Cosa c’entra la sicurezza informatica con treni, aerei, porti, autobus? In realtà, il settore della mobilità non è immune da minacce e da rischi: gli attacchi sono quotidiani e possono avere un impatto devastante sull’economia del Paese limitando gli spostamenti e l’operatività. Nei casi più gravi rischiano di provocare incidenti.
Nell’arco di un lavoro durato due mesi abbiamo provato a capire come alcune delle maggiori realtà italiane nel settore dei trasporti si stanno attrezzando sul fronte della cyber security.
Indice degli argomenti
La cyber security nei trasporti è ancora un tabù
Tra ritardi, mancate risposte, silenzi imbarazzati, sono in pochi ad aver accettato di parlare apertamente, e a farlo in tempi ragionevoli. La sicurezza digitale è ancora tabù. Forse perché, suggerisce qualcuno sottovoce, comporta un ripensamento strutturale che non tutte le realtà sono in grado di affrontare.
Anche il ministero dei Trasporti, che oggi si chiama Ministero delle Infrastrutture e della mobilità sostenibili, si è perso per strada. Un dirigente molto cortese si è offerto di rispondere alle nostre domande; ma a sessanta giorni di distanza, e dopo ripetuti solleciti, nulla ci è pervenuto. Eppure, qualche mese fa, un attacco da parte di un gruppo coreano noto alle cronache cyber avrebbe messo in vendita nel deep web alcuni dati riconducibili al dicastero. Ve lo avevamo raccontato anche su queste pagine.
Non solo. Negli scorsi giorni un altro attacco ha toccato il ministero, l’autorità regolatrice e l’azienda romana per il Trasporto pubblico locale, (Atac). L’azione è stata rivendicata sui gruppi social e canali Telegram dal gruppo filorusso NoName057 e collegata all’addestramento di soldati ucraini in Italia. L’attacco è stato di tipo Ddos (distributed denial of service), una tipologia che mira a rendere un sito indisponibile sovraccaricandolo di richieste.
Primi veri disservizi in Italia dagli attacchi dei filo russi NoName
Per comodità abbiamo diviso il nostro lavoro in sezioni affini.
Vediamo come i trasporti su gomma, mare, ferro e aria affrontano le sfide legate alla sicurezza informatica.
Il trasporto su gomma
Partiamo dalle autostrade. Dal monitoraggio del traffico al pagamento dei pedaggi (anche in modalità smart tolling, cioè senza casello), dai pannelli informativi alle pavimentazioni ad alta tecnologia in grado di inviare dati, fino al monitoraggio infrastrutturale, tutto passa per i bit.
La rete autostradale in Italia è gestita da diverse società concessionarie private. La più grande è Autostrade per l’Italia, cui fanno capo 2.854,6 km, ai quali si aggiungono altri 150 km gestiti dalle controllate, per un totale di poco più di tremila chilometri: il 50,7% del sistema autostradale italiano.
La piattaforma di Autostrade
La società dispone di una piattaforma del gestione del traffico che è il cuore nevralgico delle attività. La piattaforma è gestita dalla società Movyon, parte del gruppo Autostrade per l’Italia, definita sul sito “il catalizzatore per l’innovazione tecnologica di Aspi”.
La piattaforma, si legge sul sito, “permette di inviare informazioni ai driver attraverso i pannelli a messaggio variabile e contattare i canali di comunicazione, ad esempio radio e sistemi terzi, come i centri di viabilità. Il sistema consente di gestire inoltre tutto l’iter di un allarme SOS, produrre reportistica e gestire eventi futuri: sia quelli pianificabili, come la programmazione dei cantieri autostradali, sia quelli non pianificabili”.
E’ evidente che un attacco potrebbe mettere in seria difficoltà la gestione quotidiana. Cosa accadrebbe se qualcuno portasse improvvisamente a zero il costo dei pedaggi? O se prendesse il controllo dei pannelli autostradali, fornendo indicazioni sbagliate e potenzialmente paralizzando il traffico?
Infrastrutture critiche, l’approccio dei CISO alla resilienza
Non è tutto. La società dispone anche di una piattaforma di whistleblowing che, riporta il sito, “garantisce il completo anonimato tramite una politica no log: non rileva cioè in alcun modo, diretto o indiretto, informazioni sulle modalità di connessione. Pertanto, i sistemi informatici aziendali non sono in grado di identificare il punto di accesso al portale, anche se l’accesso sia effettuato da un computer connesso alla rete aziendale”.
