5.1. CERT: significato e definizioni generali¶

Il significato di CERT è comunemente associato ad un gruppo di professionisti dedicato alla gestione degli incidenti di sicurezza informatica, in grado di cooperare e coordinare gli interventi necessari per contenere il loro impatto e rispristinare le normali o accettabili condizioni operative nell’erogazione dei servizi. Al fine di attenuare gli impatti e ridurre al minimo il numero di interventi richiesti, la maggior parte dei CERT fornisce anche servizi di prevenzione e di formazione e sensibilizzazione per la propria comunità di riferimento.

Il funzionamento dei CERT si basa sulla gestione integrata dei flussi informativi provenienti dalla propria constituency e dal mondo esterno, in qualità di unica interfaccia operativa per le attività di Information Sharing. I CERT capaci di raccogliere, oltre alle segnalazioni di incidenti informatici, le vulnerabilità e le potenziali minacce, analizzano gli impatti che si potrebbero verificare sulle infrastrutture informatiche della propria constituency (o sull’organizzazione stessa) così da indentificare i rischi e dunque le più adeguate contromisure.

Nel contesto attuale lo scopo e la missione dei CERT sono stati estesi, e più che parlare di “Response” (risposta) si pone l’accento sulla nozione di “Readiness” (prontezza / preparazione). In particolare, a fronte dell’evoluzione dei servizi informatici, della crescente sofisticazione delle minacce e della rilevanza strategica dei target cui le stesse si rivolgono, ogni organizzazione, di fronte ad un incidente di sicurezza informatica, deve prepararsi per tempo, sviluppando la propria cultura e mettendo in campo azioni proattive e procedure tese a ridurre la probabilità ma anche l’impatto degli incidenti. Condurre le organizzazioni verso uno stato di “Readiness” in tema di cyber security vuol dire dunque sviluppare quella capacità di adattare i propri sistemi di difesa (non solo tecnologici, ma anche di processo e procedurali) sulla base dell’evoluzione delle minacce, della scoperta di nuove vulnerabilità e degli incidenti avvenuti sia internamente che subiti da altre organizzazioni.

Elementi fondamentali per assicurare la Readiness sono in particolare:

• capacità di rilevazione e risposta agli incidenti;
• capacità di comprendere ciò che sta avvenendo sulle proprie infrastrutture e sui sistemi, attraverso una conoscenza approfondita dei propri asset, incluse le configurazioni dei sistemi e le vulnerabilità;
• capacità di individuare le minacce esterne e le modalità con cui potrebbero essere colpiti i propri sistemi e servizi informatici;
• capacità di condividere informazioni, in modo efficiente, per consentire alle organizzazioni, alle amministrazioni, alle istituzioni, alle infrastrutture critiche di scambiarsi conoscenza al fine di anticipare eventuali attacchi, innalzando in questo modo il proprio livello di protezione.

5.2. Categorie di CERT¶

In funzione della finalità e del contesto operativo nel quale essi operano, è possibile distinguere diverse tipologie di CERT [60]:

5.3. Mission dei CERT¶

Le attività critiche di un CERT dovrebbero comprendere almeno le seguenti:

• fornire supporto ed assistenza specialistica alla constituency nell’analisi dei dati relativi alle minacce informatiche emergenti e nella risoluzione degli incidenti di cyber security;
• agevolare la diffusione di informazioni tempestive e immediatamente utilizzabili su nuovi scenari di rischio, attacchi in corso, trend di fenomeni cibernetici indirizzati a specifici settori, organizzazioni o territori;
• incentivare l’applicazione dei processi di gestione della sicurezza, delle metodologie e delle metriche valutative per il governo della sicurezza cibernetica definite;
• facilitare le attività di prevenzione e monitoraggio degli eventi cibernetici sul territorio, agendo come unità capaci di esercitare un controllo più diretto a livello locale;
• collaborare e cooperare con le altre organizzazioni nazionali ed internazionali nel potenziamento e miglioramento della capacità difensiva delle organizzazioni in materia di cyber security;
• accrescere le competenze specialistiche degli addetti alla sicurezza cibernetica e migliorare le attività di sensibilizzazione su questi temi a livello locale.

