Come è noto, a febbraio 2024 è stato pubblicato, l’Amendement 1:2024 della ISO/IEC 27001:2022 che tratta del cambiamento climatico, in linea con la Dichiarazione di Londra, sottoscritta a settembre 2021, dalla ISO, assumendo l’impegno che le sue norme e le sue pubblicazioni tengano conto dei cambiamenti climatici e sostengano l’Accordo di Parigi, gli obiettivi di sviluppo sostenibile delle Nazioni Unite e l’invito all’azione delle Nazioni Unite sull’adattamento e la resilienza, in linea con l’obiettivo 13 di agenda 2023.
Due sono le implicazioni che possono derivare da questo “addendum”:
- da un lato, occorrerà mettere in atto le misure per ridurre l’impatto del cambiamento climatico nelle organizzazioni e quindi ridefinire il ruolo delle stesse in relazione ai vari sistemi di gestione e, specificamente, a quello della sicurezza delle informazioni;
- dall’altro lato, invece, il tema del cambiamento climatico può essere affrontato seguendo il paradigma della “Security Convergence” attraverso un approccio multirischio partendo dalla consapevolezza che gli eventi climatici possono comportare dei nuovi rischi che minano la sicurezza delle informazioni.
Indice degli argomenti
Gli effetti del cambiamento climatico
Il cambiamento climatico comporta il verificarsi con maggiore frequenza e con notevole maggior impatto di eventi catastrofici come, ad esempio:
- eventi metereologici estremi come alluvioni, inondazioni, uragani, trombe d’aria ed incendi causati dalla siccità; Sono eventi che possono compromettere le infrastrutture delle reti di comunicazioni, le infrastrutture di produzione o smistamento dell’energia elettrica, i ripetitori (con conseguente interruzione delle comunicazioni), le infrastrutture critiche, le aree aziendali dove sono alloggiati i server e le apparecchiature;
- innalzamento del livello del mare che può causare, analogamente, inondazioni costiere che possono compromettere infrastrutture in prossimità delle coste;
- siccità da cui deriva un aumento del rischio incendio e/o la carenza di risorse idriche che, a loro volta, comportano effetti più gravi nell’eventualità di incendio. Inoltre, può derivare un abbassamento del livello e della portata dei fiumi con compromissione del funzionamento delle centrali idroelettriche e della refrigerazione dei data center con rilevanti conseguenze sulla continuità operativa dei data center e dei sistemi informatici;
- aumento della presenza di animali e della loro aggressività che possono danneggiare o interrompere le reti ed i collegamenti;
- aumento della temperatura che comporta potenziale interruzione dell’energia elettrica e/o del funzionamento di sistemi che necessitano di alcune condizioni ambientali specifiche.
Inoltre, non va dimenticato come effetto indiretto un aumento dei fenomeni migratori. Si tratta dei migranti climatici che si trovano costretti a lasciare le loro comunità in esito alle conseguenze dei fenomeni climatici estremi sulla loro vita e sulla loro salute. Tali eventi possono contribuire a creare conflitti di varia portata con conseguenti rischi anche sui sistemi informatici e le infrastrutture.
Quale soluzione: mitigazione, adattamento o sopportazione?
Il Consigliere scientifico dell’ex presidente Barack Obama, John Holdren esperto nelle cause e nelle conseguenze del cambiamento climatico globale, già nel 2007 sosteneva che: “We basically have three choices: mitigation, adaptation and suffering. We’re going to do some of each. The question is what the mix is going to be. The more mitigation we do, the less adaptation will be required and the less suffering there will be”.
In sintesi, già allora ci si poneva di fronte tre scelte “adattamento, mitigazione e sopportazione”.
Ora, escludendo l’opzione della mera “sopportazione”, si delineano due strategie principali per affrontare l’impatto del cambiamento climatico sui sistemi di gestione della sicurezza delle informazioni. La prima strategia mira a mitigare gli effetti, mentre la seconda si concentra sull’adattamento dei sistemi di gestione per renderli più resilienti in relazione a tali cambiamenti.
