sicurezza dell’ente o dell’impresa. E’ importante creare una mini organizzazione di sicurezza il cui responsabile prende il nome di “Ufficiale della sicurezza” o “Funzionario alla sicurezza". Tale richiesta, poi, verrà inoltrata per posta elettronica certificata e richiede la compilazione di alcuni moduli specifici tra cui “il foglio notizie” che deve essere compilato con tutti i dettagli personali. La scelta di gestire informazioni classificate, sia esso inserito in un ente o sia esso un operatore economico, presuppone una preliminare conoscenza del soggetto in termini di affidabilità (il soggetto deve essere scevro da eventuali episodi gravosi). L’abilitazione non è illimitata, nel momento in cui viene concessa questa sarà valida per un determinato periodo ovvero:
- 5 anni per la classifica di segretissimo;
- 10 anni per gli altri tipi di classifiche.
Nel caso in cui ci sia una cessazione prima dei 5 o 10 anni, l’ente o l’amministrazione di appartenenza dovrà necessariamente sopperire. Quando l’abilitazione non si riferisce ad una persona fisica ma ad una società, si parla di NOS (nulla osta di sicurezza industriale) legiferato dal D.P.C.M. 5/2015.
Gli accertamenti per l’acquisizione del foglio notizie che riepiloga tutti gli elementi che sono necessari per poter ottenere il nulla osta di sicurezza, vengono effettuati dal comando provinciale dell’Arma dei Carabinieri, Finanza o Polizia di Stato competenti per territorio. Tali soggetti esercitano delle acquisizioni investigative e degli accertamenti sulla base di notizie esistenti agli atti, effettuano delle interrogazioni alle banche dati disponibili, acquisiscono informazioni sull’esistenza di fallimenti etc…
Altra caratteristica peculiare riguardo le informazioni classificate attiene al fenomeno della cosiddetta “Declassifica automatica” (Legge 124/2007 art.42). La domanda che ci si pone è: “L’informazione classificata ha una classifica di segretezza per tutta la vita o, tale informazione ha una data di scadenza?” Il legislatore risponde con l’articolo 42 al comma 5 e 6:
- Comma 5: la classifica di segretezza è automaticamente declassificata a livello inferiore quando sono trascorsi 5 anni dalla data di apposizione. Decorso un ulteriore periodo di 5 anni, cessa ogni vincolo di classifica. Esempio: se vi è un documento con classifica di tipo segreto, questo dopo 5 anni automaticamente perde il valore di tipo segreto e assume quello di riservatissimo. Dopo un ulteriore periodo di 5 anni, da riservatissimo transita nella classifica di riservato o comunque cessa ogni vincolo di classifica. Il legislatore si è reso conto che ci possono essere delle informazioni che hanno un contenuto sensibile al momento ma, con il passare del tempo, perdono quella validità.
È chiaro che il concetto di sovranità digitale non può essere disancorato dall’elemento dell’interferenza della geopolitica: necessariamente la influenza, e la geopolitica stessa è dipendente dalle BigTec americane.
Secondo uno studio del 2022, Google Cloud, Amazon, e Synergy Research Group detengono il 66% del mercato globale del Cloud computing: una concentrazione di potere che crea una dipendenza strutturale per molte economie, le quali faticano a competere con le risorse e capacità tecnologiche di queste aziende impatto sulla sovranità digitale di ogni singolo Stato.
L’Ue sta cercando di costruire delle alternative europee: Gaia X è un progetto di infrastruttura Cloud in grado di competere con le BigTec americane, la sfida è ardua se si considera che il budget complessivo di questa progettualità è stimato in circa 2 miliardi di euro: si pone su livelli decisamente inferiori rispetto ai competitor americani. Gli investimenti annuali americani sul contesto sono notevolmente superiori ai 2 miliardi di euro stanziati dall’UE.