5.4. Identificazione della constituency¶

Nell’ambito del proprio funzionamento, ogni CERT interagirà con una vasta gamma di entità e soggetti. La più importante comunità tra queste è quella per cui il CERT stesso è stato fondato e a cui rivolgerà i propri servizi, ovvero la sua constituency, ovvero la comunità di utenti ed entità interni o esterni all’organizzazione cui il CERT appartiene e verso cui il CERT eroga istituzionalmente i propri servizi. Questa potrà essere illimitata (un CERT che fornirà servizio a chiunque ne faccia richiesta), oppure può essere limitata da alcune restrizioni, quali ad esempio:

• vincoli di natura finanziaria legati all’entità dei fondi iniziali ottenuti per la costituzione del CERT e l’avvio delle attività;
• vincoli di natura geografica o politica, come nel caso di CERT che dovranno supportare una constituency nazionale o legata a singole organizzazioni dell’apparato governativo o amministrativo di un Paese;
• vincoli di natura tecnico-organizzativa, quando ad esempio un CERT viene costituito all’interno di una determinata organizzazione oppure è avviato per offrire servizi verso una specifica clientela di mercato.

Il CERT, oltre che con la propria constituency, potrà comunque intrattenere rapporti con ulteriori entità non ricomprese in quest’ultima, organizzate all’interno di una o più community informali, più o meno strutturate (si pensi ad esempio ad attività di scambio di informazioni tra le parti regolate da specifici accordi o a regolamenti generali definiti dalle community stesse).

L’identificazione della propria constituency è un’operazione estremamente critica per l’efficacia di un CERT. Infatti, a seconda della gamma di servizi offerti da un CERT e della natura di tali servizi, un CERT potrebbe anche avere la necessità di definire più di una constituency. È altresì possibile che uno o più CERT offrano un determinato servizio a constituency che si sovrappongono, con il rischio di avere uno scarso coordinamento in termini di ruoli e responsabilità nonché una potenziale duplicazione degli sforzi e servizi inefficaci e/o in reciproco contrasto (si pensi ad esempio alla sovrapposizione di un CERT privato con uno governativo nell’ambito degli stessi servizi).

Con riferimento alle diverse tipologie di CERT individuati in Tabella 5.2, è possibile individuare specifiche constituency.

Allo stesso modo, anche quando una constituency è molto circoscritta, un CERT potrebbe avere comunque la necessità di interagire con entità esterne al proprio ambito di intervento per raccogliere informazioni utili alla propria constituency. In tal senso, alcuni CERT possono agire come vero e proprio centro di coordinamento tra la propria constituency ed altre parti esterne (come altri CERT, forze dell’ordine, fornitori, media, ecc.) e tali relazioni possono prevedere il semplice inoltro di richieste di informazioni per arrivare a situazioni di completa condivisione dei dati e delle informazioni e alla piena collaborazione.

Una volta individuata e definite la constituency, il CERT dovrebbe promuovere sé stesso e i suoi servizi sia all’interno della propria constituency che al di fuori della stessa nel modo più ampio possibile per garantire una chiara comprensione del suo ruolo e dei servizi offerti ed ottenere un riconoscimento all’interno della più ampia comunità dei CERT. Tale promozione dovrebbe essere effettuata attraverso il maggior numero possibile di canali di comunicazione, inclusi quelli istituzionali (sito web, ecc.), organizzazione di workshop e in generale attività di sensibilizzazione.

5.5. CERT regionali¶

AGID [62], tramite le attività operative in carico al CERT-PA, supporta le PA nella prevenzione e nella risposta agli incidenti di sicurezza informatica che avvengono nel dominio costituito dalle stesse. Il CERT-PA è infatti la struttura responsabile per la conduzione e gestione delle attività operative e per il monitoraggio dello spazio cibernetico delle PA, anche tramite l’attivazione di specifiche collaborazioni con le comunità di riferimento nazionali ed internazionali.

Ai fini dell’efficacia del modello di interazione tra CERT-PA e PAL, si rende opportuna una decentralizzazione delle attività operative oggi in carico al CERT-PA, fondamentale per raggiungere in modo capillare tutte le amministrazioni del territorio nazionale. Infatti, l’attuale modello, basato su un unico CERT-PA centrale, risulta essere insufficiente rispetto alla nuova complessità del sistema, che ha visto un significativo aumento delle entità appartenenti alla Constituency [63]. Per operare efficacemente la sicurezza cibernetica a livello delle strutture locali della PA è dunque auspicabile la creazione di una rete nazionale di CERT periferici (CERT Regionali), supplementari al CERT-PA, i quali possano garantire, sulla base di un modello di interazione definito, un primo supporto diretto alle PAL, attivando un processo di escalation verso il CERT-PA in caso di necessità.

