Un calo di consapevolezza e di impegno a livello globale. Li inquadra così, Symantec, i risultati emersi dalla Critical Infrastructure Protection (CIP) survey 2011, ricerca condotta fra agosto e settembre su poco meno di 3.500 aziende provenienti di 37 Paesi, Italia inclusa.
E il dato, di per sé certo non incoraggiante quando si parla di sicurezza informatica, è presto spiegato: le aziende intervistate quest’anno hanno evidenziato un indice di partecipazione CIP (il risultato di un insieme di domande che misura quanto le aziende sono impegnate con i programmi di protezione delle infrastrutture critiche del settore pubblico) del pari all’82%, 18 punti in meno rispetto a quello registrato nel 2010, anno in cui hanno preso il via le rilevazioni.
L’assunto, prima di entrare nei dettagli del rapporto, può essere il seguente: le infrastrutture critiche (e cioè quei sistemi che se resi in operativi o distrutti provocherebbero un effetto debilitante sulla sicurezza anche economica di un intero Paese) restano un bersaglio mirato degli attacchi di hacker e cyber criminali ma il livello di guardia dei soggetti deputati a proteggerle è venuto meno. E l’indagine lo dice con chiarezza. Negli ultimi cinque anni tali infrastrutture hanno subito ciascuno in media almeno sei attacchi volti a sottrarre file con informazioni e dati sensibili o ad alterare o distruggere tali documenti.
La ricerca di Symantec, giunta al secondo anno, è il risultato di una ricerca condotta per esaminare la consapevolezza, l’impegno e la preparazione per quanto riguarda i programmi di Critical Infrastructure Protection del settore pubblico. In particolare va ad esaminare il livello di impegno dei fornitori di infrastrutture critiche nell’ambito dei piani CIP della PA, il livello di consapevolezza delle minacce e il livello di preparazione dei fornitori stessi.
Lo scorso anno, come detto, la ricerca ha rilevato un alto livello di impegno, di percezione delle minacce e di preparazione dei fornitori di infrastrutture critiche. In generale, si legge nella nota che accompagna il rapporto, le aziende sono nel 2011 meno consapevoli dei programmi CIP del settore pubblico. Il 36% degli intervistati (il 33% in Italia) ha dichiarato di essere abbastanza o completamente consapevole dei piani della PA per le infrastrutture critiche in discussione nel loro Paese e il dato si confronta al 55% dello scorso anno.
Nel 2011, inoltre, il 37% delle aziende intervistate (il 35% in Italia) ha affermato di essere completamente o significativamente impegnato, contro il 56% del 2010. Meno attenzione, meno partecipazione, meno consapevolezza, meno preparazione: da qui l’inevitabile calo del livello di percezione delle minacce e l’aumento dei rischi legati agli attacchi fraudolenti.
Una situazione che fa a pugni con il credo (a parole di tutti condiviso) di mantenere sempre e comunque la sicurezza fra le priorità e che mette oltre modo a repentaglio la solidità delle aziende colpite. Il 34% del campione oggetto di indagine stima infatti che gli attacchi destinati a distruggere i documenti sensibili siano stati alquanto o estremamente efficaci mentre il 28% rileva essere in continua crescita frequenza degli stessi. Il cui costo, in media, è stato di 10mila dollari negli ultimi cinque anni.
Assai condivisibile, alla luce di quanto sopra esposto, è quindi l’opinione espressa da Dean Turner, Director Global Intelligence Network di Symantec, secondo cui “i risultati di questo studio sono un pò allarmanti” anche alla luce dei recenti attacchi come Nitro e Duqu che hanno preso di mira i fornitori di infrastrutture critiche. “La presenza di manodopera e risorse limitate – questo l’appunto del manager - aiuta a spiegare perché i fornitori di infrastrutture critiche hanno dovuto dare la priorità e concentrare i loro sforzi alle minacce informatiche più su base quotidiana.
Gli attacchi mirati contro i fornitori di infrastrutture critiche sono probabilmente solo l’inizio di azioni più mirate e continueranno anche in futuro, per questo aziende e governi di tutto il mondo dovrebbero adottare una politica molto aggressiva negli sforzi per promuovere e coordinare la protezione delle reti informatiche dei settori critici”. Il che, in un concetto, significa secondo Symantec garantire sempre e comunque la resilienza dei dati di tali infrastrutture.
