Attacco hacker o terroristico? Quante cose si sono dette sul sistema di sicurezza informatica della Regione Lazio: ecco il punto su un disastro annunciato.
Nel mese di agosto, prima della tragedia in Afghanistan, siamo stati tempestati da informazioni, articoli e servizi su quanto accaduto al
sistema di sicurezza informatica della Regione Lazio. Devo dire che un concentrato di inesattezze così denso non lo avevo mai né visto né sentito.
Passi l’ignoranza dei politici in materia informatica, scusabile – fino a un certo punto – però certe affermazioni da parte di personaggi che si spacciavano per guru in materia erano tali da inorridire.
Proviamo a fare ordine? Ecco cosa è davvero successo.
Sicurezza informatica aziendale nel Lazio: di chi è stata la colpa?
Un telelavoratore di una nota società informatica che si collegava dal proprio posto di home working si è preso, diciamo genericamente, un criptolocker che, passato attraverso la VPN che lo collegava ai sistemi informativi dell’ente, ha cifrato i dati. Quanti dati? Non lo sapremo mai, ma tanti.
Queste sono brutte esperienze relative alla sicurezza aziendale informatica che tante aziende private e pubbliche hanno vissuto, sudando freddo per giunta.
Ho letto di esperti che parlavano di attacco terroristico, ho letto di una task force del governo per fare protezione, ho letto cose che farebbero ridere un qualunque informatico e farebbero piangere un contribuente.
Come sapete ho scritto un
piccolo libro sulla visione olistica della gestione e la sicurezza dei dati informatici, un saggio non tecnico destinato agli imprenditori. Ebbene, in tempi non sospetti, ho apertamente detto due cose:
Non siamo di fronte a dei terroristi per i quali dobbiamo creare una rete di spionaggio finalizzata a scovarli, ma semplici delinquenti che fanno business sui dati dei cittadini e delle imprese. Come? Vendendoli nel
darkweb (
qui per saperne di più)
Protezione dei dati e sicurezza informatica: come evitare un disastro (annunciato)
E come dobbiamo fare, quindi, per garantire la sicurezza informatica in azienda? Altro che task force, c’è solo una cosa da fare:
acquistare servizi che alzino il livello di sicurezza dei sistemi informatici, ricordandoci sempre che, se bucano la NASA (e quelli forse sono terroristi), bucano di certo anche noi.
Proprio per questo bisogna avere sempre un piano B, spesso identificato con il macro termine di
disaster recovery, in grado di salvare e garantire la protezione dei dati informatici a prescindere da quello che accadrà – nel caso della security della Regione Lazio, ci dicono, invece, che mancavano proprio sistemi di backup.
Perché accade questo? Troppo spesso queste organizzazioni, sperano di risolvere i problemi con prodotti, ma oggi i prodotti non bastano più. Ci vogliono
servizi, la sicurezza va verso il concetto di
security as a service, e le reti zero trust stanno a testimoniare questo trend.
Perché il servizio meglio del prodotto? Perché ogni prodotto ha pregi e difetti, la differenza la fanno le persone: alla Regione Lazio, pensavano di avere un prodotto che li difendesse. Invece la persona che ha progettato quella architettura ha sbagliato, ha sottovalutato le porcherie che possono girare nella rete casalinga di un home worker e l’errore umano che può sempre accadere.