Le misure volte a mitigare prevedono azioni per ridurre, attraverso buone prassi, l’impatto dell’organizzazione sull’ambiente. Esse possono essere direttamente o indirettamente correlate al sistema di gestione della sicurezza delle informazioni. Esempio di una misura direttamente correlata ad un ISMS è l’attivazione dello screen saver dopo pochi minuti dal mancato utilizzo del sistema. Tali misure portano alla riduzione (per quanto limitata) del consumo di energia ed al contempo garantiscono un aumento delle misure di sicurezza.
Esempio di misura indirettamente correlata è, invece, l’acquisto dell’energia per il funzionamento della sala server da un produttore di energia verde. Tale misura impatta sul cambiamento climatico ma non porta alcuna maggiore sicurezza ai sistemi di gestione della sicurezza delle informazioni.
Il tema è già stato affrontato in un precedente articolo.
Il secondo approccio prevede l’implementazione di misure di adattamento volte a prevenire le conseguenze dell’impatto climatico. Tra queste, ad esempio, vi sono quelle poste in atto per contrastare la mancanza di energia elettrica necessaria al funzionamento dei sistemi.
Tale richiesta potrebbe essere dovuta ad un sovraccarico innescato da un eccesso di consumo degli impianti di condizionamento per ridurre la temperatura e l’umidità negli uffici ed utenze domestiche.
Alla luce di quanto sopra le misure di adattamento debbono considerare:
- misure proattive, volte ad anticipare ed a mitigare gli effetti degli eventi;
- misure reattive, quali i piani di business continuity.
Le misure proattive di adattamento
Le misure proattive che possono essere messe in campo sono volte ad anticipare e/o a mitigare gli effetti degli eventi climatici di carattere straordinario. Fermo restando che tali misure contrastano minacce non necessariamente originate solo dal cambiamento climatico.
La posizione e la costruzione di strutture fisiche dovrebbero tenere conto della topografia locale, come l’elevazione adeguata, la presenza di masse di acqua, la prossimità di argini, la presenza nelle vicinanze di aree boschive, di stabilimenti e strutture ad alto rischio incendio[1].
Per quanto riguarda, invece, più specificatamente i controlli, sulla base dei risultati della valutazione del rischio (requisito 6.1 della ISO/IEC 27001) condotta a seguito della analisi del contesto (requisito 4.1) e delle parti interessate (requisito 4.2), potrebbero essere considerate le misure di seguito indicate. Tali misure riguardano sia la fase di progettazione che gestione corrente delle attività.
| Minaccia da contrastare | Misura |
| Incendio | Utilizzare materiali ignifughi quali elementi di costruzione, arredi, cavi.Prevedere porte e pareti tagliafuoco per contenere e ritardare la propagazione dell’incendio.Disporre i cavi in canaline, per ridurre l’accumulo di polvere e il rischio di corto circuiti.Installare e configurare di sistemi capaci di rilevare incendi in una fase precoce (come fumo, calore anche ad alta sensibilità[2]) e che richiedono due condizioni per attivarsi, riducendo il rischio di attivazione accidentale[3].Disporre di sistemi in grado di inviare allarmi o attivare sistemi antincendio, ad esempio a gas inerti come argon, azoto o gas chimici, come FM-200, per estinguere gli incendi senza danneggiare i componenti elettronici e prevenire quindi i danni ai supporti di memorizzazione e ai sistemi di elaborazione delle informazioni.Garantire la presenza di estintori in prossimità dei locali e delle aree dove avviene il trattamento dei dati. Lo spegnimento degli incendi dovrebbe essere effettuato utilizzando la miscela più appropriata, tenendo conto dell’ambiente circostante (ad esempio gas in spazi confinati).Configurare le apparecchiature in linea con le indicazioni del costruttore in modo da evitare che si surriscaldino. |
| Allagamenti | Collocare la sala server ai piani superiori dell’edificio.Utilizzare:materiali da costruzione impermeabili per le pareti e i pavimenti della sala server.pavimenti tecnici rialzati o supporti rialzati per proteggere le apparecchiature dall’acqua che potrebbe accumularsi sul pavimento.coperture protettive per i server e altre apparecchiature critiche che possono proteggere dai danni causati dall’acqua.Assicurare sistemi adeguati di canalizzazione e scarico per gestire eventuali infiltrazioni o accumuli d’acqua.Sigillare le fessure, giunzioni e aperture nelle pareti, nei pavimenti e nei soffitti per impedire l’ingresso dell’acqua.Installare di sistemi capaci di rilevare allagamenti in una fase precoce sotto i pavimenti ed in altri punti strategici quali le aree contenenti supporti di memorizzazione o sistemi di elaborazione delle informazioni.Collegare i sistemi di rilevamento ad un sistema di allarme automatico che notifichi immediatamente il personale incaricato di intervenire.Installare pompe per il drenaggio o mezzi equivalenti. |
