Quando si parla di sicurezza si pensa quasi esclusivamente alla cyber security, ossia a quella digitale. In realtà, i confini tra la sicurezza digitale e la sicurezza fisica si smaterializzano con il passare degli annie, in futuro, dovranno essere sempre più convergenti.
Sicurezza fisica e digitale non dovrebbero, infatti, più essere contemplate come processi che si sovrappongono soltanto parzialmente ma come due discipline convergenti, capaci persino di unificarsi in un unico processo.
Se il discorso può sembrare fumoso nel suo insieme, prima di approfondirlo, va messo in evidenza che le infrastrutture per la sicurezza fisica possono essere messe in ginocchio da incursioni cyber.
Anche il quadro normativo Network and Information System Security (la direttiva NIS2) tocca temi legati alla sicurezza fisica e ciò fa decadere eventuali dubbi residui: la sicurezza in quanto tale è il connubio tra la protezione degli asset digitali e di quelli fisici.
Indice degli argomenti
Sicurezza fisica e digitale: l’approccio integrato e quello convergente
La necessità che questi due processi convergano si cristallizza grazie anche alla figura professionale del Security director, deputata alla loro concertazione. Una sorta di cabina di regia che sovraintende sia alla cyber security sia alla sicurezza fisica.
Da una parte ci sono le logiche di integrazione le quali, a prescindere dall’argomento o dalla disciplina in cui si situano, prevedono che più processi separati possano funzionare insieme.
Questo approccio è quello che va per la maggiore in quelle organizzazioni che si prodigano in entrambe le tipologie di sicurezza e che, tipicamente, dispiegano diversi gradi di integrazione.
Per esempio, si può optare per la mera condivisione di dati tra i sistemi per la sicurezza fisica e quelli per la sicurezza digitale oppure sovrapporre i due processi per agire in concerto in caso di incidente.
In questo caso, per fare un esempio, se viene rilevato un tentativo di accesso a un server, il gruppo che si occupa di cybersecurity può chiedere i filmati delle videocamere all’unità che si adopera per la sicurezza fisica.
Le logiche di convergenza sono qualcosa di più fine e coordinato. Le tecnologie per garantire la sicurezza fisica e quella digitale si parlano costantemente e l’una non ha necessità di attivarsi su richiesta dell’altra.
È, per esempio, il caso della disabilitazione di un tesserino smarrito da un dipendente di un’organizzazione che, nel medesimo tempo, oltre a impedire l’accesso fisico alla sede aziendale revoca tutte le autorizzazioni digitali associate al badge medesimo.
Il gruppo che si occupa di sicurezza fisica e quello che segue la cyber security non hanno necessità di attivarsi vicendevolmente, perché lavorano già all’unisono anche in assenza di una minaccia conclamata o comunque a fronte di una minaccia anche soltanto potenziale. Le soluzioni per la sicurezza sono così un tutt’uno sempre e a prescindere.
In sintesi, l’integrazione prevede sistemi e dati separati che possono collaborare tra loro, mentre la convergenza è una piena e costante collaborazione di tecnologie, dati e procedure.
Perché uscire dalle logiche dell’integrazione
La spiegazione più immediata non può prescindere dal fatto che, con il passare degli anni, le tecnologie per la difesa fisica sono sempre più digitali e quindi più soggette ai cyber attacchi.
Inoltre, così come testimonia la Direttiva NIS2, le sinergie tra sicurezza fisica e digitale devono tenere conto di aspetti normativi che le considerano sempre più un tutt’uno o che, in ogni caso, tendono a renderne liquide le differenze. Ciò si traduce in una suddivisione sempre più fine e sbiadita delle aree di competenza dei due processi.
Quando si parla di attività forensi non si fa riferimento soltanto ai dispositivi mobili. La salvaguardia dell’integrità dei dati e della loro autenticità è l’anima costituente della digital forensics.
Per esempio, quando nel corso di un procedimento giudiziario si fa leva su immagini riprese da sistemi di sorveglianza, occorre anche garantire che queste non siano state alterate e che siano state conservate secondo standard specifici dal momento in cui le riprese sono state effettuate e acquisite a titolo di prova. In questo caso, ancora una volta, un sistema convergente asseconda in maniera automatica le esigenze delle logiche inquirenti.
La protezione delle persone, degli asset fisici e di quelli digitali (dati inclusi) è quindi sempre più necessaria e può essere garantita soltanto da sistemi convergenti che riscrivano i paradigmi, ormai non più attuali, dell’integrazione.
La convergenza, non da ultimo, è favorita dall’Intelligenza artificiale che, tra i tanti meriti, vanta anche quello di essere volano per la diffusione della cultura digitale, pure portando con sé delle criticità.
Quali sono i vantaggi per le organizzazioni
Sono diversi e, soprattutto, sono più degli svantaggi. Questo, almeno in linea teorica, è un motivo sufficiente per valutare l’adozione di una filosofia di sicurezza convergente.
Più nello specifico, tra i vantaggi più evidenti, si possono elencare:
- La maggiore efficienza che consente di snellire le procedure (persino automatizzandole, grazie all’apporto delle Intelligenze artificiali) e anche di ridurre i costi
- La maggiore protezione che permette di limitare le intrusioni e le conseguenze delle cyber incursioni, respingendole con più elevate percentuali di successo
- La visione di insieme. La convergenza offre il vantaggio di osservare e misurare problemi complessi che influenzano in modo vicendevole la sicurezza fisica e quella digitale
- La conformità è un altro tema che viene semplificato dalla convergenza, considerando che le normative si estendono a entrambe le discipline.
Questo ultimo punto, però, può anche rappresentare un problema, come vedremo più avanti.
Gli ostacoli prevedibili
Sia la sicurezza digitale sia quella fisica, per essere il più efficaci possibile, richiedono opportune culture che vanno incentivate senza soluzione di continuità con un dispendio di risorse proporzionale alla dimensione dell’organizzazione.
Parallelamente occorre un’organizzazione aziendale capace di armonizzare l’operato dei gruppi di sicurezza fisica e quelli di sicurezza digitale i quali devono necessariamente essere composti da profili di alta caratura per rispondere all’evoluzione delle minacce di ambedue le nature.
Paradossalmente, la convergenza dei dati raccolti dal gruppo dedito alla sicurezza fisica e quelli collezionati dal gruppo di cyber security possono causare problemi relativi alla privacy, così come sottolinea l’omonimo Garante, per esempio, pronunciandosi in materia di dati biometrici in ambito professionale.