Il settore delle autostrade con la cantieristica e gli appalti è estremamente sensibile. I dati però sono ospitati su un server, che può essere attaccato.
Cybersecurity360 ha preparato una serie di domande sulle procedure di gestione della sicurezza che ha provato a rivolgere ad Autostrade per l’Italia: il risultato è stato deludente. La società ha comunicato tramite un portavoce la volontà di non rispondere sul tema della sicurezza informatica.
La realtà di Itabus
Maggior fortuna abbiamo avuto con Itabus, pmi innovativa che gestisce una rete di collegamenti su gomma. Cento bus, 3.700 collegamenti giornalieri con oltre 140 fermate. Non c’è un Ciso (chief information security officer), spiega il chief information and technology officer Gian Piero Di Muro: per il momento, afferma il dirigente, è lui stesso ad avere in carico la funzione.
Di Muro spiega come l’azienda sia fortemente digitalizzata: per questo, dice, “il coordinamento delle azioni di sicurezza è delegato e centralizzato sul dipartimento It che deve poter attivare le migliori policy di sicurezza sulla base delle caratteristiche dell’architettura e senza essere condizionato dalle esigenze di business”. Tradotto: non si bada a spese.
Di Muro ammette che l’azienda ha subito diversi tentativi di intrusione, “ma grazie all’architettura It che abbiamo progettato, e alla sensibilità del personale Itabus, questi tentativi non hanno portato a nessuno esito per gli attaccanti”.
“Il data breach connesso ai dati dei nostri clienti – aggiunge – è l’elemento sul quale riteniamo di dover fare il maggiore sforzo possibile per evitarlo/contrastarlo”.
Tra le pratiche seguite, “periodiche attività di PenTest, strumenti di monitoraggio della sicurezza (SIEM), attente Policy sull’utilizzo/adozione di MFA per l’accesso ai PC e alle Piattaforme dell’architettura IT, formazione e campagne di sensibilizzazione interne a tutti gli utenti e, in modo, particolare agli amministratori di sistema, identificazione di idonee procedure per l’attivazione delle utenze (secondo il modello RBAC), data breach, business continuity”.
Un lavoro costante. “Sul tema della sicurezza informatica non si può pensare di arrivare a un momento in cui si è sicuri: pertanto riteniamo che sia un item su cui investire, con l’affiancamento di società specializzate”.
“Informarsi e informare – conclude Di Muro – devono essere tra le priorità della struttura It aziendale, coltivate e attenzionate senza soluzione di continuità”.
Il trasporto via mare e il vuoto legislativo sulla cyber security
Tra le infrastrutture essenziali ci sono sicuramente i porti. Ma quando quattro o cinque anni fa ha cominciato a porsi con veemenza il problema della cyber security, ci si è resi conto che non erano stati menzionati dalla normativa.
Molte le norme sulla sicurezza della navigazione e su quella di persone e merci negli scali: ma esisteva un vuoto sulla sicurezza informatica. Un vuoto che, peraltro, offriva importanti opportunità di mercato, spiega a Cybersecurity360 Maticmind, system integrator che lavora con alcuni grandi scali.
Le dimensioni dei porti variano molto e comportano problematiche differenti. Ci sono i piccoli approdi turistici e i giganteschi scali come quello di Genova o di Gioia Tauro, che gestiscono milioni di container e tramite cui merci di ogni tipo entrano nel Paese. Legali e non.
Cyber security nei porti europei, dalle disposizioni ENISA alla NIS 2: serve consapevolezza
In alcune realtà l’informatizzazione è spinta, e gestisce gli accessi, le banchine, moli di scarico, il collegamento alla rete ferroviaria.
Quelli più virtuosi dispongono del riconoscimento automatico delle targhe in entrata e uscita: l’autista impegnato in operazioni di carico e scarico deve comunicare preventivamente tramite un sistema digitale l’identità, il tipo di merce trasportata, le informazioni sulla merce trasportata, le targhe dei mezzi: la sbarra si alza solo se la targa è conosciuta e ritenuta affidabile.
Procedure di controllo manuale sarebbero più difficili da superare, ma comporterebbero tempi lunghi; con la digitalizzazione, si guadagna in velocità, ma ci si espone ad attacchi. Basta entrare nel sistema rubando l’identità di una ditta nota e concedere i permessi di accesso a mezzi non autorizzati, per far entrare qualsiasi tipo di merce, anche veicolo con carichi illegali.
