Gigi Tagliapietra: La sicurezza non è più il problema di una singola azienda o organizzazione, è il problema dell'intera rete. Un qualsiasi punto vulnerabile è una vulnerabilità per l'intera rete. Con questo rapporto, CLUSIT intende indicare le priorità di intervento e le raccomandazioni circa le criticità più significative. Questi suggerimenti nascono dall'esperienza che abbiamo maturato in sei anni di attività finalizzata alla crescita della sicurezza complessiva dei sistemi informatici del nostro Paese.
IR: Quali sono le minacce più gravi in questo momento?
GT: Il fenomeno più grave a cui si sta assistendo è oggi rappresentato dalla criminalità on-line con azioni che vanno dalla cattura di codici di accesso (phishing) a vere e proprie truffe.
La combinazione tra l’utilizzo criminale della tecnologia e la crescita della sua sofisticazione creano una miscela particolarmente pericolosa.
IR: Il documento parla di “attacchi Zero Day [4]”. Cosa significa?
GT: La finestra temporale che intercorre tra quando la vulnerabilità di un sistema informatico è identificata e documentata ed il momento in cui viene rilasciato il primo codice maligno in grado di sfruttarla (exploit) si sta rapidamente assottigliando fino a giungere ai cosiddetti "Zero Day attack" ovvero attacchi che sfruttano immediatamente le vulnerabilità di un sistema prima che ne sia nota l'esistenza ed approntata la difesa. Minacce in grado di diffondersi su scala planetaria nel giro di pochi minuti hanno già fatto la loro comparsa!
IR: Altri punti di attenzione?
GT: Il wireless, la messaggistica istantanea, il Voice over IP e i servizi convergenti triple play, sono solo alcuni dei cambiamenti tecnologici che cittadini, imprese, organizzazioni pubbliche e operatori di telecomunicazione sono in procinto di abbracciare, con un aumento esponenziale del numero di utenti, purtroppo inversamente proporzionale al livello medio di consapevolezza delle relative implicazioni di sicurezza.
IR: Che suggerimenti date alle forze politiche?
GT: CLUSIT ha identificato alcune aree d'azione prioritarie, definendo insiemi in cui è necessario agire con tempestività. Essi sono:
- il quadro normativo
- la pubblica amministrazione con particolare riferimento alla PA locale
- la rete a larga banda
- il mondo delle imprese
- la tutela degli utenti più vulnerabili
- lo sviluppo di un'industria italiana della sicurezza
IR: Parliamo dello sviluppo di un'industria italiana della sicurezza. Qual è la visione di CLUSIT?
GT: Il mercato italiano dei prodotti e dei servizi di sicurezza è stimato oggi in circa 700 milioni di Euro (fonte IDC) con una previsione al 2008 a 930 milioni e un tasso di crescita aggregato che supera il 18%. Una recente indagine condotta dal CLUSIT tra i propri associati, ha mostrato come la maggior parte delle aziende italiane attive nel mercato della sicurezza, sia composta da imprese di dimensioni contenute: l'87% ha meno di 20 dipendenti, il 40% fattura meno di 500 mila euro all'anno.
Il 70% di esse opera su base locale dove realizza più dei 2 terzi del proprio fatturato e sono pochissime quelle che sviluppano prodotti originali e ancora meno le aziende in grado di esportare e di operare al di fuori dei confini nazionali.
Non è pensabile un drastico cambiamento di questa situazione ma non è nemmeno accettabile una resa incondizionata ad un ruolo di semplici rivenditori ed installatori di prodotti di importazione.
Il dato più significativo che emerge dai dati di analisi del mercato è la crescita significativa dei servizi legati al mondo della sicurezza che nel 2008 rappresenteranno più del 50% del mercato complessivo: Il nostro vero capitale potrebbe essere la competenza nell'adottare correttamente le tecnologie, nuove o vecchie che siano.
IR: Chiariamo meglio; cosa si intende per servizi di sicurezza?
GT: Per rispondere alle nuove sfide imposte dalla securizzazione della rete occorreranno sempre più "funzionalità" che non pure “tecnologie” e sistemi con alto contenuto innovativo e “creativo” che possano rispondere alla sofisticazione degli attacchi che si affacciano all'orizzonte e nel contempo siano adeguate alla specificità e articolazione del tessuto produttivo e amministrativo del nostro Paese.
IR: Cosa va fatto allora?
GT: Proponiamo due linee d’azione.
- Nel breve periodo bisogna favorire lo sviluppo e l'utilizzo di software Open Source che, integrando e interagendo con i prodotti commerciali sappiano sviluppare soluzioni a misura sia del tessuto reale tanto del mondo delle imprese che delle amministrazioni pubbliche.
- In un'ottica di più lungo periodo bisogna puntare invece
sullo sviluppo di soluzioni di sicurezza guardando alle tecnologie
emergenti
(RFID, domotica, automotive, DTT) in una attività coordinata con
le università
e i centri di ricerca.
IR: Lei ha dichiarato che non serve dare incentivi per la connessione a banda larga banda ma che occorrerebbe dare incentivi per sensibilizzare gli utilizzatori alla sicurezza e spingerli ad adottare misure di “igiene” necessarie per scongiurare gli attacchi informatici. Può chiarire meglio questo concetto?
GT: Velocità di connessione e sicurezza devono camminare assieme, incentivare solo l'aumento della banda trasmissiva senza incentivare la protezione delle connessioni ADSL è come incoraggiare all'uso di automobili sempre più veloci ma non obbligare all'uso della cintura di sicurezza e al rispetto del codice della strada. Avere milioni di connessioni a banda larga è un segno di crescita tecnologica del nostro paese, ma non averle adeguatamente protette è una grave vulnerabilità che espone all'intera rete d attacchi distribuiti e “ad alta velocità” da cui sarebbe problematico difendersi.
IR: Grazie Presidente e buon lavoro
GT: Grazie a voi e buone vacanze.
Chi è Gigi Tagliapietra?
Gigi Tagliapietra si occupa di reti di computer dal 1978; nel 1983 è stato uno dei soci fondatori di Siosistemi (oggi nel gruppo I.NET). È presidente di CLUSIT e fa parte del comitato di certificazione del Lloyd Register e di Tuv Italia. Collabora con numerose Università e con le principali riviste di informatica italiane. Svolge una continua attività di relatore nei convegni specializzati nella comunicazione, nella sicurezza e nelle reti sia in Italia sia all'estero. Ha sviluppato i primi progetti di informatica civica in Italia e ha realizzato la prima mediateca pubblica italiana, presa poi come modello dalla Mediatech Foundation per la prima realizzazione di questo tipo negli Stati Uniti.
Si occupa anche di tutela dei minori in rete: ha pubblicato “Tommasone cybercop”, libro che spiega la sicurezza informatica ai bambini.
Vive sul lago di Garda, è sposato e ha due figli.