Le notizie dei media sull’attacco informatico che ha costretto una centrale elettrica britannica fuori servizio per quattro giorni dovrebbero essere prese sul serio ben oltre i confini del Regno Unito. Ci dà un’idea di come potrebbe svilupparsi il conflitto iraniano e segnala ai governi e alle imprese di tutto il mondo che devono essere pronti per un nuovo campo di battaglia.
Secondo quanto riferito, la struttura presa di mira dagli hacker legati all’Iran era relativamente piccola e il governo britannico ha sottolineato che non vi erano rischi per il sistema energetico più ampio. Questo è un contesto importante, ma sarebbe un errore giudicare il significato di questo attacco esclusivamente dalla quantità di elettricità andata perduta. La domanda per ogni paese che gestisce infrastrutture critiche è cosa succede quando l’obiettivo è più grande.
Abbiamo già visto motivi di preoccupazione anche altrove. I sistemi idrici e delle acque reflue in almeno 12 stati degli Stati Uniti hanno recentemente segnalato attacchi informatici. Solo nel Minnesota sono stati colpiti più di 30 sistemi idrici comunitari. In Georgia, un incidente ha causato un calo della pressione dell’acqua e ha portato ad un avviso di bollitura dell’acqua.
Il governo degli Stati Uniti non ha accusato pubblicamente l’Iran degli attacchi, ma i rapporti indicano un gruppo di hacker legato al Corpo delle Guardie della Rivoluzione Islamica (IRGC). Questi incidenti segnano un cambiamento importante nella sicurezza informatica.
Per anni, gran parte del dibattito pubblico sulle minacce informatiche si è concentrato sui dati. La gente capiva che gli hacker potevano rubare password, svuotare conti bancari, divulgare informazioni personali o bloccare l’accesso di un’azienda al suo sistema informatico. Le infrastrutture critiche creano un rischio molto diverso perché i sistemi attaccati controllano parti del mondo fisico.
Affinché le società funzionino, l’elettricità deve essere generata e distribuita, l’acqua deve essere pompata e trattata, le reti di trasporto devono funzionare e le telecomunicazioni devono rimanere online. Alla base di tutti questi sistemi c’è sempre più la tecnologia.
Questa tecnologia crea enormi efficienze, ma crea anche opportunità per gli aggressori. Negli Stati Uniti, le autorità hanno specificamente messo in guardia contro attori affiliati all’Iran che prendono di mira i controllori logici programmabili connessi a Internet, la tecnologia industriale utilizzata per controllare apparecchiature e processi fisici. Le agenzie statunitensi hanno identificato attività nei settori dell’acqua, dell’energia e dei servizi governativi, compresi tentativi che hanno provocato interruzioni operative.
Questa è la parte del conflitto iraniano che i paesi ben oltre il Medio Oriente devono prendere in considerazione. La geografia offre molta meno protezione nella guerra informatica.
Non è necessario che un’organizzazione sia a Teheran o a Tel Aviv per ritrovarsi coinvolta nel conflitto. Le infrastrutture a migliaia di chilometri di distanza possono diventare un bersaglio a causa del Paese in cui operano, della tecnologia che utilizzano, dei suoi fornitori o semplicemente perché un utente malintenzionato vede un’opportunità per causare disagi.
Dovremmo anche stare attenti a non dare per scontato che l’obiettivo di ogni attacco sia un danno catastrofico. Un utente malintenzionato potrebbe volere intelligence, interruzioni, pubblicità o leva finanziaria. Potrebbero semplicemente voler dimostrare che possono entrare.
Ciò rende importanti gli incidenti più piccoli. Se un utente malintenzionato compromette una struttura relativamente minore, le conseguenze immediate potrebbero essere limitate, ma l’accesso stesso può dirci qualcosa sulle capacità e sulle intenzioni.
C’è un altro problema che i governi non possono permettersi di ignorare: le infrastrutture critiche non operano in perfetto isolamento.
L’energia sostiene le comunicazioni, i trasporti, la sanità, la finanza e l’industria. Le comunicazioni sono alla base dei pagamenti e dei servizi di emergenza. I sistemi idrici necessitano di energia e controlli digitali. Un attacco riuscito non deve necessariamente far crollare un intero sistema nazionale per creare gravi conseguenze se lo sconvolgimento inizia a diffondersi attraverso organizzazioni che dipendono l’una dall’altra.
Questo è il motivo per cui la resilienza ora conta tanto quanto la difesa.
C’è una pericolosa tentazione nel campo della sicurezza informatica di costruire strategie per impedire agli aggressori di entrare. La prevenzione resta essenziale, ma nessun governo o azienda può ragionevolmente partire dal presupposto che ogni attacco verrà fermato.
Gli operatori devono sapere cosa succede dopo che qualcuno passa. I servizi essenziali possono continuare? I sistemi possono essere isolati? Sono disponibili controlli manuali ove appropriato? In quanto tempo è possibile ripristinare le operazioni? Le organizzazioni comprendono da quali fornitori e sistemi connessi dipendono?
L’FBI ha già consigliato ai servizi idrici statunitensi interessati di esercitarsi su come ritornare ai controlli manuali se i sistemi automatizzati fossero compromessi. Questo è un consiglio rivelatore perché riconosce la realtà che devono affrontare gli operatori delle infrastrutture critiche: la resilienza agli attacchi informatici deve in definitiva includere la capacità di mantenere il mondo fisico in funzione quando la tecnologia fallisce.
I governi e gli operatori dovrebbero ora rivedere la loro esposizione, in particolare laddove la tecnologia operativa è accessibile da Internet, controllando la sicurezza dei fornitori e preparandosi alla possibilità che un aggressore abbia successo nonostante le loro difese.
La scomoda lezione delle ultime settimane è che la sicurezza informatica sta diventando molto più che una semplice protezione delle informazioni. Quando gli attacchi informatici possono interferire con l’elettricità e l’acqua, la sicurezza informatica diventa parte della protezione dei sistemi vitali che garantiscono il funzionamento delle società.
Dovremmo prepararci su questa base adesso, perché scoprire i punti deboli delle infrastrutture critiche durante un attacco grave sarebbe troppo tardi.
Le opinioni espresse in questo articolo appartengono all’autore e non riflettono necessariamente la posizione editoriale di Oltre La Linea.
