6 agosto 2021
Sull’attacco ransomware ai server della Regione Lazio sono state scritte molte cose in questi giorni, con vari errori, su tutti che l’attacco sia partito dal computer di un dipendente in smart working. Come dire che se il dipendente fosse stato al lavoro in ufficio l’attacco non avrebbe potuto avvenire: falso, perché il problema sono le credenziali rubate, non il luogo fisico dove vengono usate. Qui tra l’altro si colloca la grande questione delle credenziali, di cui dappertutto si sottolinea che sono individuali, che non devono essere cedute a nessuno, che il loro mal uso o inadeguata protezione può comportare conseguenze civili e penali).
Quello che ci riguarda tutti, perché è materia di educazione civica digitale, cioè di conoscenza del mondo digitale che è necessaria a tutti noi che vi viviamo immersi, è: come ci si protegge in previsione di tali eventi? Riporto in proposito la parte conclusiva di un articolo di Paolo Attivissimo uscito su Zeus News (Due parole sull’attacco informatico “terroristico” alla Regione Lazio, https://www.zeusnews.it/n.php?c=28911):
Come si possono evitare disastri del genere? Anche questo non è facile, ma i passi da compiere per ridurre la possibilità che accadano sono ben conosciuti:
- ridurre la superficie di attacco, per esempio togliendo gli accessi privilegiati a chi non ne ha strettamente bisogno (in smart working o meno) e dandoli soltanto a chi ha macchine molto protette e non usate in modo promiscuo (no, il PC del dirigente sul quale guarda il sitarello porno o i film piratati non deve avere accesso privilegiato alla rete aziendale);
- predisporre una procedura di backup (che va collaudata e testata) che offra il massimo isolamento fisico possibile;
- predisporre un piano di disaster management per sapere cosa fare se (anzi quando) un attacco va a segno e in base a quanto va a segno;
- avere un piano di comunicazione chiaro e trasparente.
Fra queste soluzioni, noterete, è vistosamente assente qualunque accenno a grandiosi piani di “cloud nazionale“. Perché “cloud nazionale” in politichese si traduce “pioggia di soldi per gli amici”, ma in informatica si traduce “single point of failure”. E se qualcuno ha bisogno che gli si traducano queste parole inglesi, tenetelo lontano da qualunque decisione informatica.
Attivissimo spiega che non occorre nulla di trascendentale, “solo” una buona e attenta gestione dei sistemi.
Sul tema ha scritto anche Massimo Mantellini:
Gli attacchi informatici confermano il ritardo tecnologico italiano
Cito due passaggi dell’articolo, che merita di essere letto per intero:
È probabile che le infrastrutture informatiche della regione Lazio facciano parte di quel 95 per cento di siti della pubblica amministrazione italiana che – sono le parole del ministro dell’innovazione Colao qualche settimana fa – risultano “prive dei requisiti minimi di sicurezza e affidabilità necessari per fornire servizi e gestire dati”. […]
Come facciamo a salvarci dalla pandemia o dagli attacchi ransomware, o dal prossimo accidente che il digitale ci sta in questo momento silenziosamente organizzando? Come potremo farlo se la classe dirigente è questa che abbiamo e se la nostra percezione di cittadini è tanto vaga e disinteressata?
Quella della classe dirigente è questione complessa; i cittadini siamo noi, e possiamo operare perché la nostra percezione di questi temi diventi più precisa e coinvolta. Sullo sfondo la questione culturale e di cittadinanza per cui nel mondo digitale siamo i dati che ci riguardano, e un furto di dati è una ferita inferta alla nostra persona digitale.
Maurizio Lana