Quanto sono "critiche" le infrastrutture critiche?

Le infrastrutture critiche rappresentano la risorsa strategica di ogni Paese, dal momento che da esse dipende l'operatività di una nazione. Trasporti, energia, telecomunicazioni, servizi economici e finanziari: un attacco a queste infrastrutture, considerate le loro interconnessioni, potrebbe avere un impatto devastante. Ma chi sono gli attaccanti e quanti sono gli attacchi negli Stati Uniti?

Lo rileva l'ultimo rapporto (settembre 2014 – febbraio 2015) di ICS-CERT (Industrial Control Systems Cyber Emergency Response Team) del Dipartimento di Sicurezza Interna, l'organismo americano deputato a controllare e ridurre i rischi di attacco alle infrastrutture critiche. Dal rapporto (clicca qui per saperne di più) risulta che nella categoria di coloro che compiono attacchi alle infrastrutture critiche statunitensi rientrano hacker con eccellenti competenze informatiche. Il che non stupisce, considerato che spesso le tipologie di attacco sono così sofisticate (APT, Advanced Persistent Threats) da richiedere competenze ad hoc.

Continuando a leggere, una considerazione immediata riguarda l'interesse che suscitano le infrastrutture critiche agli occhi di numerosi soggetti criminali, seppur con interessi diversificati: hactivist, insider e criminali informatici. Questo significa però un'interconnessione tra aspetti di cybercrime e cybersecurity e ovviamente una maggiore complessità di analisi.

Riguardo invece al numero degli attacchi, risultano 245 quelli riferibili al 2014 che per fortuna non hanno prodotto "gravi" conseguenze. La maggior parte ha riguardato il settore energetico e quello di produzione di componenti per sistemi critici.

Che percentuale di attacchi "non rilevati" occorre invece considerare per avere stime realistiche del fenomeno? A causa della sofisticazione degli attacchi, infatti, la loro individuazione è piuttosto ritardata, se non assente.

Di certo occorre continuare nelle attività di monitoraggio, e a prevederle laddove non siano presenti. Il vero problema è che, dal momento che tutto è interconnesso, quali strutture possono effettivamente essere considerate "non critiche"?

Il nostro legislatore definisce critica quella "infrastruttura, ubicata in uno Stato membro dell'Unione europea, che è essenziale per il mantenimento delle funzioni vitali della società, della salute, della sicurezza e del benessere economico e sociale della popolazione ed il cui danneggiamento o la cui distruzione avrebbe un impatto significativo in quello Stato, a causa dell'impossibilità di mantenere tali funzioni" (d.lgs. 61/2011, art. 2).