“I controlli sono a campione” spiega Maticmind, “con un attacco mirato è possibile far entrare droga, merci illegali e armi: del resto, i container sono enormi e i controlli a campione: la conoscenza della ditta e del trasportatore gioca un ruolo importante”.
C’è poi la gestione degli spazi: i clienti hanno a disposizione una mappa delle banchine e scelgono dove scaricare e stoccare la merce prenotando con mesi di anticipo. Tutto funziona come un orologio per assicurare che non ci siano sovrapposizioni: facile intravedere come un attacco può generare il caos, affittando aree già assegnate.
I dipendenti sono pochi. “Le autorità portuali di solito ne hanno pochi, di solito una ventina circa, ma non più di due o tre sono dedicati all’It, anche in realtà grandi” riprende Maticmind.
Infine, sottolinea la società, “la cybersecurity è anche un problema organizzativo, di processi: è necessario installare le patch quando escono, tema legato alla sensibilità del personale, alla competenza tecnica e anche nel budget”. Per ovviare, “la prima cosa che facciamo è mappare tutte le figure aziendali e attribuire determinate responsabilità, come quella di Ciso”.
La cybser security nelle ferrovie
Anche i treni sono un affare mica da ridere. Le moderne stazioni sono gestite da sistemi informatici, così come gli scambi, e i treni che corrono a oltre 300 all’ora sui binari della Penisola. Non solo. Tutta la procedura di vendita dei biglietti è automatizzata, e buona parte avvengono online. E poi c’è la sicurezza delle stazioni, che viene gestita tramite telecamere.
Italo ha risposto alle nostre domande con buon tempismo con il direttore It Daniele Deligia. “Da oltre tre anni esiste un’unità cyber security che risponde a me. L’unità è gestita dal Ciso Enrico Maresca e il team è attualmente costituito da 5 risorse interne ed 10 risorse esterne”.
I tentativi di attacco, afferma Italo, sono giornalieri. “Oggi tutte le aziende sono digitali e connesse a Internet – afferma Deligia – Questo espone a diverse tipologie di eventi, dal classico phishing a quelli più sofisticati quali, ad esempio, quelli di credential abuse sui nostri canali di vendita”.
“I criminali informatici – riprende il manager – trovano sempre più spesso forme più raffinate di attacco e intrusione nei domini e dati aziendali”. Gli attacchi più temuti? “Sono quelli in grado di compromettere il business aziendale, ad esempio la vendita dei titoli di viaggio, ma soprattutto gli attacchi in grado di esfiltrare i dati personali dei nostri clienti”.
Ferrovie dello Stato, invece, non ha risposto alle nostre richieste. L’azienda ha un capo della cyber sicurezza, Riccardo Barrile. Ma, dopo un primo contatto con l’ufficio stampa, non ha dato seguito alle nostre richieste.
Il trasporto aereo e la variabile cyber
Chiudiamo la panoramica con il settore del traffico aereo, quello, nell’immaginario comune, più delicato. Nei giorni scorsi è stato preso di mira il sito internet dell’aeroporto di Bologna, con l’attacco che ha rallentato e in parte bloccato la navigazione.
Ma sono tante le operazioni completamente digitalizzate, dai metal detector al controllo dei passaporti, per passare al transito delle valigie, che possono finire a migliaia di chilometri di distanza.
Enav sceglie il silenzio
Enav, l’ente che gestisce il traffico aereo, non ha rilasciato dichiarazioni. “Per policy interna, la società non parla di sicurezza informatica” ha fatto sapere un portavoce. “Non troverà dichiarazioni sul tema da parte nostra nemmeno in passato”. Eppure, l’Enav gestisce le torri di controllo della Penisola, quelle che permettono la navigazione, e che possono diventare un bersaglio, con le conseguenze del caso in termini di sicurezza.
La strategia cyber di Ita Airways
Dopo qualche tentativo, siamo riusciti a contattare Ita Airways, compagnia nata pochi mesi fa sulle ceneri di Alitalia. Oltre 2.500 dipendenti, 68 destinazioni.
A febbraio, per diversi giorni sono state impossibili le operazioni di prenotazione e modifica dei voli. In piena settimana. “Aggiornamento del sistema informatico” recitava la voce preregistrata quando si chiamava il call center.