I CERT Regionali dovranno essere costituiti dunque con l’obiettivo di facilitare le attività di prevenzione e monitoraggio del CERT-PA, agendo come unità locali in grado di esercitare un controllo più diretto sul territorio, e di gestire tutti quegli incidenti di Cyber Security per i quali il CERT-PA non deve essere necessariamente coinvolto in maniera diretta, in quanto:

• sono limitati ad un singolo ente locale o ad un numero limitato di PAL;
• producono limitate implicazioni di sicurezza in termini di impatto su asset ed informazioni e sono pertanto gestibili nell’ambito delle normali attività operative della PAL stessa e/o di organismi periferici, quali i CERT Regionali;
• sono relativi a PAL che non hanno aderito al processo di accreditamento al CERT-PA.

Le PAL cercano da tempo di sviluppare maggiori competenze e servizi specialistici per contrastare le minacce cibernetiche che crescono in numero e sofisticatezza, ma non tutte possiedono dimensioni, risorse umane, tecniche ed economiche sufficienti per raggiungere tale risultato. La possibilità di accedere ad infrastrutture e risorse specializzate – messe a disposizione dai CERT regionali - costituisce un elemento chiave per l’innalzamento dei livelli di sicurezza di tali enti.

Nel modello unificato di CERT su scala nazionale, i CERT regionali rappresenteranno entità più vicine alle PAL in senso geografico, operando, da un lato, come strutture di supporto verso le stesse e, dall’altro, fungendo da elemento di raccordo fra periferia e centro (CERT-PA).

Per garantire omogeneità di comportamento e interoperabilità sia orizzontale che verticale è necessario che tutti i CERT della rete regionale operino secondo un modello organizzativo ed operativo comune, che individui e definisca struttura, organizzazione, risorse, servizi e processi e meccanismi di interazione con le PAL.

Il modello proposto nel documento definisce una serie di elementi e di aspetti chiave alla base della costituzione e dell’avvio dei CERT regionali, come di seguito illustrato:

• definizione della mission dei CERT regionali, ovvero la funzione di base che ha determinato la costituzione degli stessi, in termini di obiettivi ed attività fornite alla propria comunità di riferimento;
• definizione della Constituency da servire, ovvero la comunità di soggetti ed entità che potranno accedere ai servizi offerti dai CERT regionali e/o che si potranno mettere in contatto ed attuare relazioni di mutuo scambio di informazioni con gli stessi (es. altri CERT nazionali e governativi), e definizione delle relative modalità di ingaggio, di cooperazione e di affiliazione;
• sviluppo del catalogo dei servizi offerti dai CERT regionali, supplementare a quello offerto dal CERT-PA, determinando i benefici e le aspettative connesse a ciascun servizio;
• definizione del modello organizzativo ed amministrativo, del sistema di ruoli e responsabilità e dei livelli di delega, in accordo con gli indirizzi strategici nazionali e con le pratiche attuate dal CERT-PA;
• definizione dei processi operativi a supporto dell’erogazione dei servizi ed in particolare quelli di gestione degli incidenti, di escalation verso il CERT-PA e di comunicazione verso altri enti locali e/o centrali;
• formalizzazione delle responsabilità definite nell’ambito dei processi operativi;
• sviluppo delle capacità, in termini di Risorse, Tecnologie ed Infrastrutture, da implementare e/o migliorare per il funzionamento dei CERT regionali;
• definizione dei requisiti di sicurezza fisica e logica per la protezione degli spazi di lavoro, degli asset informatici e delle informazioni impiegati dai CERT regionali;
• definizione dei meccanismi di interazione e cooperazione, inclusa l’identificazione del modello di affiliazione e/o accreditamento più appropriato in funzione dei servizi offerti;
• definizione di una roadmap al fine di prioritizzare il rilascio dei servizi e delle capacità connesse sulla base del loro rapporto costi/benefici, valutando, al contempo, la possibilità di ricevere finanziamenti di tipo governativo sia livello nazionale che sovranazionale (i.e. europeo).