| Interruzione dell’energia elettrica | Prevedere la presenza di: gruppi di continuità (UPS) che garantiscano i tempi necessari per avviare generatori di emergenza e/o per spegnere in modo sicuro i sistemi.generatori di emergenza alimentati a diesel, gas naturale o altre fonti di combustibile per fornire energia in caso di interruzioni prolungate.doppia alimentazione (dual power supply) delle infrastrutture critiche per la sicurezza delle informazioni che permettono di ricevere energia da due fonti indipendenti.sistemi in grado di proteggere i sistemi informativi contro picchi dovuti a sovratensioni elettriche.sistemi di commutazione automatica che passano automaticamente l’alimentazione dai sistemi principali ai generatori di emergenza in caso di interruzione.batterie di riserva per fornire energia ai sistemi essenziali fino a quando i generatori di emergenza non sono completamente operativi.sistemi ridondanti per l’alimentazione al fine di evitare che un singolo punto di guasto possa causare un’interruzione totale dell’energia.sistemi di raffreddamento di emergenza per evitare il surriscaldamento dei server durante un’interruzione di energia. |
| Presenza di animali | Sigillare e proteggere gli accessi come porte, finestre anche tramite guarnizioni, reti antintrusione o grate su prese d’aria, condotti e altre aperture, utilizzare canaline chiuse.Mantenere i cavi per organizzati per evitare che diventino percorsi o rifugi per gli animali.Installare una pavimentazione rialzata che rende difficile l’accesso agli animali.Effettuare manutenzione e pulizia regolare eliminando residui di cibo o rifiuti.Effettuare ispezioni regolari per individuare e rimuovere eventuali tracce di animali, come escrementi o nidi.Installare dispositivi a ultrasuoni che emettano suoni che scoraggiano l’accesso degli animali.Posizionare trappole non letali o dispositivi di deterrenza.Installare sistemi di sorveglianza: per monitorare l’area e rilevare la presenza di animali.Contrattualizzare un servizio di disinfestazione per monitorare e controllare la presenza di infestanti.Formare il personale sull’importanza di mantenere l’ambiente pulito e sigillato e su come riconoscere i segni della presenza di animali. |
| Aumento della temperatura | Installare:condizionatori d’aria dedicati specificamente progettate per le sale server[4]sistemi di raffreddamento a liquido, che possono essere più efficaci in ambienti ad alta densità di caloreunità di raffreddamento ridondanti per garantire la continuità del raffreddamento in caso di guasto di una delle unità principalisistemi di raffreddamento di emergenza pronti a entrare in funzione in caso di guasto dei sistemi principali.Utilizzare pavimenti tecnici rialzati con piastrelle perforate per migliorare la circolazione dell’aria fredda sotto le attrezzature.Controllare e distribuire il flusso d’aria utilizzando corridoi freddi e caldi per ottimizzare il raffreddamento.Installare sensori di temperatura nei punti critici per monitorare costantemente le condizioni ambientali.Collegare i sensori a un sistema di allarme che notifichi il personale responsabile in caso di superamento delle soglie di temperatura ottimale.Garantire un’efficienza ottimale dei filtri dell’aria tramite manutenzioni regolariBilanciare il carico di lavoro tra i server per evitare il surriscaldamento di specifiche unità.Utilizzare tecnologie di virtualizzazione per ottimizzare l’uso delle risorse hardware e ridurre il carico termico.Utilizzare apparecchiature ad alta efficienza energetica che generano meno calore.Implementare politiche di gestione dell’energia per spegnere o ridurre l’uso di apparecchiature non necessarie.Installare deumidificatori per mantenere un livello di umidità adeguato[5]. |
Gli interruttori di emergenza e le valvole per interrompere l’acqua, il gas o altri servizi tecnici dovrebbero essere collocati vicino alle uscite di emergenza o nei locali tecnici.
