La difesa resiliente per reagire agli attacchi

Nell’era dell’Industrial Internet of Things (IIoT), la trasformazione digitale e la conseguente interconnessione degli oggetti hanno permesso lo sviluppo di nuovi ecosistemi industriali Internet-based, volti al miglioramento delle performance di business, in termini di efficienza e flessibilità. In particolare, i vantaggi riscontrati in tali ecosistemi sono molteplici, tra cui il miglioramento dello scambio di informazioni lungo l’intera catena di fornitura, la gestione ottimale delle prestazioni e il miglioramento della qualità dei prodotti e del livello di servizio offerto ai clienti. Tuttavia, questi stessi ecosistemi si sono dimostrati vulnerabili a un numero crescente di cyber attacchi sempre più sofisticati (Accenture, 2021), che hanno messo in evidenza la presenza di infrastrutture tecnologiche obsolete e l’utilizzo di misure di cybersecurity non adeguate. I danni economici derivanti dal successo di un attacco cyber contro i sistemi industriali possono dipendere da uno o più dei seguenti fattori (Carías et al., 2019): danno di immagine e perdita di fiducia da parte dei clienti; interruzione della produzione o dell’erogazione dei servizi; perdita di proprietà intellettuale; sanzioni e obblighi di risarcimento contrattuali. In tale panorama industriale, risulta centrale il concetto di cyber resilienza, che risponde alla necessità di sviluppare un sistema industriale con un elevato livello di robustezza, in grado di difendersi adeguatamente dalle interruzioni causate dai cyber attacchi, garantendo la continuità del servizio e il supporto alle infrastrutture critiche danneggiate. Tuttavia, la cyber resilienza non può essere raggiunta solo attraverso l’utilizzo di adeguati strumenti tecnologici di sicurezza, ma anche grazie al radicamento in azienda di opportune pratiche, ovvero di un’elevata consapevolezza dei dipendenti rispetto alle problematiche di cybersecurity. Valutare la cyber resilienza di un’organizzazione può fornire informazioni significative sulle performance di business, sul livello di cybersecurity, nonché sui rischi a cui la stessa organizzazione è maggiormente esposta, abilitando un’efficace gestione dei processi aziendali. In particolare, l’applicazione delle giuste metriche consente alle aziende di analizzare quantitativamente le capacità e le vulnerabilità dei propri sistemi (Clédel et al., 2020), supportando i progettisti, gli analisti e i decision maker nella valutazione complessiva della resilienza, nonché nella selezione delle migliori strategie di mitigazione del rischio cyber.

Le diverse definizioni di cyber resilienza

In letteratura, esiste un elevato numero di definizioni associate al concetto di resilienza, mentre si fa esplicito riferimento al concetto di cyber resilienza solo in pochi casi. In particolare, le due definizioni più frequentemente citate sono quelle fornite dalla Presidential policy directive (Ppd) sulla Sicurezza e resilienza delle infrastrutture critiche e dalla National academy of sciences (Nas). La Ppd la definisce come “la capacità di prepararsi e adattarsi a condizioni mutevoli e di resistere e riprendersi rapidamente dalle interruzioni” (Presidential policy directive, 2013); in questo caso, si specifica che la resilienza fa riferimento alla capacità di resistere e riprendersi da attacchi intenzionali, accidentali o da minacce o eventi naturali. Invece, la Nas la definisce come “la capacità di prepararsi e pianificare, assorbire, riprendersi o, più in generale, adattarsi completamente a eventi avversi, reali o potenziali” (National academy of sciences, 2012). Tra le definizioni di cyber resilienza, si riporta quella di Rahiminejad et al. (2022), che la descrive come “la capacità di un sistema di recuperare o rigenerare una determinata performance dopo che un cyber attacco ha prodotto una certa degradazione”. In generale, dall’analisi delle parole chiave emerse dalle definizioni presenti in letteratura, risulta che il concetto di cyber resilienza si caratterizza di due principali aspetti: la presenza di eventi che mettono in difficoltà il sistema e ne influenzano le prestazioni; un certo numero di proprietà che un sistema deve possedere per essere considerato resiliente. Il primo aspetto risponde alla domanda “cosa può influenzare le normali condizioni operative del sistema?”; mentre il secondo aspetto risponde alla domanda “cosa dovrebbe fare un sistema per essere resiliente?”. Le normali condizioni operative possono essere influenzate da una serie di circostanze ed eventi avversi, che sono generalmente indicati come disturbi, pericoli o minacce (Ross et al., 2016). Sebbene in letteratura si utilizzino diversi termini per indicare gli eventi che possono influenzare le prestazioni del sistema (come, per esempio, eventi o condizioni avverse, attacchi e incidenti), solo alcuni di essi (ovvero, attacchi malevoli, eventi cyber e cyber attacchi) fanno esplicito riferimento al dominio di cybersecurity. D’altra parte, con il termine “proprietà del sistema” si intende definire le caratteristiche che un sistema deve possedere per essere considerato resiliente nel dominio della cybersecurity. A tal fine, in letteratura è emerso un elevato numero di termini associati alla resilienza di un sistema, tra cui: assorbire, riconfigurare, adattare e resistere. Tutti questi termini possono essere categorizzati nei seguenti quattro macro-obiettivi, definiti nel Cyber resiliency engineering framework del Mitre (Bodeau et al., 2015): anticipare, che consiste nell’avere consapevolezza delle possibili situazioni avverse; resistere, ovvero continuare a svolgere le funzioni essenziali di mission/business nonostante le avversità; recuperare, ovvero ripristinare queste funzioni di sia durante sia dopo il verificarsi di situazioni avverse; evolvere, che consiste nell’adattare le funzioni di mission/business e/o le funzionalità del sistema a supporto dei cambiamenti attesi nell’ambiente tecnico, operativo o di minaccia. Affinché un sistema possa essere considerato cyber resiliente, non è sufficiente che esso raggiunga uno degli obiettivi qui elencati, ma piuttosto una loro adeguata combinazione. Infatti, per mettere in atto una buona strategia di cybersecurity, i sistemi dovrebbero essere in grado non solo di resistere agli attacchi informatici e recuperare le loro normarli funzioni una volta che l’attacco è stato perpetrato, ma anche di anticipare il verificarsi di possibili situazioni avverse, avendo consapevolezza dei pericoli e, in caso di attacco, evolvere, adattando le proprie funzioni ai cambiamenti generati a livello tecnico e operativo.