Parallelamente, attori come Cina e Russia hanno sviluppato nel tempo un modello di sovranità digitale basato su un forte controllo statale: Pechino ha emanato nel 2017 e nel 2021 una legge sulla sicurezza informatica e una sulla sicurezza dei dati che impongono requisiti stringenti sulla raccolta, archiviazione e accesso ai dati vietando in molti casi il loro trasferimento fuori dal paese approccio protezionistico. L’approccio cinese, da un lato protegge il cyberspazio nazionale, dall’altro cerca di influenzare gli standard globali nelle tecnologie emergenti come quello dell’Intelligenza Artificiale e quello del 6G. Nonostante siano state previste delle sanzioni occidentali su alcuni colossi, HUAWEI continua comunque a investire miliardi di euro nella ricerca e nello sviluppo.
Attacchi cyber e tutela della sovranità digitale
- 01 agosto 2021: attacco hacker di origine russa (Spread Spider) Attaccarono le banche dati del dipartimento salute della regione Lazio mettendo in ginocchio il ciclo di vaccinazioni per proteggere dal Covid i pazienti laziali. fu effettuato con un ransomware, ovvero un virus che, iniettato nelle banche dati, bloccò totalmente il ciclo delle vaccinazioni e che poteva essere sbloccato solo a seguito del pagamento di un riscatto in criptovalute (BITCOIN).
- Stati Uniti: Attacco ad un oleodotto nel 2022 che bloccò il rifornimento di gas per gran parte degli USA per un lasso di tempo;
- Irlanda del nord: sempre nello stesso periodo ebbe un attacco da parte di un’altra famiglia di hacker russi che anche qui bloccò il sistema sanitario per diversi giorni;
- Attacco centrale a un centrale nucleare in Iran.
Mappare alcuni di questi attacchi hacker fa comprendere ulteriormente come vi sia una necessità di marcare la regolamentazione della sovranità digitale. Esasperazione delle grandi potenze a una competizione tra loro per emergere sul piano geopolitico: rischio di frammentare ulteriormente il cyber spazio globale. La creazione di sistemi sempre più chiusi, regolamentati da parte dei maggiori player internazionali, contrapposti a nazioni sempre più piccole che lottano per mantenere la propria autonomia digitale, comporta dei rischi che si possono ovviamente diffondere e allargare nelle implicazioni geopolitiche che determinano i conseguenti conflitti tra Stati.
- La sovranità digitale non è soltanto una questione tecnica, può prestare il fianco a una serie di attacchi, di interferenze di nazioni ostili, a attacchi terroristici. È una sfida geopolitica e tecnologica cruciale, in un mondo sempre più interconnesso, dove le nazioni piccole possono avere delle difficoltà di sopravvivenza in termini di resilienza nei confronti dei grandi colossi.
- Garantire un’autonomia digitale richiede necessariamente degli investimenti massicci, una cooperazione internazionale e un’attenta gestione delle tensioni tra la sicurezza nazionale e la globalizzazione.
Qual è la ricetta per arrivare a una regolamentazione il più possibile omogenea tra gli Stati? Gli Stati che sapranno bilanciare le diverse esigenze hanno un ruolo chiave nella definizione del futuro ordine mondiale: i grandi colossi sicuramente dovranno procedere a investimenti massicci nelle tecnologie digitali, saranno gli artefici di una cooperazione internazionale che possa salvaguardare quelle tensioni tra la sicurezza nazionale e l’esigenza di una globalizzazione.
Strategia della cyber sicurezza: non limitata alla difesa (militare) dei confini fisici, ma inclusiva della sicurezza civile e quindi estesa alla “sovranità digitale”
Un’idonea strategia di cybersicurezza dovrà essere estesa necessariamente alla sovranità digitale.
Definizione completa di sovranità digitale: Esercizio del potere di governo su dati e infrastrutture di informazione e telecomunicazione, inclusi i sistemi informatici, i processori e i dispositivi di controllo collocati sul territorio di uno Stato.
