Il 22 giugno 2023 l’Agenzia per la Cybersicurezza Nazionale ha divulgato l’Agenda di ricerca e innovazione per la cybersicurezza. Il documento, redatto in collaborazione con il Ministero dell’Università e della Ricerca, ha come fine quello di far emergere, stimolare e governare gli investimenti in ricerca e innovazione nel settore della sicurezza cibernetica, monitorarli nel tempo e valutarne le ricadute sulla protezione del Paese con l’obiettivo di proteggerlo e rafforzarne l’autonomia strategica.
L’Agenda è finalizzata a creare un ecosistema favorevole all’innovazione nei settori pubblico e privato ed è rivolta a tutti gli attori che operano direttamente o beneficiano della ricerca sulla cybersicurezza in Italia, incluse università, amministrazioni pubbliche, imprese e consorzi pubblici e privati.
Un anno di cyber security nazionale: che cosa ha fatto l’ACN
Indice degli argomenti
Struttura dell’Agenda di ricerca e innovazione per la cybersicurezza
Per quanto concerne la metodologia adottata, sono state identificate delle aree tramite raggruppamento e indicazione delle corrispondenze con le iniziative di classificazione esistenti nel dominio di conoscenza della cybersicurezza.
Successivamente, sono state definite delle sub-aree e dei relativi argomenti, tramite la valutazione sia delle priorità italiane ed europee sia di riferimenti rilevanti sul piano internazionale. Nel complesso sono state individuate 6 aree, 18 sub-aree e 60 argomenti.
Inoltre, è stata identificata una lista di cosiddette Emerging and Disruptive Technology (EDT), selezionate come rilevanti per la cybersicurezza e ritenute utili ad indirizzare lo studio degli argomenti di ricerca proposti.
Sicurezza dei dati e privacy
La prima area è quella denominata Sicurezza dei dati e privacy. Tale area è stata suddivisa in tre sub-aree, quali l’ingegneria della protezione dei dati, la crittografia e il trusted information sharing. Relativamente all’ingegneria della protezione dei dati, questa concerne la preservazione della privacy by-design e lo sfruttamento delle Privacy-Enhancing Technologies (PET).
A sua volta è stata suddivisa nei seguenti argomenti:
- elaborazione privacy-preserving dei dati, basata su tecniche come la crittografia omomorfica, la Secure Multi-party Computation (SMC), la differential privacy, la generazione di dati sintetici e soluzioni basate su sicurezza hardware come Trusted Execution Environment (TEE);
- memorizzazione privacy-preserving dei dati, che prevede tecniche crittografiche applicate all’hardware e al software che gestisce i supporti di memorizzazione;
- autenticazione, autorizzazione e controllo di accesso con garanzie di privacy aggiuntive, sfruttando tecniche che aumentano il livello di protezione dei dati come, le zero-knowledge proofs.
Per quanto riguarda la crittografia, questa è stata divisa in: ricerca di nuovi algoritmi e protocolli per il Post-Quantum Cryptography (PQC); studio della crittografia quantistica.
In aggiunta, come sottolinea l’Agenda, meriterebbero attenzione le soluzioni di crittografia omomorfica; ricerca di schemi per la Fully Homomorphic Encryption; e nuove funzioni crittografiche di hashing impiegate nelle blockchain.
Infine, gli argomenti identificati nel trusted information sharing sono: l’arricchimento delle soluzioni standard di interoperabilità semantica con controlli di sicurezza; e l’analisi di soluzioni architetturali per trusted information sharing e storage, sia per un settore specifico che per la condivisione dei dati tra settori.
Gestione delle minacce cibernetiche
La seconda area riguarda la Gestione delle Minacce Cibernetiche. Questo settore è stato diviso nelle sub-aree:
- attacco e difesa, la quale è suddivisa in: nuove tecniche di attacco e misure di difesa; rilevamento e risposta contro i malware; messa in sicurezza di algoritmi e modelli per il machine learning; e ricerca sull’adversarial behaviour;
- cyber threat intelligence, ripartita in: utilizzo del machine learning; ricerca di nuove metodologie per monitorare la disinformazione; e metodologie per l’attribuzione di attacchi alla sicurezza cibernetica;
- gestione degli incidenti e operazioni di sicurezza, divisa in: resilienza dei sistemi cyber-fisici; automazione via machine learning dei sistemi tradizionali; e nuove strategie di difesa da adottare nelle fasi di progettazione;
- scienze forensi digitali, che si articola in: nuovi approcci per gestire la complessità dei processi delle scienze forensi digitali; e sviluppo di contromisure per aggirare le tecniche antiforensi.
Sicurezza del software e delle piattaforme
La terza area è quella afferente alla Sicurezza del software e delle piattaforme. Questa sezione comprende come sub-aree:
- la sicurezza nello sviluppo e i test del software, a sua volta divisa in: nuovi linguaggi di programmazione security-aware; pratiche innovative di gestione sicura del ciclo di vita del software; studio del paradigma dell’open cloud; tecniche per rilevare vulnerabilità di sicurezza nel firmware e nei file binari; e sicurezza dei nuovi approcci alla virtualizzazione;
- la sicurezza nei sistemi operativi e le tecnologie di virtualizzazione, che si articola in: sicurezza dei nuovi approcci alla virtualizzazione; e progettazione di nuovi modelli di protezione per la sicurezza delle piattaforme e aggiornamento continuo dei modelli esistenti;
- le blockchain. In questa subarea figurano: le soluzioni ai problemi di sicurezza degli algoritmi di consenso e mining, come il peer flooding, il network partitioning, i block reorganization e i Byzantine faults; le tecnologie per smart contract; le tecniche di crittografia e anonimizzazione; e lo studio dell’economia delle blockchain.