Tra le misure bisogna anche prevedere di stipulare contratti di servizio con fornitori di servizi (energia elettrica, manutenzione, ecc. che garantiscano tempi di risposta rapidi in caso di guasti o interruzioni in linea con quanto previsto dal piano di Business Continuity.
Inoltre, non va dimenticato che l’eventuale espansione delle apparecchiature deve essere pianificata in modo da garantire che i sistemi che mitigano le minacce (come impianti antincendio, sistemi di raffreddamento ecc.) siano adeguati e se del caso potenziati in modo armonioso. L’installazione di nuove apparecchiature peraltro non deve ostacolare l’accesso ad impianti quali ad esempio sistemi antincendio.
Infine, per la prevenzione di minacce ambientali innescate da conflitti – causati a loro volta dalle condizioni climatiche- deve essere considerate, nella scelta dell’ubicazione fisica dell’organizzazione l’impatto che possono avere luoghi: simbolici, ad alta attrattività, difficili da proteggere.
Le misure indicate sono state mutuate anche dalle linee guida ISO/IEC 27002:2022 del controllo 7.5 “Protezione dalle minacce fisiche ed ambientali” e 7.11 “Infrastrutture di supporto”. Le linee guida pongono particolare attenzione al monitoraggio delle minacce e laddove queste variassero le misure stesse devono essere riconsiderate ed aggiornate.
Ovviamente i dispositivi vanno controllati, ispezionati e manutenuti regolarmente per assicurare l’efficacia e ne va verificato il funzionamento in linea con quanto previsto anche dal controllo ISO/IEC 27001:2022 7.13 “Manutenzione delle apparecchiature”.
Security Convergence e climate change: un approccio multirischio
Si è visto come il cambiamento climatico stia modificando radicalmente il panorama della sicurezza globale, con impatti diretti e indiretti sui sistemi di sicurezza delle informazioni.
In tale quadro di situazione, il paradigma della “Security Convergence” offre una prospettiva suggestiva ed interessante, poiché prevede la combinazione di sicurezza fisica, informatica e ambientale in un framework unificato. Questo “approccio multirischio” permette alle organizzazioni di gestire con maggiore efficacia i rischi multiformi introdotti da eventi climatici estremi.
L’importanza dei piani di Business Continuity in risposta agli eventi critici
In contesti aziendali sempre più esposti a incombenti minacce naturali oltre quelle tecnologiche, la capacità di un’organizzazione di anticipare e reagire efficacemente a eventi critici diventa essenziale per la sua continuità operativa.
Eventi come incendi e inondazioni possono non solo compromettere l’accessibilità delle informazioni, ma anche impattare gravemente sulle operazioni aziendali.
È, quindi, essenziale che le organizzazioni adottino strategie di business continuity robuste e proattive, basate su standard internazionali come la ISO 22301:2019, per garantire la resilienza e la continuità operativa.
