Un’attacco informatico, iniziato la mattina dell’8 dicembre, ha causato serie difficoltà per varie strutture all’interno della pubblica amministrazione italiana. Tra i servizi interessati c’erano quelli cruciali per il pagamento degli stipendi ai dipendenti pubblici. Tuttavia, grazie agli sforzi intrapresi la neonata Agenzia per la Cybersicureza in Italia, è stata evitata la temuta interruzione degli stipendi di dicembre e dei bonus di fine anno ( le”Tredicesime” ) per i dipendenti di alcune amministrazioni locali indirettamente colpite. L’attacco sarebbe stato rivendicato dal gruppo di hacker russofono Lockbit 3.0 La National Cybersecurity Agency d’Italia ha svolto un ruolo fondamentale nella gestione delle conseguenze di questo attacco. Per diversi giorni, l’agenzia è stata in contatto con Westpole S.P.A. e PA Digitale S.P.A., che hanno fornito un sostegno sostanziale per contenere le interruzioni causate dall’attacco informatico. Le azioni dell’agenzia hanno consentito il ripristino di tutti i servizi interessati e il recupero dei dati per oltre 700 enti pubblici nazionali e locali legati alla catena di approvvigionamento di PA Digitale S.P.A. Tuttavia, resta la necessità di recuperare i dati risalenti ai tre giorni precedenti l’attacco per le restanti amministrazioni, circa 1.000 entità pubbliche contrattualmente collegate a PA Digitale S.P.A. per vari servizi manageriali. Questo ennesimo attacco informatico dovrebbe mettere in moto i meccanismi culturali ed economici necessari per la sicurezza delle infrastrutture digitali e cio’ comporta necessariamente un motore ben oliato e ben integrato a livello nazionale, europeo e mondiale. I Cyberattacchi sono un problema che riguarda tutti.
Il Comunicato stampa dell’Agenzia
L’Agenzia per la Sicurezza Nazionale ha pubblicato le Linee Guida per la conservazione delle password realizzate insieme al Garante per la protezione dei dati personali. È solo la prima di una serie di pubblicazioni tecniche che servono a proteggere il cyberspace in cui tutti ci muoviamo. Si badi bene, la pubblicazione non riguarda il modo in cui una password personale debba essere generata per mettere al sicuro, ad esempio, il nostro account social, ma il modo in cui il fornitore del servizio a cui si accede deve proteggere la password per accedervi.
Operazione fondamentale, visto che negli ultimi anni abbiamo assistito alle violazioni di queste database di password che hanno suscitato scalpore e preoccupazione. Si pensi alla ripetuta violazione dei database dei principali social network, fornitori di caselle di posta elettronica e servizi di e-commerce, e alla successiva compilazione delle credenziali trafugate in enormi magazzini virtuali messi in vendita nei Dark market al miglior offerente, oppure con il semplice scopo di causare un danno reputazionale alle aziende ed entità coinvolte.
Si stima infatti che nei forum underground ci siano diversi trilioni di credenziali in vendita e che il costo medio globale di una violazione dei dati nel 2023 sia stato di circa 4,5 milioni di dollari, con un aumento del 15% nel corso di 3 anni. Motivo per cui molte organizzazioni prevedono di aumentare gli investimenti per la sicurezza a seguito di una violazione. Dal 2020, ad esempio, i costi delle violazioni dei dati sanitari sono aumentati del 50% e il settore sanitario, in particolare, ha visto un aumento considerevole dei costi di violazione dei dati a partire dal 2020.
Obiettivi delle linee guida
L’obiettivo di queste Linee Guida è perciò quello di fornire raccomandazioni sulle funzioni crittografiche ritenute attualmente più sicure per la conservazione delle password, in modo da evitare che le credenziali di autenticazione (username e password) possano venire violate all’interno dei database in cui sono contenute e finire nelle mani di cybercriminali, per essere poi messe online o utilizzate per furti di identità, richieste di riscatto o altri tipi di attacchi.
La conservazione sicura delle password, infatti è uno degli aspetti tecnici fondamentali nell’ambito della cybersecurity e della protezione dei dati personali che sono il nostro lasciapassare nel mondo digitale.
Il lavoro svolto col Garante Privacy sulla conservazione sicura delle password, però è solo uno dei modi in cui l’ACN è intervenuta per costruire un ambiente digitale più sicuro. Sull’esempio di altre realtà internazionali, la Divisione Scrutinio Tecnologico, Crittografia e Nuove Tecnologie, all’interno del Servizio di Certificazione e Vigilanza dell’Agenzia, guidato dall’Ammiraglio Andrea Billet, ha deciso di avviare la pubblicazione della serie “Linee Guida Funzioni Crittografiche”, che rappresentano le principali funzioni (primitive) crittografiche sia da un punto di vista teorico, che pratico.
Tra queste ci sono le “funzioni di hash crittografiche”, strumenti fondamentali per la cybersicurezza poiché, grazie alle loro proprietà, rendono possibile assicurare l’integrità dei dati, cioè consentono di verificare l’alterazione di un dato o un messaggio; e i “codici di autenticazione del messaggio” o MAC, che permettono di garantire l’integrità di un messaggio, e di verificare l’identità del mittente.
Queste linee guida, tutte insieme, forniscono delle indicazioni precise per l’impiego degli algoritmi crittografici commerciali lungo l’intero ciclo di vita dei sistemi e servizi ICT, in conformità con i principi di sicurezza e tutela della privacy.
In ogni documento, l’ultimo capitolo contiene le conclusioni tratte in seguito alla dissertazione svolta e la lista degli algoritmi e dei parametri raccomandati da ACN.
I documenti tengono in considerazione le minacce presenti al giorno della loro pubblicazione, e verranno tempestivamente aggiornate in base agli sviluppi di ricerca in termini di crittografia e cybersicurezza. Data la diversità tra i sistemi informativi a cui si applicano e la varietà di contesti possibili, ACN non può garantire che queste raccomandazioni possano essere utilizzate nei sistemi informativi di destinazione senza adattamento.In qualsiasi caso, la pertinenza dell’attuazione delle soluzioni proposte da ACN deve essere sottoposta, preventivamente, a valutazione e validazione da parte dei responsabili della sicurezza dei sistemi informativi.
La realizzazione di questi documenti rientra proprio tra le funzioni attribuite all’Agenzia per la Cybersicurezza Nazionale per la prima volta sancita dalla legislazione italiana (dal DL 82/2021,). Per cui l’ACN è promotrice dell’utilizzo della crittografia come strumento di cybersicurezza, in attuazione della misura #22 della Strategia Nazionale di Cybersicurezza.
Linee guida funzioni crittografiche
ACN e Garante Privacy insieme per un ambiente digitale più sicuro