Sicurezza delle infrastrutture digitali
Tra le altre aree disciplinari vi è poi la Sicurezza delle infrastrutture digitali. Secondo quanto affermato dall’ACN, queste ricoprono ad oggi un ruolo fondamentale per la società, in quanto sono in grado di abilitare l’utilizzo di servizi digitali da parte di cittadini e imprese.
In particolare, l’Agenda si sofferma sull’analisi degli apparati hardware e delle reti che compongono le infrastrutture digitali e sul livello di sicurezza degli stessi, al fine di assicurarne la resilienza cibernetica.
Per quanto concerne la sicurezza dei dispositivi hardware, gli argomenti prioritari proposti dall’ACN riguardano lo studio di vulnerabilità e attacchi indotti dall’hardware, ai fini di rilevare hardware malevolo e hardware trojan, e l’identificazione di nuovi attacchi a livello hardware che sfruttino canali laterali per sottrarre informazioni sensibili.
Vi è poi lo studio di approcci di sicurezza cibernetica ancorati all’hardware, in grado di rafforzare la fiducia verso algoritmi di autenticazione; la ricerca su nuovi modelli per il rilevamento sicuro dei dati e la progettazione di architetture hardware aperte per supportare l’ecosistema industriale nazionale ed europeo.
Ciò permetterebbe di prevenire la contraffazione dell’hardware e la dipendenza tecnologica da fornitori non affidabili.
Relativamente alla sicurezza delle reti, l’Agenzia ritiene che tali insiemi di dispositivi necessitino di un’attenzione particolare in ragione della peculiarità e criticità delle funzioni che svolgono, che le rendono obiettivo di minacce specifiche.
Tra gli argomenti prioritari mossi dall’ACN vi sono, perciò, il miglioramento della sicurezza e della resilienza di rete; l’elaborazione di nuovi approcci per la sicurezza dei sistemi IoT; il rafforzamento della sicurezza delle reti di telecomunicazioni cellulari; nonché lo sviluppo di infrastrutture per la comunicazione, allo scopo di costruire una rete con tecnologia nazionale ed europea, la quale consenta di trasmettere informazioni tramite crittografia ultrasicura proteggendosi da attacchi cibernetici.
Fattore umano e complessità delle cyber minacce
Le aree cinque e sei dell’Agenda sono dedicate, rispettivamente, agli aspetti riguardanti la Società e il Governo.
Nel primo caso, si fa riferimento alle violazioni cibernetiche che coinvolgono il fattore umano, come attacchi di social engineering, che adescano gli utenti facendo loro aprire documenti, file o e-mail, visitare pagine web o concedere accesso a sistemi o servizi a persone non autorizzate.
L’altra area si riferisce, invece, alla varietà e alla complessità delle minacce alla sicurezza cibernetica, le quali impongono politiche di indirizzo, processi e procedure che garantiscano una gestione efficace della sicurezza delle informazioni e dei sistemi nel pubblico e nel privato.
Per quanto concerne gli attacchi che coinvolgono il fattore umano, l’Agenda si focalizza soprattutto sui soggetti che quotidianamente rischiano di venire manipolati nell’ambito delle loro attività condotte sul web e di subire un attacco cyber.
Secondo quanto menzionato nel “Threat Landscape” della European Union Agency for Cybersecurity (ENISA), l’82% delle violazioni cibernetiche coinvolgerebbe il fattore umano e non meno del 60% delle violazioni in Europa, Medio Oriente e Africa implicherebbe la componente di ingegneria sociale nello svolgimento di attacchi cyber.
L’obiettivo dell’Agenda è, perciò, quello di fornire alcuni strumenti per migliorare i comportamenti degli utenti e, come definito da ACN, la loro postura di cybersicurezza. Si fa leva su aspetti umani, formativi e legali, in grado di contrastare l’utilizzo improprio della tecnologia, la distribuzione illecita di materiale sottratto durante una violazione dei dati, potenzialmente coperto da diritti di proprietà intellettuale, e il cybercrimine.
Gestione del rischio e standardizzazione
Vi sono poi gli aspetti organizzativi, di gestione del rischio e di standardizzazione, che competono ai funzionari e agli organi di Governo.
Come affermato dall’ACN, in considerazione della varietà di minacce alla sicurezza cibernetica e della complessità del loro trattamento, all’interno dell’Agenda sono stati proposti diversi sistemi di gestione della sicurezza delle informazioni, tra i quali si segnalano lo standard ISO/IEC 27001, il Cybersecurity Framework del NIST e il Framework Nazionale per la Cyber Security e la Data Protection.
In riferimento a ciò, l’Agenzia evidenzia come l’efficacia di tali sistemi di gestione sia massimizzata nel caso in cui questi vengano applicati a tutti i processi di un’organizzazione.
Inoltre, dovrebbero essere adottati dal numero maggiore possibile di organizzazioni, sia del settore pubblico che di quello privato.
Oltre alle raccomandazioni appena evidenziate, l’ACN elenca nel documento alcuni aspetti organizzativi, quali politiche di indirizzo, processi e procedure da poter attuare, e aspetti di gestione dei rischi associati alla possibilità che una o più minacce cyber sfruttino vulnerabilità presenti sugli apparati ICT, danneggiando sia singoli che enti dei settori pubblico e privato.
Infine, all’obiettivo di assicurare il raggiungimento dell’interoperabilità tra i diversi produttori, l’ACN promuove e supporta politiche e standard aperti internazionali.
Si mira, perciò, all’innovazione nella standardizzazione dei processi aziendali per la cybersicurezza e allo sviluppo di standard di sicurezza cibernetica specifici per le singole tecnologie.
