“Il mondo IoT non è semplice da proteggere, è necessaria una maggiore consapevolezza da parte dei produttori. Si tratta di dispositivi interconnessi e che si collegano automaticamente a Internet. Va utilizzato un concetto di security by design, perché se non pensi l’infrastruttura fin dal suo disegno primordiale in termini di sicurezza il problema si presenterà automaticamente. E’ quello che è successo nel 2016 con la botnet Mirai, che ha avuto recrudescenze anche nel 2017 e all’inizio di quest’anno. Non è un prodotto per l’utente finale che risolve il problema. Noi abbiamo interazioni con i produttori e già da 15 anni è partito lo sviluppo del KasperskyOS, un sistema operativo security oriented, che per la prima volta è stato utilizzato da un’azienda che produce switch per il mondo industriale”. Lo dice in un’intervista a CorCom Fabio Sammartino, a capo del presales di Kaspersky Lab Italia.
Sammartino, nella prospettiva di un ambito destinato a esplodere, i vendor si stanno attrezzando per fare in modo che non siano proprio i problemi di sicurezza a frenare il mercato?
Le aziende sono molto consapevoli del problema. L’industrial IoT è un tema attuale, ma in pochi hanno iniziato a fare qualcosa. In Italia c’è tanta consapevolezza, e quest’anno è stato cruciale, con un cambio di passo anche nel mondo istituzionale. Gli incentivi per l’Industria 4.0 sono orientati anche alla messa in sicurezza dell’industria, ed è un passo significativo, perché vuol dire che si inizia a ragionare anche sui budget. Ma il mondo dell’industrial cambia molto lentamente, a differenza ad esempio del finance, dove c’è una maturità maggiore dovuta al fatto che sono stati tra i primi verticali a subire attacchi, e quindi i primi a reagire. Oggi il mondo industriale è già sotto attacco, come dimostrano gli incidenti degli ultimi tre anni, e quindi l’attitudine al cambiamento ha bisogno di uno scatto.
Come si fa a proteggere sistemi, come quelli dell’industria, dove almeno una parte del parco macchine è datata?
La prima cosa da fare è un assessment di sicurezza. Il mondo OT è orientato alla produzione, tutto deve funzionare in maniera fluida e senza interruzioni di servizio, e questo a volte va a discapito della sicurezza. L’importante è iniziare partendo da un punto. Nel framework che noi proponiamo, e che è abbastanza condiviso, ci sono quattro livelli per affrontare la cybersecurity: la predizione, la prevenzione, il rilevamento e la risposta. Se non si fa niente si partirà prima o poi dalla risposta. Se invece si vuole anticipare un po’ le aree su cui concentrarsi, ci si concentra su predizione e prevenzione. Vuol dire capire quali sono i punti più vulnerabili e focalizzare gli investimenti su quelli, in maniera oculata. Non c’è un silver bullet, la cybersecurity è e va gestita come un processo continuo.
Che ruolo ha la formazione, la consapevolezza del personale?
E’ fondamentale. La cybersecurity awareness va adattata alle competenze dei diversi operatori. Nel mondo OT ci sono molte misconception, tante false credenze, la prima delle quali è che se installo un anti-malware nella macchina dell’impianto posso creare un problema. In realtà tutto dipende da che tipo di soluzione si decide di installare, che dovrà essere pensata per il mondo industriale. Inoltre la consapevolezza va gestita su più livelli. Il più basso è quello dell’operatore dell’impianto, che deve sapere – ad esempio – che non si può utilizzare il computer aziendale in modo improprio o per fini personali. Poi c’è il top management: chi decide le strategie di investimento deve essere consapevole dei rischi e sapere che se non spenderà nulla in cybersecurity, o se lo farà male, poi si troverà ad affrontare grandi problemi. Noi abbiamo diverse soluzioni, che includono anche la gamification: si simula la gestione di un impianto e si chiede ai partecipanti alla sessione di formazione di analizzare gli scenari e pianificare gli investimenti: questo ci aiuta a dimostrare e far capire qual è l’impatto di un investimento corretto o sbagliato sulla cybersecurity in termini di produttività.
Aiuta il Gdpr e la presenza di un data protection officer all’interno di un’azienda?
Il Dpo ha lo scopo di far applicare correttamente la normativa, e sicuramente è utile per aumentare la consapevolezza. Non è un riferimento diretto per la cybersecurity, ma può invece avere un ruolo nel campo della formazione. Fare awareness significa prendersi cura della formazione dei propri dipendenti in maniera coordinata e ciclica, con aggiornamenti costanti, perché cambiano le normative e cambiano le tecnologie. In Italia in generale l’awareness c’è, molte aziende si stanno muovendo nella giusta direzione. Anche se il problema rimane quello delle VSB, le aziende Very Small, dove l’esigenza ha cominciato a farsi sentire soltanto in tempi più recenti.
Parlando di banche e fintech emerge il tema della sicurezza mobile. A che punto siamo?
Ormai quasi l’80% del malware per dispositivi mobili riguarda il settore bancario. Dal punto di vista bancario-finanziario si tende a indurre gli utenti – ed è un trend mondiale – a utilizzare i dispositivi mobili, e sempre meno si fa home banking da computer o laptop. Per la sicurezza si utilizzano diversi strumenti e a più livelli. Il primo è l’autenticazione, cioè la riconoscibilità di chi sta facendo l’operazione. Il secondo è l’analisi del rischio, cioè capire attraverso una profilazione dell’utente e di come gestisce il dispositivo che le operazioni siano coerenti, associando a un’analisi del rischio della transazione anche un’analisi del rischio comportamentale. In questo campo Kaspersky Fraud Prevention si integra con l’applicazione dell’home banking e aiuta la banca a gestire l’autenticazione e a migliorare la strong authentication. è una soluzione che si installa nell’applicazione ma ha anche una componente cloud per il rilevamento degli attacchi più complessi. Se vengono sottratte le credenziali di accesso a un utente, ad esempio, nel cosiddetto “account takeover”, il sistema potrà verificare se l’accesso viene effettuato da aree geografiche diverse da quelle abituali, componendo un profilo del rischio identificabile e segnalando in tempo reale alla banca le attività sospette, con la possibilità di bloccare l’accesso agli account.
Qual è l’importanza del machine learning e dell’intelligenza artificiale nella protezione degli endpoint?
Il livello di trasparenza della soluzione nei confronti di chi la gestisce e di chi la utilizza deve essere il più alto possibile. Quello che cerca l’IT manager è una soluzione che sia estremamente efficace, facile da gestire e il più leggera possibile. Mentre per l’utente finale la soluzione anti-malware dovrebbe essere totalmente invisibile. In questo quadro una capacità di detection avanzata attraverso strumenti complessi, come quello del machine learning, è fondamentale, perché permette di proteggere da minacce che cambiano e crescono sempre più rapidamente. Questo si spiega con il fatto che il ransomware è una minaccia semplice da progettare e da modificare, che ormai viene venduta in modalità as-a-service nel dark web. Se non si utilizza un’analisi comportamentale, uno strumento che sia in grado di riconoscere pattern comportamentali, è impossibile difendersi da questi attacchi. Kaspersky Endpoint Security for Business riesce bene grazie a questo tipo di approccio e al fatto che abbiamo una cyberintelligence globale, un sistema di reputazione delle informazioni basato su tutti i computer nel mondo che partecipano al KSN – Kaspersky Security Network, e che contribuiscono alla raccolta delle informazioni dando agli utenti la capacità di identificare e bloccare le nuove minacce non appena si presentano.
