La quinta edizione del Global Cybersecurity Index 2024, pubblicata dall’ITU, offre un’interessante panoramica generale sullo stato dell’arte esistente a livello mondiale in materia di sicurezza informatica, focalizzando nell’ultimo decennio, rispetto alle evidenze monitorate per la prima volta nel 2015, le principali tendenze che emergono nell’attuale scenario, caratterizzato dal pervasivo sviluppo delle nuove tecnologie emergenti, anche al fine di delineare le prospettive evolutive configurabili nell’imminente futuro.
Indice degli argomenti
Monitoraggio degli Stati e indicatori utilizzati
In particolare, sono stati monitorati 194 Stati sulla base di 5 specifici indicatori che prendono in considerazione gli aspetti legali, tecnici, organizzativi, nonché la capacità di sviluppo e i meccanismi di cooperazione.
Miglioramenti significativi e aggiornamenti legislativi
In generale, lo studio dell’ITU descrive “miglioramenti significativi” realizzati grazie all’aggiornamento delle legislazioni nazionali settoriali, ritenute conformi ai parametri elaborati dal report, unitamente all’adozione di piani nazionali integrati, in grado di rafforzare gli interventi di risposta agli incidenti telematici per minimizzare i rischi di vulnerabilità tecnologica destinati a proliferare su larga scala a causa di un progressivo incremento esponenziale delle relative insidie, causate da attacchi informatici sempre più sofisticati.
Il divario tra Paesi avanzati e in via di sviluppo
Nell’ambito di un divario che, per quanto diminuito, resta ancora troppo rilevante tra Paesi avanzati, in ritardo tecnologico e in via di sviluppo, emerge un’eterogenea distribuzione di variegati risultati riscontrabili nel panorama mondiale, da cui si evince, ad esempio, che 46 Stati si collocano nel range T1, che identifica il più alto livello di sicurezza telematica raggiunto prevalentemente da Paesi facenti parte dell’Europa, dell’Asia e del Pacifico, degli Stati arabi e dell’Africa.
Distribuzione dei livelli di sicurezza informatica
La restante parte dei Paesi monitorati (105) sono inseriti nei livelli T3 e T4, che indicano un grado di sicurezza informatica moderato, nonostante comunque il graduale miglioramento degli standard esistenti.
Classificazione dei livelli di sicurezza
In particolare, gli Stati che si collocano nel livello T1 (tra cui l’Italia) hanno ottenuto un punteggio di almeno 95/100, dimostrando positive prestazioni in tutti i 5 indicatori monitorati, mentre il livello T2, circoscritto entro un punteggio complessivo di almeno 85/100, individua l’esistenza di buoni risultati descritti da 4 parametri sui 5 analizzati. Il livello T3, con un punteggio complessivo di almeno 55/100 dimostra un’adozione moderata delle misure predisposte in materia di sicurezza informatica, rispetto ai più bassi livelli di monitoraggio classificati come T4 (punteggio complessivo pari ad almeno 20/100) e T5 (punteggio complessivo inferiore a 20/100).
La posizione dell’Italia nel Global Cybersecurity Index 2024
Prendendo in considerazione gli indicatori utilizzati, l’Italia raggiunge una posizione elevata in materia di cibersicurezza, ottenendo il massimo livello di valutazione (T1), con il punteggio complessivo 100/100 nel rapporto Global Cybersecurity Index 2024, grazie, tra l’altro, all’adozione della Strategia nazionale 2022-2026, integrata dal relativo piano di implementazione, che confermano il ruolo sempre più centrale assunto dall’ACN nell’ecosistema italiano per il funzionamento dell’architettura tecnica di riferimento. In particolare, la Strategia nazionale di Cybersicurezza individua 82 misure da realizzare entro il 2026 mediante la predisposizione analitica di apposite metriche di monitoraggio descritte dal Manuale operativo, con l’obiettivo di rendere l’Italia un Paese tecnologicamente sicuro e resiliente secondo un “approccio security-oriented”.
Misure legali come pilastro più forte
Rispetto agli indicatori esaminati dal Global Cybersecurity Index 2024, le misure legali (contrassegnate dal parametro “Legal”) rappresentano in linea di massima il “pilastro più forte” dei Paesi monitorati, ove si evince la predisposizione di riforme legislative che hanno adeguato il quadro normativo per garantire la salvaguardia della cybersicurezza e la protezione dei dati personali contro il rischio di possibili attacchi informatici.
L’mpatto degli incidenti telematici
Tuttavia, al di là degli indubbi sforzi regolatori dimostrati dagli Stati, l’impatto degli incidenti telematici resta, comunque, significativo, raggiungendo ad esempio, secondo le rilevazioni del report, la soglia di 8 miliardi di record violati nel 2023 con un costo stimato di circa 3,3 milioni di dollari, da cui discendono non solo rilevanti ripercussioni economiche che compromettono il funzionamento complessivo dell’ecosistema generale, ma anche un’inevitabile perdita di fiducia degli utenti, esposti agli insidiosi pericoli configurabili online.