VIDEO LEZIONE 6
Principi generali sulla cyber sicurezza
Il cyberspazio E’ il sistema complesso di cui fanno parte milioni di computer interconnessi, ed ognuno di essi con decine di programmi che interagiscono tra loro e con altri computer in rete.
Quando si iniziò a capire l’esigenza di tutela dei dati personali degli utenti, cominciò un dibattito politico sulla possibilità di intervenire a tutela dei diritti individuali nel contesto digitale, garantendo una maggiore privacy e sicurezza degli utenti.
Dai primi anni del 2000 prende forma la consapevolezza che sia necessario arginare una pericolosa idea di deriva di sovranità digitale mista (sia pubblica che privata), in cui la capacità di regolamentare i mercati e gestire la comunicazione pubblica sia delegati alle grandi multinazionali che forniscono le infrastrutture. Dinanzi al timore di ulteriori minacce del tutto inedite, il mondo del diritto si è spinto verso un superamento della classica distinzione pubblico-privato e si afferma un concetto di sovranità digitale da intendersi come la capacità di un paese di esercitare autorità nel cyberspazio. Come si esercita questa autorità? Garantendo l’indipendenza tecnologica e il controllo sui dati personali. Una delle prime, in questo contesto, che concepì l’esigenza di garantire una giusta commisurazione tra indipendenza tecnologica e garanzia della privacy fu la Merkel che, nel 2020, iniziò a lanciare l’idea di definire la sovranità digitale come tema fondamentale, prospettando la creazione di un'infrastruttura digitale europea, sovrana e resiliente → progetto Gaia X. Obiettivo : creare un ecosistema digitale aperto, trasparente e sicuro in cui i dati condivisi fossero in un ambiente di fiducia.
Questo cosa comporta? Che la sfida della cyber security debba partire dalla gestione del rischio e delle normative nell’ottica dell’era delle violazioni informatiche. Sono enormi le quantità di dati che vengono generate e raccolte da organizzazioni pubbliche e private. Questi dati diventano mezzi per la violazione alla sicurezza informatica. Dal 2019 al 2024, c’è stato un incremento di attacchi dell’11% a livello globale, con impatti profondi su tutti gli aspetti economici e sociali dei paesi. Questo fa sì che si crei anche una disparità informatica.
- Sia il legislatore europeo che nazionale, già nel 2013 si formulò una prima architettura della sicurezza cibernetica nazionale “dpcm decreto Monti” , assegnando compiti complementari a vari attori istituzionali (presidente del consiglio dei ministri, dipartimento delle informazioni per la sicurezza e nucleo per la sicurezza cibernetica)
- nel 2017 ci fu il dpcm Gentiloni che delineò gli assetti organizzativi dell’architettura naizoale di cybersecurity, creando una nuova strategia nazionale con l’adozione del nuovo piano nazionale (dpcm monti aggiornato)
- 2018 decreto legislativo NIS: con questo l’italia ha recepito questa direttiva che ha rafforzato il quadro normativo in materia di cyber security attraverso l’istituzione del perimetro di sicurezza cibernetica.
- 2019 decreto per garantire un elevate livello di sicurezza dei sistemi, delle reti e dei servizi informatici delle pubbliche amministrazioni e degli enti sia pubblici che privati
- 2021 decreto legge 82: si rafforzano le misure a tutela della sicurezza con l'istituzione dell ACN che ha assunto la responsabilità di tutelare la sicurezza nazionale,
disponendo di funzioni di coordinamento tra le diverse autorità competenti del settore con lo scopo di creare una strategia nazionale.
