La digitalizzazione è diventata oggi un elemento pervasivo sia della vita professionale sia di quella privata. Parallelamente però, sono aumentati in modo esponenziale gli attacchi informatici, anche verso le aziende. Antonio Foggia, cybersecurity manager di EP Produzione, esamina lo scenario del settore energetico dal punto di vista informatico e racconta come l’azienda si difende dagli attacchi informatici, anche grazie al programma di formazione Cyber Guru Awareness.
RISCHI E PROTEZIONI CYBER IN AZIENDA
Secondo il rapporto Clusit riferito alla prima metà del 2021, gli attacchi informatici contro il settore energetico sono aumentati quasi del 50%. Quali sono le tipologie di attacchi oggi più diffuse, e quali sono i maggiori rischi che ne derivano?
Il ransomware è la tipologia di attacco più diffusa: gli hacker si impadroniscono di dati sensibili e chiedono un riscatto all’azienda minacciando di criptarli o di diffonderli e venderli online. I riscatti chiesti alle grandi aziende, spesso veicolati tramite e-mail, arrivano ad ammontare a diversi milioni di euro. La posta elettronica è, dunque, tra le maggiori vulnerabilità dell’azienda e pertanto deve ricevere un’adeguata protezione.
In generale, questi attacchi informatici sfruttano sempre un errore umano, come un semplice click su un link fraudolento, e sono per la maggior parte ad opera di organizzazioni criminali strutturate motivate dagli alti profitti che questa attività illecita può garantire. Possono arrivare a bloccare la produzione di un impianto di generazione elettrica, provocando così all’azienda gravi danni, sia economici sia d’immagine. Inoltre, può essere messa a rischio la stabilità della rete elettrica, comportando seri rischi anche per le infrastrutture civili. La sicurezza informatica in passato non rientrava tra le priorità delle utility, né a livello di investimenti, né di strategia.
Questa situazione però, è cambiata nel corso degli ultimi anni, specialmente nell’ultimo biennio che a causa della pandemia da Covid-19 ha vissuto una forte accelerazione della diffusione del lavoro da remoto. Molte aziende, compresa EP Produzione, hanno aumentato significativamente l’attenzione e l’impegno rivolti alla sicurezza informatica.
Quali sono le principali tipologie di protezione cyber adottate in azienda?
Innanzitutto, la protezione dei servizi SaaS (Software as a Service) che viene garantita da fornitori esterni di grande prestigio. Internamente abbiamo aggiunto ulteriori livelli di protezione, ad esempio sui device dei dipendenti come smartphone e PC, dove abbiamo implementato un sistema di certificazione dell’identità dell’utente a più fattori, la cosiddetta MFA (Multi Factor Authentication). Abbiamo anche introdotto una sofisticata protezione per le postazioni fisse dei nostri uffici: si tratta dei sistemi NAC (Network Access Control), che impediscono ad un eventuale hacker di infiltrarsi, e collegarsi fisicamente alla rete aziendale. È necessario avere un sistema di cybersecurity sempre più diffuso e complesso per rispondere all’evoluzione delle minacce informatiche, che oggi raggiungono elevati livelli di sofisticazione. Ad esempio, l’uso di virus “dormienti” che vengono attivati dai criminali anche molto tempo dopo essere stati impiantati nei sistemi informatici del target da colpire.
“Oltre alle soluzioni tecnologiche è fondamentale per un’azienda aumentare la conoscenza e la consapevolezza interna sui temi di cybersecurity partendo dal Top Management che costituisce un bersaglio più interessante per gli hacker e per la capacità di promuovere un cambiamento positivo per tutti i dipendenti”
Antonio Foggia, cybersecurity manager di EP Produzione
L’IMPORTANZA DELLA FORMAZIONE
Rispetto agli altri grandi paesi europei, in Italia quanto è diffusa la consapevolezza dei rischi informatici in ambito professionale?
Il nostro Paese è tra quelli maggiormente esposti agli attacchi informatici, ed è più indietro in tema di formazione specifica, rispetto a paesi come Regno Unito e Germania, mentre si trova in una situazione più simile alla Spagna. Ci sono comunque delle differenze tra i diversi settori. Quello energetico sta ancora lavorando per colmare il ritardo accumulato.
Quanto è importante la formazione, quindi, per prevenire gli attacchi informatici?
È fondamentale. Le persone sono la barriera più forte che esista. Se alla base non si verifica un errore umano, la minaccia informatica sostanzialmente non ha modo di articolarsi. Per questo motivo quindi, i dipendenti devono ricevere una formazione sui rischi informatici che riguardi tutti i device e le piattaforme digitali che utilizzano anche nel privato, social media compresi.
IL PROGRAMMA CYBER GURU AWARENESS
A questo riguardo, EP Produzione ha lanciato un anno fa il programma di formazione Cyber Guru Awareness, che si avvia oggi al secondo livello. Quali risultati ha già ottenuto, e quali obiettivi vi ponete per il futuro?
In generale registriamo già notevoli progressi, e l’obiettivo del secondo livello è produrre un ulteriore miglioramento dei risultati ottenuti. Con il programma stiamo sensibilizzando sempre di più i dipendenti sulla cybersecurity, facendo in modo che siano sempre informati e aggiornati sui rischi attuali, e che siano in grado sia di prevenirli, sia di segnalarceli. Il raggiungimento di una diffusa maturità digitale costituisce quindi uno dei nostri obiettivi fondamentali per assicurare un elevato livello di protezione informatica all’azienda.
Sicuramente, un tema su cui prevediamo di insistere è quello della prevenzione del rischio informatico anche nella vita privata: soprattutto con la diffusione recente dello smart-working, le aziende possono venire attaccate anche tramite le reti private, che solitamente sono meno protette e dispongono di meno sistemi di sicurezza di quelle aziendali. Anche la sensibilizzazione della famiglia e dei figli, che spesso condividono l’uso degli stessi device, è importante per far sì che non si trasformino inconsapevolmente in ulteriori forme di rischio.
Il consiglio, in linea generale, è quello di adottare a casa le stesse precauzioni che si devono seguire in ufficio, a cominciare dalla creazione di back-up offline dei propri file, che costituiscono l’estrema linea di difesa contro gli attacchi ransomware, che possono colpire i singoli così come le aziende.