Ha fatto molto rumore il riconoscimento da parte del Presidente della Commissione europea, Jean-Claude Juncker, nel suo discorso sullo Stato dell’Unione del 13 settembre scorso, della volontà delle istituzioni di fare di più per rispondere agli attacchi cyber, ricordando che lo scorso anno ci sono stati in Europa oltre 4.000 attacchi ransomware al giorno e l’80% delle aziende europee ha subito almeno un incidente cyber.

Nel discorso, che riporta le priorità per il prossimo anno, al quarto posto figurano le misure proposte dalla Commissione per migliorare la capacità di risposta europea al cyber crime. Junker in particolare ha citato la necessità di dotarsi di un’Agenzia Europea per la Cybersecurity (che in realtà abbiamo già dal 2004, l’ENISA). La Commissione ha poi chiarito che l’intenzione è di incrementare l’attuale mandato di ENISA, affermando che “ENISA sarà rinforzata in modo che possa assistere i Paesi europei colpiti da attacchi cyber, oltre a prepararli annualmente tramite esercitazioni cyber”.

L’Agenzia Enisa dovrà quindi abilitare in un prossimo futuro una migliore Threat Intelligence, attraverso il set up di centri dedicati all’Information Sharing, e dovrà essere di ausilio ai diversi Stati Membri nell’implementazione della nuova “Security of Network and Information Systems Directive” (Direttiva NIS), che entrerà in vigore nel 2018. In aggiunta, l’Agenzia avrà il compito di promuovere un nuovo schema di certificazione a livello europeo, per assicurare che i prodotti e i servizi rivolti al mondo digitale (pensiamo ai miliardi di oggetti connessi, presenti in reti dei trasporti e dell’energia o utilizzati dai consumatori) siano sicuri nel loro utilizzo.

Sta cambiando quindi qualcosa nella politica europea sul cybercrime?

È evidente l’intenzione delle istituzioni europee di incrementare gli sforzi nella direzione di una maggiore cyber resilience a livello di sistema, nel solco di quanto già realizzato in passato con la EU cyber security strategy, che ha portato lo scorso anno all’approvazione della NIS Directive. Rispetto a quelli che erano in passato alcuni obiettivi molto generali (citiamo testualmente:

• achieving cyber resilience
• drastically reducing cybercrime
• developing cyber defence policy and capabilities related to the EU’s common security and defence policy (CSDP)
• developing the industrial and technological resources for cyber security
• establishing a coherent international cyberspace policy for the EU

la Commissione impone oggi un deciso passo in avanti, con alcune proposte concrete:

• Un Centro di Ricerca EU sulla Cybersecurity, da realizzare come pilota già nel 2018, che dovrà collaborare con gli Stati Membri EU per la messa a punto di soluzioni sempre più performanti di cyber defence.
• La stesura di Linee guida (Blueprint) per aiutare gli Stati Membri ad organizzare internamente tutte le attività per una risposta rapida in caso di cyber attack. Gli Stati sono chiamati a stabilire un EU Cybersecurity Crisis Response Framework per rendere operative le linee guida, e testarlo regolarmente.
• Maggiore solidarietà e la costituzione di un Cybersecurity Emergency Response Fund per fornire supporto in caso di emergenza.
• Il set up di maggiori capacità di cyber defense: gli stati sono chiamati a includere la cyber defence all’interno del Framework of Permanent Structured Cooperation (PESCO) e a ottenere il supporto a progetti di cyber defence da parte del European Defence Fund. Sul fronte della Cyber defense, già oggi EU e Nato collaborano con sforzi congiunti, tra cui esercizi coordinati per testare le capacità: la collaborazione sarà rafforzata.
• Una maggiore cooperazione a livello internazionale: l’EU rafforzerà le sue capacità di risposta implementando il Framework for a Joint EU Diplomatic Response to Malicious Cyber Activities, e tramite un maggiore impegno nell’allestire capacità di assistenza verso i paesi colpiti.