VIDEO LEZIONE 7
I cyber crimes e le minacce informatiche
Visione video: Beyond The known CYBERSECURITY: IL LATO OSCURO DELL’INTERNET DELLE COSE | Corrado Giustozzi | TEDxCNR
Trascrizione video: “6 mesi fa, all'inizio dell'anno, a uno dei più famosi e quotati ospedali americani succede questo: un piccolo messaggio sul loro sito web che dice: Abbiamo un problema, abbiamo un virus e non siamo più in grado di fornire una serie di servizi Scusateci. Non era un virus e non è un caso isolato. Pochi giorni dopo in un altro ospedale succede questo, allora è andato peggio hanno pagato 17.000 per avere di nuovo i propri sistemi in funzione; qualche giorno dopo è successo questo e due settimane fa è successo questo. Che sta succedendo? qualcuno inizia a chiederselo, articoli scientifici che iniziano a domandarsi su questa epidemia di attacchi agli ospedali; alcune riviste mainstream che se ne accorgono e addirittura il meet il Massachusetts Institute of Technology che fa uno studio scientifico sull'aumento rischio dei pazienti negli Ospedali a causa degli attacchi di ransomware, con la minaccia tramite la quale criminali bloccano i sistemi a un'organizzazione e chiedono il riscatto. Nel caso degli ospedali questo può voler dire la vita dei pazienti. Non è il solo caso, forse vi ricorderete un anno e mezzo fa circa, la Chrysler ha dovuto richiamare circa un milione e mezzo di veicoli perché si era scoperto che era possibile, da remoto, via cellulare o poi vedremo, intervenire per esempio sui freni e far frenare la macchina contro la volontà del guidatore. Ancora non è soltanto le macchine perché notizie, anche queste abbastanza recenti, le porte delle nostre case quelle intelligenti che si aprono con lo smartphone i sistemi di riscaldamento delle nostre case gli elettrodomestici Smart. La Samsung ha mandato in giro un comunicato a propri utenti dicendo, di fronte agli Smart TV quelli con la telecamera che riconoscono i volti e i gesti, non parlate di cose riservate perché non è detto che rimangono riservate, qualcuno potrebbe sentire quello che state dicendo i frigoriferi che mandano le mail e attenzione le telecamere di sorveglianza quelle con cui ci accertiamo che le nostre case non abbiano ospiti indesiderati che sono state usate per spiare nelle case degli altri 73.000 webcam a disposizione con un motore di ricerca come Google, potete andare a vedere nelle case della gente. Che sta succedendo? Ecco il mio mestiere è occuparmi di sicurezza dei sistemi delle organizzazioni, lo faccio da prima che ci fosse internet. Sicurezza significa protezione contro chi ci vuole male, già, perché qualcuno che ci vuole male c'è sempre e c'è anche adesso. Adesso vi racconterò chi è che ci vuole male, quali sono i problemi di questo meraviglioso rutilante mondo dell'internet delle cose, gli oggetti intelligenti connessi fra di loro e connessi alla rete oggetti lampadine, frigoriferi, forni a microonde, automobili, sistemi di controllo dei treni sistemi di controllo delle centrali di energia… Tutto quanto si parla… bello sicuramente bello applicazioni fantastiche, ma un piccolo lato oscuro, anche perché fra questi oggetti che si parlano. C'è qualcosa di delicato su oggetti che trasmettono dati sulla nostra salute.
