Certego ha incontrato Alessandro Cattelino, Responsabile Cybersecurity e Infrastrutture della Direzione Tecnologie e Sistemi Informativi di Iren SpA.

La Direttiva NIS2, il nuovo standard europeo per la cybersecurity, include tra le aziende a cui si applica anche quelle del settore energetico. Quali sono le principali sfide e i principali benefici?

Anzitutto la dichiarazione di intenti è ottima, incrementa la postura di sicurezza a tutto il sistema, non solo rispetto ad alcuni soggetti. Ritengo positivo anche il fatto che la cyber venga legiferata. Questo è fondamentale per fare in modo che tutte le aziende, più o meno proattive sul tema, si adoperino per lavorare su un ambito estremamente critico per il business stesso delle aziende. Da evidenziare anche il lavoro svolto dall’ACN (Autorità Nazionale per la Cybersicurezza) per condividere il contenuto della norma con le aziende. Sono stati creati una serie di tavoli di lavoro tematici, per ambiti merceologici, noi abbiamo partecipato con altre aziende del settore energetico.

Un aspetto critico, invece, tenuto conto della complessità degli adempimenti cui dare seguito, temo potrà essere connesso all’ottemperanza della normativa. Non sarà semplice per le grandi imprese che hanno già una struttura dedicata alla gestione della cybersicurezza ed hanno maggiore capacità di spesa per dotarsi anche di un eventuale supporto consulenziale, sarà ancora più difficile per le piccole e medie imprese.

Inoltre, l’impatto della normativa sarà molto ampio, coinvolgendo molte società, e concentrato nel tempo. Questo scenario comporta un forte rischio di non trovare il mercato pronto, sia in termini di competenze (per le società che devono adottare la NIS2 e per i fornitori che devono supportare le società stesse) che di sistemi (hardware e software), con un inevitabile rischio di lievitazione dei costi.

Altro tema importante è quello delle certificazioni. Si tratta di comprendere se le certificazioni ottenute dai soggetti NIS2 in ambito della sicurezza dei dati, come la ISO:27001, saranno riconosciute come misure nell’ambito della normativa. Questo è un altro tema rilevante tenuto conto dei costi economici e gestionali per il mantenimento di queste certificazioni.

La creazione e condivisione delle informazioni di Cyber Threat Intelligence si sta rivelando sempre più fondamentale per rafforzare la sicurezza informatica. In che modo Iren sta operando in questa direzione e quale strategia sta adottando?

In Iren, ma questo vale un po' per tutte le aziende che intraprendono un percorso di gestione della cybersicurezza, per prima cosa abbiamo messo in piedi i processi e i sistemi di protect, detect e respond perché è verosimile che prima o poi qualcuno possa tentare di effettuare un attacco malevolo. Questa è la fase gestionale per certi versi più semplice perché la tecnologia ci viene in soccorso. Lo step a seguire è il processo di “prevention”, che si attua principalmente con due azioni. Da un lato con l’awareness, ovvero la consapevolezza. È necessario, infatti, adottare un percorso continuo nel tempo, anche tramite modalità innovative di sensibilizzazione e coinvolgimento, al fine di indurre un cambiamento nelle persone relativamente all’utilizzo degli strumenti digitali. L’altro tema in ambito “prevention” è quello della threat intelligence, ovvero la capacità di fare delle analisi sulle minacce reali o potenziali che possono colpire il perimetro aziendale. Conoscere prima quali possano essere le possibili minacce permette di adottare delle misure mirate per mitigare la minaccia stessa.

La problematica nell’adozione di un processo di threat intelligence è legata al fatto che gli analisti vengono a conoscenza di informazioni che possono essere di fonte illecita (come ad esempio da furto dati) e ci si può imbattere in dati di altre aziende. È necessario, pertanto, definire un protocollo per gli analisti che si occupano di threat intelligence, in particolar modo se sono risorse interne all’azienda, come nel caso di Iren. In questo documento, da un lato, vengono esplicitate le modalità comportamentali a cui gli analisti si devono attenere, come nel caso entrino in possesso di informazioni non pertinenti alla nostra azienda o le modalità con cui accedere alle informazioni. Dall’altro, si forniscono una serie di garanzie per tutelare l’operato delle persone coinvolte in tala attività.

La sfida vera, dal mio punto di vista, nell’ambito della threat intelligence è tuttavia quella di arrivare ad una reale condivisione delle informazioni tra i vari soggetti, ad esempio tra le aziende multiutility, al fine di creare una sorta di “intelligenza collettiva”; purtroppo, oggi questa condivisione non è ancora sistemica.

In termini generali, qual è il trend del fenomeno cybercrime?

Tutti i report indicano che il numero di incidenti cyber, anno su anno, è sempre in aumento. Ad esempio dall’ultimo rapporto Clusit nel 2023 gli attacchi nel mondo sono aumentati del 12% rispetto all’anno precedente, per l’Italia l’incremento del 2023 è stato del 65%. Quando si parla di trend degli incidenti ritengo che sia opportuno tenere conto di due fattori al fine di interpretarlo correttamente. Da un lato, negli anni è aumentata la percentuale degli incidenti che vengono resi “pubblici”, sia per obbligo che per consapevolezza del soggetto attaccato. Dall’altro, le aziende hanno migliorato di anno in anno la capacità di poter rilevare un numero maggiore di incidenti poiché è incrementata la postura cyber, in particolare in ambito detection. Questi due fattori sicuramente contribuiscono nell’incremento degli incidenti registrati nei report di mercato, anche se naturalmente non “giustificano” il valore complessivo di incremento degli eventi. In ambito Iren, notiamo un aumento connesso alla nostra capacità di intercettare un numero maggiore di tentativi di attacchi, ma al contempo non registriamo un aumento significativo degli attacchi che in qualche modo hanno violato le nostre difese. Quello che rileviamo, in particolare, è che sta aumentando il numero di organizzazioni criminali cyber sempre più strutturate, che effettuano attacchi mirati.

Per approfondire il tema della cybersevurity nel settore energetico a tuttotondo leggi anche: