Sicurezza informatica: non vediamo e non vogliamo accettarlo

di Isabella Corradini e Enrico Nardelli

La vita alle volte è dura. Può accadere che un grave incidente ti privi di qualcosa di prezioso, come la vista. È una situazione difficile da accettare e infatti tu, testardamente, ti ostini a far finta di vederci ancora. Ovviamente, guai ed inciampi sono all’ordine del giorno e ti ricopri di ferite e bernoccoli. Corri ai ripari con protezioni e bendaggi, ma gli incidenti non diminuiscono. Cos’è che non funziona?

In un caso di questo genere pensiamo sia abbastanza evidente per tutti cos’è che non va: rifiutarsi di accettare che non c’è più un organo di senso essenziale per orientarsi e capire il mondo intorno a noi.

Solo passando attraverso questa consapevolezza ed introiettandola è possibile poi riuscire ad adottare i comportamenti più adeguati alla nuova situazione.

La situazione discussa in questo esempio è il punto di partenza per discutere altre situazioni in cui “ci ostiniamo” a non vedere o a non voler vedere cosa succede intorno a noi, pur sottolineando che le implicazioni umane ed emotive non sono paragonabili.

Quella di cui parliamo in questo post è relativa a ciò che sta accadendo da una decina d’anni rispetto alla sicurezza informatica.

La crescente ed ormai ubiqua digitalizzazione della società, che per certi versi è una benedizione per i vantaggi che apporta, ha come contropartita quella di averci trasportato in un mondo per il quale non abbiamo organi di senso. Come nell’esempio sopra riportato, ci ostiniamo a far finta che non sia accaduto niente.

La sicurezza informatica, così come la stiamo gestendo, non funziona.

Non ne siete convinti? Guardiamo i dati degli ultimi 12 anni sul fenomeno data breaches, si “vede” chiaramente cosa dicono.

Questo grafico è un’elaborazione realizzata dal laboratorio Link&Think sui dati disponibili alla pagina http://www.informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/, nella quale sono riportati i singoli eventi di data breach superiori ai 30.000 record persi/sottratti in ogni evento.

Nel nostro grafico vengono esposti in tre modi diversi gli eventi aggregati per anno:

• la linea in grigio (Volume) mostra la semplice quantità totale, in milioni, di record persi/sottratti ogni anno;
• la linea in celeste (Valore lineare) mostra il valore complessivo, in milioni, dei record persi in ogni anno, pesando record di tipo diverso con una funzione a crescita lineare;
• la linea in rosso (Valore esponenziale) mostra il valore complessivo, in milioni, dei record persi in ogni anno, pesando i record di tipo diverso con una funzione a crescita esponenziale.

I tipi di record sono classificati sul sito sorgente in 5 tipologie di crescente gravità, caratterizzate dai seguenti esempi:

1. indirizzi mail o informazioni relative all’interazione online delle persone (ma non pubblicamente disponibili)
2. codice fiscale o dati personali
3. dati della carta di credito (numero, scadenza, …)
4. password non crittate o dati sanitari
5. dati bancari completi

Vale la pena fare qualche riflessione.

Dal 2004, caratterizzato dall’attacco alla multinazionale AOL, specializzata nel campo delle comunicazioni e dei mass media, c’è stato un crescendo di incidenti che hanno riguardato grandi aziende operanti nei più svariati settori. Sono state coinvolte, a titolo di esempio, organizzazioni dall’area tecnologica (Sony nel 2011, Dropbox nel 2012) a quella bancaria (J.P. Morgan nel 2014), dall’area social (Yahoo nel 2013) a quella legale (Mossack Fonseca nel 2016), nonché strutture governative (l’Office of Personnel Management del governo USA nel 2015).

I dati, dunque, sia personali che aziendali, continuano a rappresentare una risorsa di grande interesse per i cybercriminali, i quali possono utilizzarli per ottenere un immediato profitto economico o per compiere altri reati.

Da un punto di vista aggregato, si osserva chiaramente nel grafico come dal 2012 il fenomeno sia esploso, peggiorando notevolmente sia in volume che in valore rispetto agli 8 anni precedenti, e non riusciamo a contenerlo. Nonostante negli anni 2014-2015 il grafico mostri infatti un miglioramento della situazione, i dati del 2016 evidenziano che si è trattato di un successo effimero. Per rimanere agli esempi, basti pensare al furto di e-mail che ha riguardato lo staff della candidata alle presidenziali Hillary Clinton nel giugno del 2016.

A fronte di questo scenario insistiamo con contromisure tecnologiche che dovrebbero risolvere tutti i problemi degli attacchi cibernetici e delle violazioni dei dati, ma i risultati non arrivano. Anzi, continuano a verificarsi incidenti di sicurezza sempre più gravi, con vittime più o meno illustri, come testimoniano i dati.

Cosa succederà con il diffondersi sempre più capillare dell’uso delle tecnologie dell’informazione (si pensi, ad esempio, all’Internet of Things) che moltiplica i dati digitali nella Rete?

Sembra proprio che, come nella situazione descritta all’inizio del post, ci si rifiuti di prendere consapevolezza del fatto che ci mancano i sensori adeguati per questo scenario e, dunque, non si mettano in atto strategie opportune, continuando invece a delegare alle sole tecnologie il compito di realizzare soluzioni efficaci.