attenzione tutti gli oggetti sono vulnerabili a qualcosa che può entrare da fuori e siccome gli oggetti sono connessi tutti con tutti si aprono un sacco di rischi, perché purtroppo il male esiste, i cattivi ci sono non questi, attenzione questo è nell'immaginario collettivo gli hacker, No anonymus non sono loro necessariamente cattivi. I cattivi sono altri, anche se fa comodo dare agli hacker la colpa di un sacco di cose che succedono. Avrete visto sicuramente nei giorni scorsi dare la colpa agli hacker russi di un sacco di brutte cose che stanno succedendo, ma questa è politica, questa è propaganda. Non importa, il problema è che ci sono dei cattivi veri, la criminalità. La criminalità organizzata, che è sempre brava, è sempre un passo avanti, perché studiano perché si organizzano, perché fanno soldi, ha già imparato a fare ricatti, bloccare i computer delle aziende chiedendo soldi in riscatto, ma ci sono altri cattivi, che ci preoccupano ancora di più. Prima dell'11 settembre, nessuno avrebbe potuto pensare che qualcuno avrebbe preso due aeroplani pieni di gente li avrebbe tirati su dei palazzi di civile abitazione. E’ successo, il mondo è cambiato. Adesso dobbiamo ragionare. Purtroppo chi fa il mio mestiere deve occuparsi di cose brutte e tristi, ma non possiamo fare finta che non ci siano. Ragionare anche su che succede se questi signori capiscono che se si fa terrore, non soltanto entrando in un ristorante o in una discoteca e sparando col kalashnikov alla gente, ma spegnendo i pacemaker delle persone che stanno al cinema o al Giubileo o in metropolitana? Attenzione, il problema è un po' ovviamente dei progettisti, di chi decide. Vi ricorderete questo caso: l'aero German Wings: il pilota in crisi depressiva che decide di suicidarsi e con l'occasione uccide tutti i passeggeri del volo presentandosi su una montagna. Sfruttando l’ironia della sorte, un meccanismo di sicurezza, quello che avrebbe impedito a un terrorista di entrare nella cabina di comando di pilotaggio per dirottare l'aereo, una porta blindata, la cui apertura avviene solo ed esclusivamente dall'interno. Peccato, che in quel momento all'interno c'era solo lui. Ecco in seguito a questo incidente e agli studi che sono stati fatti per evitare cose del genere in futuro, qualcuno ha avuto la brillante pensata di dire: bene, dotiamo gli aerei di un sistema di telecomando telecontrollo in modo che, se il pilota impazzisce, da terra qualcuno può prendere il controllo dell'aereo e farlo atterrare. Ecco, questa cosa mi fa venire la pelle d'oca: apriamo tutti gli aerei del mondo alla possibilità di essere telecomandati da qualcuno che non è il pilota. Vi rendete conto che è una follia vero? Ma perché? Cominciate a pensare come gli ingegneri giapponesi, quello che ha pensato questa cosa è un ingegnere uruguaiano che non pensa che ci siano i cattivi, che non pensa che ci siano terremoti. Purtroppo queste cose succedono quotidianamente e tecnologie belle, furbe, intelligenti, vengono adoperate nel modo sbagliato per ingenuità del progettista che non conosce i rischi, ma non possiamo imparare dai nostri errori, perché qui ci facciamo male. Dobbiamo imparare dagli errori fatti in altri settori in anni precedenti. Che cosa significa? Certamente non questo, questi sono gli Amish, una popolazione felice e tranquilla che ha rifiutato la tecnologia. Usano i Calessi, riscaldano le cose col fuoco, vivono benissimo. No, non è questo il modo giusto. La tecnologia è utile, serve, è importante. Internet delle cose è straordinariamente importante per la crescita sociale, va adoperato bene. I progettisti devono fare il loro mestiere informandosi magari un po' di più di che cosa noi miseri informatici abbiamo imparato in tanti anni di combattimento contro i criminali… eccetera. Ma anche voi potete fare la differenza, perché la principale misura di difesa è il comportamento corretto, è la consapevolezza. E’ bello attaccare il forno microonde a internet così manda le mail al supermercato e compra le cose necessarie per
fare la ricetta… Poi magari lo controllo da remoto col telefonino, con lo stesso telefonino con cui controllo il mio conto in banca, oppure qualche altra cosa o guardo lo stato delle mie analisi. Ecco, no, non va bene. Utilizziamo un pochino più di buon senso, così come nessuno lascia casa aperta perché sa che ci sono i ladri, o nessuno guida come un pazzo solo perché in macchina c'è l'ABS, la prima misura di difesa siamo noi, col nostro comportamento, con la nostra consapevolezza. Quindi se volete attaccare il telefonino al forno microonde… fatelo, ma prima pensateci e domandatevi: è davvero una buona idea?”
