Insicurezza Internet, l'indice annuale

Roma – Le cose per la sicurezza internet proprio non vanno meglio rispetto agli anni scorsi, sebbene si stia registrando un nuovo clima di attenzione di imprese e utenti verso le numerose diverse tipologie di minacce al buon funzionamento della rete e delle tecnologie. Cracker, virus e quant’altro la fanno da padroni, stando al rapporto 2004 stilato da RSA Security e basato sulle rilevazioni di una molteplicità di fonti indipendenti e osservatori specializzati.

“L’Indice annuale dell’Insicurezza Internet” offre un “punteggio” studiato sulla qualità delle misure repressive e di contenimento degli attacchi alla sicurezza, un punteggio che nell’insieme di tutte le aree monitorate è passato da “6” del 2003 a “7” del 2004, il che indica un peggioramento della situazione complessiva. Sebbene focalizzati più che altro sulla situazione statunitense, i dati riguardano perlopiù problemi di rilevanza mondiale.

Punteggi specifici sono indicati per le sei macro-aree in cui è diviso il rapporto. Ecco di seguito una sintesi dei risultati per ciascuna di esse (più alto il punteggio, peggiore la situazione):

Cracking, Attacchi e Falle
– Il numero di incidenti riportati al centro di coordinamento del CERT è cresciuto del 40% nel 2003
– Nell’agosto 2003, le aziende hanno assistito a un rapido propagarsi degli attacchi da virus: si stima che virus quali “Blaster” e “So Big” – responsabili di oltre 2 milioni di infezioni – siano costati alle aziende circa 3,5 miliardi di dollari
– 15 Stati USA hanno emanato nuove leggi anti-spam nel 2003, portando a 38 il totale di Stati che ora hanno una qualche forma di legislazione in materia. Il Congresso USA ha inoltre emanato il CAN-SPAM Act 2003. L’attività legislativa, tuttavia, non pare ad oggi aver introdotto un’apprezzabile differenza nell’attività di spam.
PUNTEGGIO: 8 (lo stesso dell’anno scorso)

Minacce
– Una recente indagine promossa da Business Software Alliance e dalla Information Security Systems Association ha rilevato che il 65% dei professionisti della sicurezza ritiene che la propria organizzazione potrebbe subire un attacco informatico nei prossimi 12 mesi
– Lo sfruttamento delle vulnerabilità risulta accelerato. Tre anni fa, l’intervallo tra la scoperta di una vulnerabilità e il suo sfruttamento da parte dei cracker era in media di 500 giorni. Oggi è inferiore a 40. Ad esempio, la vulnerabilità sfruttata dal worm Blaster è stata individuata meno di 30 giorni prima dell’apparizione del worm.
PUNTEGGIO: 8 (lo stesso dell’anno scorso)

Crimini e Frodi via Internet
– Il furto di identità si è collocato al vertice dell’Indice dell’anno scorso quale crimine via Internet a più rapida crescita. La situazione appare immutata anche quest’anno e questo crimine si posiziona come il più segnalato alla Commissione Federale per il Commercio degli Stati Uniti. Le frodi via Internet contano oggi per il 55% delle oltre 500.000 segnalazioni all’agenzia, rispetto al 45% dell’anno precedente.
– Gli cracker hanno continuato ad aver successo nell’introduzione di virus del tipo Cavallo di Troia tramite gli allegati email. Virus di questo tipo consentono agli cracker di prendere il controllo del computer della vittima e installarvi virus e materiale pornografico o comunque illegale.
PUNTEGGIO: 8 (in crescita rispetto al 7 dell’anno scorso)

Utenti Internet e ISP
– Nella porzione dell’Indice dedicata a utenti Internet e ISP, tema comune è un’insufficiente gestione delle patch: molte sono le persone e le aziende che lamentano di non poter garantire che i loro computer dispongano delle patch aggiornate rese disponibili dalle società di software – come si è visto nel caso del worm Blaster – né di aver preso le più semplici misure in grado di prevenire che traffici di dati dannosi attraversino le loro reti. Information Security Provider, Internet Service Provider e amministratori di rete si dividono la colpa, e l’industria di settore riconosce che le patch dovrebbero essere più semplici da installare e distribuire.
– Le esigenze di rafforzamento della sicurezza delle aziende sono inversamente proporzionali al desiderio di semplificare l’accesso ai dati da parte degli utenti. Più le aziende tentano di aumentare la sicurezza, più l’accesso ai dati diviene macchinoso per gli utenti e più questi ultimi indeboliscono senza volerlo il sistema di sicurezza, ad esempio annotando astruse password su post-it appiccicati agli schermi dei PC oppure perdendo le password e inondando quindi gli help-desk di richieste di riemissione. Appare evidente come la sicurezza debba divenire più trasparente per gli utenti.
PUNTEGGIO: 6 (come l’anno scorso)

Industria della Sicurezza Informatica
– La parola frustrazione riassume adeguatamente lo stato d’animo della maggior parte degli utenti nei confronti della sicurezza di Internet nel 2003. I gruppi di influenza propongono di tutto: da leggi che consentano ai clienti di intentare causa alle aziende colpevoli di avere dei buchi nella sicurezza a nuovi sistemi di tracciamento che rendano impossibile l’utilizzo del web in forma anonima. Il web, però, è un media che supera i confini nazionali e quindi limita la capacità di applicare e far rispettare qualsiasi legge.
– Le organizzazioni chiedono a gran voce di essere liberate dai sovraccarichi amministrativi legati alla necessità di gestire più identità digitali su sistemi diversi e sono alla ricerca di sistemi in grado di risolvere questo problema e di rendere le aziende conformi a nuove leggi e normative quali – negli USA – il Sarbanes-Oxley Act e l’Health Insurance Portability and Accountability Act (“HIPAA”).
– Lo scorso novembre, Microsoft ha annunciato il varo dell’Anti-Virus Reward Program, supportato da un finanziamento iniziale di 5 milioni di dollari e mirato ad aiutare l’autorità di pubblica sicurezza a identificare e assicurare alla giustizia coloro che diffondono worm, virus e altri tipi di codice malicious su Internet. Microsoft ha offerto una ricompensa di 250.000 dollari a chi contribuisce a individuare i responsabili dei virus “Blaster,” “So Big” e “My Doom”.
PUNTEGGIO: 6 (in crescita rispetto al 4 dell’anno scorso)

Pubblica Amministrazione
– La politica per la sicurezza informatica degli Stati Uniti (la National Strategy to Secure Cyberspace) è stata sottoposta a diverse critiche. Un pool di aziende pubbliche e private ha dichiarato di essere in procinto di svelare un’architettura e degli strumenti in grado di “guarire” le vulnerabili reti della nazione. Il primo frutto del loro lavoro è atteso il prossimo marzo.
– In un discorso rivolto ai rappresentanti dell’industria IT, il segretario del Superministero per la sicurezza interna degli Stati Uniti Tom Ridge ha sottolineato come oggi tutto, dalla rete per l’energia elettrica alle transazioni bancarie e alle telecomunicazioni dipenda da reti sicure e affidabili e come i gruppi terroristici “sanno, proprio come noi, che poche righe di codice sono in grado di causare disastri pari a quelli di una scarica di bombe”.
PUNTEGGIO: 6 (era 4 l’anno scorso)