OAI fornisce un quadro d’insieme dell’andamento degli attacchi informatici in Italia ai sistemi informatici di ogni dimensione e settore merceologico, Pubbliche Amministrazioni incluse . E’ in corso, via web, l’indagine sull’anno 2014 con la raccolta dei questionari compilati on line da parte di un sottoinsieme di quanti sono venuti a conoscenza (via e-mail, via siti web, via social network) dell’indirizzo del questionario, riportato in fondo all’articolo.
L’OAI 2014 costituisce la quinta edizione annuale dell’iniziativa. Basandosi su libere ed anonime risposte sul web non ha e non può avere una valenza statistica, ma fornisce precise e preziose indicazioni sul fenomeno attacchi informatici intenzionali in Italia. Che cosa ci dice l’Osservatorio? Innanzitutto, occorre tener conto del panel dei rispondenti, totalmente e volutamente anonimi, che emerge negli anni con sue proprie caratteristiche sempre analoghe: ben rappresentata l’industria, soprattutto medio grande, bene anche i servizi, meno la pubblica amministrazione soprattutto locale. Ciò premesso, le indicazioni sono interessanti, sia sulle dotazioni e sulle soluzioni tecnologiche e gestionali dei servizi Ict adottati, sia quelle organizzative, che incidono, come dice giustamente il curatore Marco Bozzetti, in modo decisivo sulla sicurezza complessiva delle risorse e dei processi.
Tra coloro che hanno risposto al questionario, il 40% circa dichiara di aver subito uno o più attacchi, le cui caratteristiche sono rappresentate in questo grafico.
Interessante evidenziare che, confrontando le varie edizioni (sempre come trend, non a livello statistico), emerge:
a) che la media di chi ha subito un attacco, nel campione dei rispondenti (sempre diverso e sconosciuto), rimane negli anni sempre sul 40%; questo dato è allineato con quanto stimato da alcuni rapporti internazionali, ed è ragionevole data la stragrande maggioranza di piccole e piccolissime imprese in Italia , che sicuramente non destano l’interesse della cyber criminalità internazionale;
b) che in tutte le edizioni di Oai ai primi quattro posti sono sempre risultati come attacchi più diffusi il malware, il social engineering, il furto dei dispositivi (soprattutto mobili) e la saturazione delle risorse; ed anche questa indicazione conferma il precedente punto a).
Le forme più diffuse di attacco sono quindi: malware -virus, trojan horses, rootkit-, social engineering -incluso il phishing- , furto dei dispositivi soprattutto portatili, saturazione delle risorse -DoS, DdoS-, sfruttamento di vulnerabilità -back door aperte, SQL injection-.
Il Rapporto si conclude con alcune osservazioni sulle criticità che emergono dai questionari:
1. scarsa diffusione dell’analisi del rischio informatico;
2. scarsa propensione ad assicurare il rischio informatico;
3. limitata capacità di analisi del danno economico subito a causa dell’attacco;
4. scarsa distinzione dei ruoli e delle responsabilità nell’ambito delle funzioni Ict, per evidenziare quelle relative alla cybersecurity;
5. mancata attuazione delle prove dei piani di emergenza e di disaster recovery.
Già queste indicazioni forniscono linee guida di intervento delle organizzazioni, ormai anche medie e piccole, per proteggere i dati e la loro sicurezza, la qualità dei servizi e la loro continuità.
La qualificazione della domanda di servizi Ict, con la richiesta delle procedure ItilL e Cobit e degli standard Iso 27000 darebbe un contributo a migliorare le performance sistemiche degli apparati e dei servizi Ict, in particolare nelle pubbliche amministrazioni e nelle Pmi.
Oai evidenzia che per ora tali best practice e standard sono conosciuti, e nel tempo, con la consapevolezza, aumenterà la richiesta di certificazioni per il personale interno, e soprattutto, per i Fornitori.
Infine, occorre diffondere la consapevolezza che sono i comportamenti sul lavoro, dall’etica agli assetti organizzativi, a determinare il successo delle pratiche e il pieno utilizzo delle tecnologie messe in atto per la protezione dei dati e dei servizi on line.
Promosso da sponsor e patrocinatori, l’Osservatorio si svolge con la collaborazione della Polizia Postale e delle Comunicazioni e sotto l’egida dell’Associazione Italiana Professionisti della Sicurezza Digitale – Aipsi.
Un invito: è bene rispondere al questionario, totalmente anonimo e l’unico con questa copertura del fenomeno, sia sotto il profilo settoriale sia delle informazioni raccolte. Ecco il link: http://www.malaboadvisoring.it/index.php?option=com_content&view=article&id=63&Itemid=79