L’esperto ha fatto una panoramica delle situazioni di vita quotidiana in cui utilizziamo dispositivi. Cyber attacco: sfrutta qualsiasi forma di debolezza o vulnerabilità del sistema o infrastruttura tecnologica. Ci sono due tipi di attacchi:
- attacco tecnico: attacco fatto da un hacker informatico consapevole delle tecniche di insider e può compromettere un’infrastruttura
- social engineering: tipo di attacco che non si avvale di tecniche informatiche per essere condotto; consiste in un’interazione diretta tra individui, che è rivolta ad indurre la vittima ad infrangere le normali cautele, norme o procedure di sicurezza.
Lo stesso colosso di Google ha analizzato come gli stati nazionali ostili (culla dei principali hacker→ russia, cina e corea del nord) stiano sempre di più cooptando gruppi criminali informatici per portare avanti le proprie ambizioni politiche e geo economiche. Sono attacchi che mirano alla destabilizzazione economica e alle infrastrutture critiche di un paese (es. assistenza sanitaria).
Quali sono le contromisure che i governi devono attuare? Devono portare la criminalità informatica ad una priorità di sicurezza nazionale, emulando le migliori pratiche di sicurezza del settore privato. Si è approfondito e riscontrato, come la criminalità informatica rappresenta una seria minaccia per le infrastrutture critiche: Es. incidente all’hub di raffinazione di Amsterdam del 2022 o l'incursione al servizio di canalizzazione del gas in canada nel 2023. Sono situazioni alternative, ma con la stessa matrice che hanno portato i cittadini a non poter usufruire di servizi fondamentali. Si è messo in evidenza come un attacco ransomware fatto in un momento complicato. come una emergenza meteorologica, potrebbe raggiungere conseguenze devastanti.
Il report del 2024 di google ha visto, come nel settore sanitario ci sia stato un incremento di riscatti chiesti a vittime dopo episodi di estorsioni di dati sensibili, obbligando le vittime a pagare la somma per il riscatto. Nel 2024 ci sono stati vari attacchi alla sanità negli USA. Gli hacker si concentrano nei settori che pagano bene i riscatti. Gli attacchi che vengono analizzati dal report sono anche quelli per attaccare l'economia di uno stato. Nel 2022 Chavez, presidente del Costa Rica, ha dichiarato l’emergenza nazionale per attacchi ransomware verso agenzie governative costaricane. Questi attacchi portano a un grande impatto economico (anche ai contribuenti).
da un singolo individuo o organizzazioni strutturate che possiedono elevate conoscenze tecniche e che sono strutturati.
Tipologie di criminalità informatica: comprendono un’ampia gamma di attività dannose: frodi tramite email, furto d’identità, furto informatico -> acquisizione di dati informatici o pagamenti con carta; vendita di dati aziendali, estorsione di denaro per disinnescare un attacco preannunciato = se non mi dai i soldi rivelo le informazioni che ti possono danneggiare. Attacchi verso enti governativi o aziendali per rubare dati; violazioni del copyright; gioco d’azzardo illegale tramite piattaforme abusive; vendita online di prodotti illegali e pedopornografia. E’ un elenco aperto, perché le minacce sono in continua evoluzione.
Il crimine coinvolge una serie di elementi:
- Computer: un'attività criminale contro i computer utilizza virus e vari tipi di malware. Lo stesso cybercrimine però può essere un’attività criminale che si avvale della macchina per commettere reati. Quindi il computer diviene il protagonista dell’attività → strumento usato sia per commettere il crimine sia come oggetto del crimine informatico. (altro esempio: attacco DoS → interruzione di un servizio.). La maggior parte delle volte ci sono entrambi gli attacchi, ovvero alla macchina e attraverso la macchina
- Altro attacco: quando il computer viene usato come complice per commettere il crimine → si archiviano i dati rubati in un computer.
