Più di un anno fa scrivemmo un articolo dal titolo piuttosto eloquente: “Sicurezza informatica, non vediamo e non vogliamo accettarlo”, nel quale sottolineavamo la difficoltà per l’essere umano di accettare l’inevitabile a fronte di situazioni a lui svantaggiose, e di tentare di continuare come se niente fosse nonostante le difficoltà.
Avevamo considerato questo scenario come punto di partenza per discutere alcune situazioni, come quella della sicurezza informatica, in cui ci ostiniamo a non voler vedere cosa succede intorno a noi, pur considerando che le implicazioni umane ed emotive non sono paragonabili ad un incidente che ci impedisce di essere obiettivi.
A distanza di oltre un anno e mezzo, e con incidenti più o meno illustri che sono ormai all’ordine del giorno, continuiamo a far finta di niente. O meglio, perseveriamo nell’accettare le nostre mancanze, che alla fine diventano errori sistematici.
È evidente che la digitalizzazione è un processo che non può essere fermato, ma è altrettanto vero che dovrebbe essere guidato meglio, dal momento che comporta una serie di problematiche per la sicurezza che diventa sempre più pericoloso ignorare. Stiamo ancora a discutere delle mail di phishing che, comunque, funzionano, proprio perché hanno a che fare con le relazioni sociali ed i comportamenti umani. E nel frattempo, lasciando irrisolti problemi come quello del phishing, andiamo dritti e spediti verso le meraviglie dell’intelligenza artificiale, come se fosse la soluzione definitiva a tutti i problemi della sicurezza, senza però considerare che anche i criminali si aggiornano e sono sempre pronti a sfruttare tutte le potenzialità delle nuove tecnologie digitali.
Ma stiamo davvero per risolvere i problemi della sicurezza informatica? A guardare i dati non si direbbe proprio. Tutt’altro. La sicurezza informatica, così come la stiamo gestendo, continua a non funzionare.
Nel Laboratorio Link&Think abbiamo analizzato 14 anni di eventi di data breaches (cioè eventi di sottrazione indebita di dati da un sistema informatico) avvenuti nel mondo, fino a tutto il 2017. Per quanto riguarda il 2018 (che si preannuncia comunque il peggiore di sempre) pur avendo cominciato ad elaborarne i dati, ne rimandiamo la discussione al prossimo anno, sia perché comunque l’anno non è ancora concluso, sia perché non è raro che gli incidenti relativi alle violazioni di sistemi informatici siano scoperti solo a distanza di anni.
I tipi di dato sono classificati sul sito sorgente in 5 tipologie, vale a dire:
- indirizzi mail o informazioni relative all’interazione online delle persone (ma non pubblicamente disponibili);
- codice fiscale o dati personali;
- dati della carta di credito (numero, scadenza, …);
- password, dati sanitari;
- dati bancari completi.
Riportiamo il risultato della nostra analisi nel grafico sottostante, in cui gli eventi di ogni anno vengono rappresentati in tre modi diversi:
- la linea in grigio (Volume) mostra la semplice quantità totale, in milioni, di dati persi/sottratti ogni anno;
- la linea in celeste (Valore lineare) mostra il valore complessivo, in milioni, dei dati persi ogni anno, pesando dati di tipo diverso con una funzione a crescita lineare;
- la linea in rosso (Valore esponenziale) mostra il valore complessivo, in milioni, dei dati persi ogni anno, pesando i dati di tipo diverso con una funzione a crescita esponenziale.
Elaborazione realizzata dal laboratorio Link&Think sui dati disponibili alla pagina http://www.informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/, dove sono presentati i singoli eventi di data breaches superiori ai 30.000 record di dati persi/sottratti in ogni evento.
Rispetto all’analisi condotta nello scorso anno, si evidenziano due aspetti rilevanti.
Il primo più preoccupante, è che alcuni data breaches si scoprono a distanza di molti anni. Nella figura sottostante si vede l’incremento percentuale di eventi di data breaches nei vari anni messo in luce dalla più recente rilevazione, in cui si osserva chiaramente (oltre all’emersione di alcuni eventi del 2011 e 2012!) che vi è un numero non trascurabile di eventi accaduti nel 2014 e del 2015 e scoperti solo recentemente. Se questa tendenza dovesse essere confermata in futuro, vorrebbe dire che la tendenza negativa mostrata nel primo grafico sarebbe ancora peggiore di quanto evidenziato al momento.
Il secondo è che, nonostante nel biennio 2014-2015 la situazione sembrasse migliorare, il 2016 ha mostrato, ed il 2017 l’ha chiaramente ribadito, che si è trattato di un successo effimero. Per non parlare appunto del fatto che una prima analisi per il 2018 evidenzia uno scenario ancora peggiore.
Un’ulteriore riflessione riguarda il fatto che stiamo parlando di data breaches noti e venuti alla luce. Non c’è da stupirsi che molti altri, non di impatto mediatico, possano essere avvenuti nel silenzio assoluto. O magari siano stati “coperti” per non rischiare di vedere compromessa la propria reputazione.
Questa situazione, che avevamo già evidenziato nel precedente articolo, mostra che nonostante i continui miglioramenti delle soluzioni tecnologiche la situazione della sicurezza informatica peggiora sempre di più.
A questo punto diventa assolutamente necessario pensare seriamente a strategie di intervento che vadano oltre quello fatto finora. Non possiamo limitarci a soluzioni tecnologiche pronte all’uso, le quali sono importanti ma inefficaci se poi operano all’interno di un’azione strategica complessa e articolata. Ad esempio, si sa che molte violazioni di dati prendono l’avvio da azioni disinvolte e distratte di personale aziendale, spesso inconsapevole dei rischi ai quali si va incontro quando si aprono allegati o link provenienti da fonti sconosciute o, comunque, verificate.
Errare è umano, ma non voler imparare dai propri errori è diabolico. Chi ha un pensiero critico batta un colpo!