Le misure di protezione online dei minori
Peraltro, in relazione al sistema di regolamentazione esaminato dallo studio, 164 Paesi hanno adottato specifiche misure legali sulla protezione online dei minori (rispetto ai 130 Paesi monitorati dalla precedente edizione), con l’intento di rafforzare la tutela di tale categoria di utenti particolarmente vulnerabili (atteso che, secondo il Child Online Safety Index, richiamato da report dell’ITU, nel 2023 “quasi il 70% dei bambini e degli adolescenti di età compresa tra 8 e 18 anni in tutto il mondo hanno subito almeno un incidente a rischio informatico”).
Criticità nell’attuazione delle misure tecniche
Per quanto riguarda, invece, le misure tecniche (prese in considerazione dall’indicatore “Technical”), pur trattandosi di prescrizioni operative indispensabili per prevenire gli attacchi informatici, lo studio riporta l’esistenza di maggiori criticità nell’attuazione di tali interventi che, per risultare efficaci, presuppongono un avanzato livello combinato di competenze e processi tecnologici non sempre riscontrabile.
Strumenti per minimizzare il rischio di vulnerabilità tecnologiche
Secondo il Global Cybersecurity Index 2024 tra gli strumenti ritenuti più idonei a minimizzare il rischio di vulnerabilità tecnologiche, oltre all’istituzione di appositi centri operativi (come ad esempio, i CIRT, CSIRT, CERT, ecc.) in grado di fronteggiare le possibili emergenze informatiche, anche a seguito di periodici test di esercitazioni sperimentali, mediante la predisposizione di efficaci interventi di risposta nell’ambito di una costante attività di condivisione e analisi delle informazioni acquisite in tempo reale, particolarmente importanti sono, altresì, i processi di progettazione, sviluppo e implementazione degli standard di sicurezza informativa.
I problemi legati all’utilizzo di protocolli non sicuri
Al riguardo, lo studio dell’ITU evidenzia, sebbene110 Paesi dispongano di un quadro normativo adeguato in materia, nella concreta prassi l’utilizzo di protocolli non sicuri o comunque deboli: non solo, infatti, sembrano oltremodo vulnerabili i servizi di posta adottati in alcuni Paesi, in quanto privi degli standard tecnici consigliati, ma, altresì, parimenti critico viene descritto l’ancora carente processo di implementazione del DNSSEC (Domain Name System Security Extensions), soprattutto nel contesto geografico del continente africano (ove solo lo 0,43% dei fornitori ha predisposto tale sistema).
Indicatore “Organizational” e strategie nazionali
In relazione all’indicatore “Organizational”, lo studio dell’ITU descrive il rilevante ruolo che assume, soprattutto mediante l’adozione di strategie nazionali, la predisposizione di misure organizzative in materia di sicurezza informatica, anche nell’ottica di realizzare un maggiore coordinamento operativo “multistakeholder”, basato sul funzionamento di un modello partecipativo inclusivo, aperto anche al contributo sinergico della società civile, del tessuto industriale e del settore accademico, in grado di rafforzare l’attuazione dei relativi interventi volti al raggiungimento degli obiettivi strategici previsti.
Proprio per tale ragione, le strategie nazionali di cibersicurezza (NCS) “sono diventate uno strumento sempre più comune” per incrementare il livello organizzativo in materia. Non a caso, come rileva lo studio, si è registrato un aumento dei Pasi che hanno adottato una strategia nazionale di cibersicurezza, passando da 107 nel 2020 a 132 nel 2024 (gran parte dei quali sono localizzati nel contesto africano, ove ben 9 Stati hanno per la prima volta adottato una propria strategia di riferimento).
Indicatore “Capacity development” e formazione
Con specifico riferimento all’indicatore “Capacity development” le relative misure adottate, soprattutto con l’intento di stimolare la formazione e la sensibilizzazione sulla sicurezza informatica, presentano un variegato stato attuativo riscontrabile nel panorama mondiale, evidenziandosi, in taluni casi, l’esistenza di ritardi e lacune che possono compromettere la stabilità dell’ecosistema e vanificare i progressi raggiunti nel settore.
Campagne di sensibilizzazione sulla sicurezza informatica
Al riguardo, lo studio indica che 152 Paesi riferiscono di aver promosso una campagna di sensibilizzazione sulla sicurezza informatica rivolta all’opinione pubblica, mentre 130 Paesi hanno adottato una qualche forma di sensibilizzazione informatica.
Raccomandazioni dello studio
Tra le principali raccomandazioni indicate dallo studio, si segnala, tra l’altro, l’opportunità di pianificare la realizzazione di campagne mirate di sensibilizzazione informatica, con l’ulteriore perfezionamento di schemi di certificazione ICT in materia di cibersicurezza, unitamente al potenziamento di adeguati programmi di sicurezza informatica da pianificare nell’istruzione primaria e secondaria, nonché attività di ricerca e sviluppo nel mondo accademico e nei settori pubblico e privato.
L’indicatore “Cooperation” e gli accordi cooperativi
L’indicatore “Cooperation” focalizza, infine, l’impatto degli accordi cooperativi in grado di potenziare le strategie predisposte in una prospettiva sinergica globale che assume una portata collaborativa necessariamente multilaterale su scale planetaria per potenziare gli interventi realizzati in materia.
Le opinioni espresse nel presente articolo hanno carattere personale e non sono, direttamente o indirettamente collegate, in alcun modo, alle attività e funzioni lavorative svolte dall’Autore, senza, quindi, impegnare, in alcun modo, l’Amministrazione di appartenenza del medesimo.