L’azienda conferma. “L’importante aggiornamento dei propri sistemi informatici avrà un impatto sulla gestione di tutta la customer journey, dalla prenotazione al check-in fino alle operazioni di imbarco” ci ha risposto Ita – “e comporterà il passaggio dall’attuale sistema Sabre ad Amadeus. Questo aggiornamento ha l’obiettivo di migliorare l’esperienza di viaggio ed offrire ai passeggeri servizi sempre più innovativi e personalizzati”.
Ita non ha un Ciso, ma un capo della sicurezza e chief technology officer, il generale Francesco Presicce.
“Il nostro complesso business è saldamente supportato dalla funzione Technology da me guidata” spiega. “Questa è suddivisa in 3 pilastri: Information Technology, Innovation Technology e Cyber Security. Abbiamo voluto trasformare ed innovare, costruendo un’organizzazione meno rigida e adottando metodologie ‘smart&agile’, di fatto le uniche in grado di garantire la giusta reattività ad ogni esigenza di business”.
Presicce spiega che è in corso una svolta epocale. “In questa prima fase – dice – abbiamo totalmente rivisto l’infrastruttura tecnologica on premises che andava rinnovata ed efficientata. È stata quindi attuata una trasformazione in cloud dell’intero parco della infra/info struttura, con una radicale razionalizzazione, ottimizzazione ed efficientamento che vedeva quasi 200 applicativi e che punta, oggi, ad ‘atterrare’ a meno di 50”.
Il fine è lo snellimento e la rapidità dei processi e la maggiore flessibilità, oltre alla garanzia di avere software ed applicativi costantemente aggiornati ed in linea con le nuove esigenze del mercato in grado di garantire un adeguato livello di sicurezza. “Oggi ITA Airways è una compagnia tecnologicamente moderna dove la cybersecurity riveste una importanza fondamentale”.
Attacchi giornalieri
Diversi gli attacchi registrati nell’ultimo anno. Il conflitto ucraino non ha aiutato. “Gli eventi si registrano in tutti i settori ma tra questi le azioni malevoli registrano maggiori successi lì dove vengono colpiti i dati di ‘masse di popolazione’” – prosegue il dirigente – “Di conseguenza, le compagnie aeree, che annoverano numeri cospicui di dati cliente e dei mezzi e sistemi in uso (inclusi i velivoli ed il parco manutentivo delle spare parts), sono un target come tutte le infrastrutture critiche di un Paese”.
Quali sono gli attacchi più temuti? Ransomware, Ddos, phishing, ma anche social engineering. Cui si risponde con “scouting tecnologico” e formazione del personale. “Ma è anche necessario avere un piano di disaster recovery che consente di continuare a operare con continuità”.
Il calcolo quantistico e l’intelligenza artificiale porranno nuove sfide, continua Presicce, riguardo alla criptazione dei dati. In termini operativi, sicurezza. In termini operativi, “la strategia di cyber si declina in security management (SOC incident response, security incident e event management, information security management system), applications (web application firewall e anti ddos, security by design & by default), mail (anti-spam /phishing, anti-malware & sandbox) network (firewall, anti-DDoS encrypted, secure connections), devices (antivirus, endpoint security & mobile device management), infrastructure (anti-virus, backup, cryptografy, hardening and patching, vulnerability scan).
Abbiamo ampliato il perimetro di sicurezza cyber perfino al di là dei confini aziendali estendendo la protezione informatica anche quando il nostro personale opera con i dispositivi aziendali o sugli applicativi aziendali da remoto (come durante lo smart working). Infine, tutto questo è quotidianamente monitorato da una dashboard che riporta il quadro della situazione cyber fino alle prime linee e ai vertici aziendali”.
Chiediamo: con quali enti vi relazionate? “Una compagnia aerea di bandiera quale Ita Airways deve interloquire costantemente con le autorità nazionali. Per questo vi è una interazione continua con le istituzioni: il Ministero delle Infrastrutture e dei Trasporti e le autorità delegate per le tematiche di sicurezza. A queste si aggiungono l’Enac e l’Enav che svolgono attività di verifica e conformità di ogni singolo aspetto che ha a che fare con la sicurezza delle operazioni. A livello internazionale ci interfacciamo anche con la Tsa e Faa americana e l’Easa in Europa, che come è noto, per la prima volta ha definito i nuovi requisiti di cybersicurezza che interessano l’intera filiera e supply chain, che entreranno in vigore nel 2025”.