Esempi famosi di attacchi più frequenti:
- Assalto ransomware nel 2017 → Wanna Cry: si tiene in ostaggio i dati o il dispositivo della vittima chiedendo un riscatto. in questo caso il ransomware ha sfruttato una vulnerabilità di windows, colpendo più di 230000 pc in 250 paesi. Gli utenti non potevano accedere al pc se non pagando un riscatto in bitcoin. Questo ha causato perdite finanziarie per oltre 4 mln di dollari.
- Attacchi ransomware a doppia estorsione: forma molto più aggressiva perché i criminali informatici filtrano i dati della vittima e poi li criptano, chiedendo un riscatto per non pubblicarli.
VIDEO LEZIONE 9
Tipologie di hacker e motivazioni delle loro azioni informatiche Quando si parla di hacker non necessariamente si parla di attori criminali perché ci sono hacker con scopi leciti.
Hacker: soggetto che sfrutta la propria abilità per aggirare la sicurezza digitale ed accedere ad informazioni riservate. Sebbene nella maggior parte delle volte si parli di criminali, esistono diversi tipi di hacker e non tutti sono motivati da cattive intenzioni (esempio black hat, gray hat e white hat → motivazione legittima)
Chi sono gli hacker in generale? Sono dei ladri digitali, ladri che sfruttano le proprie competenze informatiche per accedere a spazi digitali riservati (reti, server, dispositivi personali, account e infrastrutture cloud). Usando metodi non standardizzati gli hacker sono mossi da intenzioni criminali ma una piccolissima percentuale mettono a disposizione le proprie capacità per un bene superiore. Un hacker si introduce nel computer altrui e si fa per rubare denaro, accedere a informazioni riservate o tenere in ostaggio file per la richiesta del riscatto. Altri operano alla luce del sole e vengono pagati per mettere alla prova e testare la sicurezza dei sistemi digitali (come dei collaudatori dei sistemi). Una minima parte di hacker invece è in una zona grigia, a metà tra hacking legale e illegale.
- White hat: hacker che si occupa di migliorare la sicurezza digitale. Si infiltrano nei sistemi digitali per trovare vulnerabilità e correggerle. (es. una società di assicurazioni potrebbe ingaggiarlo per trovare problemi nei sistemi)
- Black hat: veri e propri criminali informatici che organizzano truffe e sfruttano le vulnerabilità con l’intento di causare danno. L’obiettivo è il profitto. Possono ricorrere a diverse modalità per raggiungere lo scopo, ma i più utilizzati sono: furto di denaro, decifrazione di password per accedere a informazioni che possono essere vendute per dark web o per riscatto. Molto raramente un hacker black hat ha un’interazione diretta con il soggetto colpito e può agire singolarmente o in gruppo (in gruppo = attacco su larga scala, es. aziende che trattano molti dati personali)
- Gray hat: si infiltrano nei sistemi (senza consenso), ma non sfruttano le vulnerabilità e informano le vittime per migliorare la loro sicurezza. Non sempre condividono le informazioni gratuitamente. Se la vittima non vuole pagare per avere consigli i gray hat non si vendicano. (non è molto etico anche se l’obiettivo può essere buono)
- Red hat: si considerano dei supereroi del mondo degli hacker e prendono di mira i black hat per fermarli o rivalersi su di loro. Anche se lo scopo è annientare i black hat, la metodologia usata non è lecita perché usano le stesse tecniche dei nemici. Possono porre in essere attacchi DoS su larga scala per distruggere i server dei black hat o prenderne le risorse per ridarle ai proprietari.
- Blue Hat: sono white hat che lavorano alle dipendenze di un’organizzazione. A differenza del white hat che opera per principi lodevoli, il blue hat garantisce la sicurezza informatica dell’organizzazione prevedendo gli attacchi. Sono team che operano spesso nei reparti di information technology delle grandi aziende o lavorano per agenzie di sicurezza informatica che vendono servizi di white hat ai clienti.
ATTORI/MINACCIA MOTIVAZIONI AZIONI
HACKER Sfida Hacking