A conferma dell’attenzione data di recente al tema, il 3 ottobre scorso è stata la volta del Parlamento europeo che ha approvato con larga maggioranza una risoluzione non legislativa sul tema degli attacchi informatici[1]. Di seguito alcune delle misure raccomandate dagli eurodeputati: intensificare lo scambio di informazioni tramite Eurojust, Europol ed ENISA; garantire che i contenuti illeciti online siano eliminati immediatamente sulla base di una regolare procedura giuridica o, allorché la rimozione risulti impossibile, bloccare l’accesso a tali contenuti a partire dal territorio dell’Unione; investire in formazione; promuovere l’uso della cifratura e di altre tecnologie a sostegno della sicurezza; utilizzare fondi UE per la ricerca basata sul software open source a favore della sicurezza informatica. E ancora …  creare banche dati; consentire alle autorità di contrasto di accedere legalmente alle informazioni pertinenti (come l’identificazione di un determinato indirizzo IP); incoraggiare la comunità degli sviluppatori e degli esperti di cybersecurity a impegnarsi nell’attività della cosiddetta “ethical hacking” e nella segnalazione di vulnerabilità (vulnerability disclosure) oltre che nella segnalazione di contenuti illegali.

Qual è oggi il livello di rischio cyber in Europa rispetto al resto del mondo?

Secondo quanto riporta il Report IOCTA 2017 (Internet Organised Crime Threat Assessment Report) di Europol EC3, il Nord America continua ad essere il principale bersaglio del cyber crime: subisce la maggior parte del crimine con scopi di ritorno finanziario (37% delle frodi con business email compromise, BEC, a livello mondo), il più grande numero di data breaches (49% a livello globale), la maggior parte degli attacchi ransomware (34% rilevati negli USA) e del banking malware.

L’Europa segue il Nord America con un buon secondo posto: il Regno Unito è subito dietro gli USA per il più alto numero di frodi BEC (oltre il 9,5%), ed è al secondo posto a livello mondo per i data breach, anche se a grande distanza dagli USA. Germania, Italia, Olanda e Regno Unito insieme contano per il 16% del rilevamento di ransomware a livello globale. Germania e Russia sono invece tra i primi target del banking malware.

Fonte: 2017 Internet Organised Crime Threat Assessment (IOCTA) Report

Le politiche degli Stati EU sul fronte della cybersecurity sono comunque avanzate

Come si posiziona invece oggi l’Europa, rispetto al resto del mondo, in termini di impegno dei singoli Stati sul fronte della cybersecurity? Il Global Cybersecurity Index (GCI) dell’ITU, osserva in generale una situazione ancora molto differenziata (come mostra in figura la GCI Heat Map) se analizziamo la maturità le politiche dei diversi Stati nazionali.

In metà del mondo c’è ancora molto da fare in termini di awareness, conoscenza, comprensione del fenomeno, e quindi capacità di dotarsi di opportune strategie per la cybersecurity e di programmi efficaci nel garantire lo sviluppo dell’economia digitale nel proprio Paese.

L’Europa appare quindi nel complesso abbastanza avanzata, con alcune punte di eccellenza. L’analisi annuale dell’ITU misura il livello di commitment dei singoli Stati da diversi punti di vista: framework legale, misure tecniche e organizzative, capacity building e capacità di cooperazione. Come mostra la Figura successiva, rispetto alle altre aree del mondo (Africa, Americhe, Stati Arabi, Asia Pacific, Stati del Commonwealth), l’Europa raggiunge il posizionamento più alto in tutte le categorie.

Inoltre, 2 Paesi, l’Estonia e la Francia, figurano ai primi posti nella lista GCI dei 10 Paesi più avanzati sul fronte della Cybersecurity. In particolare, l’Estonia, al quinto posto, deve il suo posizionamento all’impegno dimostrato nell’ultimo decennio nell’allestire le migliori misure di difesa cyber, dopo che nel 2007 fu vittima di una prima forma di cyberwar, che si abbatte sul Paese colpendone numerose infrastrutture critiche (dal sistema finanziario ai siti governativi e ai media), in seguito a disaccordi con la Russia per lo spostamento di un monumento, il Bronze Soldier di Tallinn, legato alla Seconda Guerra mondiale.