Ecco perché, per fronteggiare gli imprevisti, le organizzazioni devono essere in grado di:
- valutare scenari possibili;
- la probabilità del loro verificarsi;
- la gravità delle loro conseguenze.
Questo processo di valutazione è fondamentale per definire e implementare piani di risposta efficaci e tempestivi. La formulazione di piani di business continuity prende in considerazione diversi parametri per garantire sia la sicurezza informatica che la continuità dei processi aziendali.
Parametri informatici
- RTO (o Recovery Time Objective) – il tempo previsto di ripristino (in emergenza) dei sistemi informatici;
- RPO (o Recovery Point Objective), ossia i dati che si prevede di perdere con il ripristino.
Parametri di processo
- MTPD (o Maximum Tolerable Period of Disruption) – il tempo massimo che un processo può non essere disponibile;
- MBCO (o Minimum Business Continuity Objective) – le prestazioni minime che un processo deve garantire.
La norma ISO 22301 e la resilienza aziendale
La norma ISO 22301:2019 “Sistema di gestione della continuità operativa” fornisce un framework indispensabile per gestire la resilienza organizzativa. Essa sottolinea l’importanza di adottare un approccio proattivo alla gestione delle emergenze, considerando l’impatto inevitabile del cambiamento climatico.
La norma riconosce anche il valore delle esercitazioni pratiche, che devono essere regolarmente pianificate e gestite per trarre insegnamenti utili (le cc.dd.lessons learned), migliorando continuamente le strategie di risposta.
Così, in un’era in cui il cambiamento climatico rappresenta una minaccia crescente e inevitabile, l’adozione di norme come la ISO 22301 diventa un pilastro fondamentale per la sicurezza e la continuità delle operazioni aziendali.
Gli eventi critici, che un tempo potevano essere considerati rari o improbabili, oggi devono essere pianificati e gestiti con la ragionevole aspettativa che accadranno. Le organizzazioni che investono in una preparazione adeguata e in piani di business continuity solidi non solo proteggeranno le loro risorse vitali, ma saranno anche meglio posizionate per affrontare efficacemente le sfide del futuro.
Conclusioni
L’aggiornamento della normativa ISO 27001 per includere il cambiamento climatico rappresenta un punto di svolta essenziale nella gestione della sicurezza delle informazioni.
Oltre alla protezione contro gli attacchi cyber e gli errori operativi, le organizzazioni ora devono affrontare una serie sempre più ampia di minacce ambientali, destinate a crescere in frequenza e intensità.
Resilienza e adattabilità diventano così i “pillar” essenziali per sviluppare le strategie di sicurezza del futuro, assicurando che le pratiche aziendali siano non solo efficaci ma anche sostenibili nel lungo periodo. In ultima analisi, si prevede che le organizzazioni non solo reagiscano ai pericoli attuali, ma anche che prevedano e si preparino in modo proattivo per le sfide emergenti.
Occorre rivalutare e attualizzare il paradigma della Security Convergence. Ma questo è un argomento che merita un’autonoma riflessione.
[1]La presenza di linee di faglia tettoniche in prossimità della sede dell’organizzazione è un fattore da considerare ma che non presenta alcun legame, per quello ad oggi noto, con il tema del cambiamento climatico.
[2] Come ad esempio i sistemi di rilevazione fumi VESDA Very Early Smoke Detection Apparatusche utilizza una rete di tubazioni di campionamento che aspira continuamente l’aria dalla zona da proteggere e la invia al rilevatore e permette quindi di rilevare la presenza di fumo già in una fase iniziale.
[3] Sprinkler pre-azione:
[4] Si tratta di sistemi CRAC/CRAH Computer Room Air Conditioning/Handling.
[5] Considerare che l’accumulo di umidità che può danneggiare le apparecchiature e l’eccessiva secchezza può causare scariche elettrostatiche.
