Un recente report di Cisco, realizzato a novembre di quest’anno da Wpi Strategy (Update Critical, il titolo), rivela che il 48% dell’infrastruttura di rete mondiale è composta da dispositivi obsoleti o prossimi alla fine del ciclo di vita.
Si tratta di una percentuale più che significativa, che inquadra un debito tecnico accumulato negli anni e oggi difficile da ignorare. La dipendenza crescente dalle reti, la pressione generata dall’adozione di modelli di intelligenza artificiale e l’evoluzione delle minacce cyber impongono una riflessione sulla resilienza dell’infrastruttura digitale alla base dei servizi pubblici, dell’economia e delle applicazioni critiche di nuova generazione. La propongono Anthony Grieco, chief security & trust officer, e Chris Gow, senior director per EU Public Policy di Cisco, che delineano un quadro dettagliato dei rischi e delle priorità operative, presentando la strategia dell’azienda per guidare imprese e istituzioni verso un’infrastruttura di rete più sicura ed in grado di adattarsi alle sfide attese.
Obsolescenza, problema sistemico
Grieco mette subito in luce la portata del problema. Si parla di reti che, pur continuando a funzionare, non ricevono più patch di sicurezza, non supportano protocolli aggiornati e non sono state progettate per un panorama di minacce radicalmente diverso dal passato. La questione riguarda infatti dispositivi installati oltre 10, 15 o 20 anni fa, “ancora attivi in settori mission critical e in molte realtà pubbliche e private che dipendono da infrastrutture che dovrebbero essere ad elevata disponibilità”.
Prosegue Grieco: “E’ fondamentale comprendere che la criticità non è solo tecnologica, ma sistemica”. Le capacità di attacco e il livello di automazione degli avversari sono cambiati radicalmente. Soluzioni nate in un’epoca in cui i modelli di autenticazione erano basati unicamente su password non possono essere considerati adeguati in un mondo in cui la multi-factor authentication è una pratica consolidata e in cui le superfici di attacco si espandono ogni giorno. “Stiamo parlando di sistemi che non sono del tutto progettati per il threat landscape attuale – sottolinea -. “E questo rappresenta una minaccia silenziosa a cui molti operatori non dedicano ancora abbastanza attenzione”.
Chris Gow approfondisce la questione dal punto di vista del “policy making”, osservando come la combinazione tra obsolescenza tecnologica, limiti di budget e crescente sofisticazione degli attaccanti stia amplificando il rischio. “Si parla di liability nascoste che non ricevono l’attenzione che meritano”, afferma. Il dato raccolto dallo studio Wpi non riguarda soltanto il mondo enterprise, ma è particolarmente rilevante in ambiti come sanità, energia, trasporti, utility e finance. L’esempio che Gow porta durante il confronto è emblematico: “Nel 2022, il 60% degli ospedali francesi utilizzava ancora Windows 7, due anni dopo la fine del supporto”. Il rischio poi non si limita alle possibilità di un’intrusione. “Un dispositivo o una rete end-of-life – spiega Gow – offre agli attaccanti non solo un punto di ingresso, ma rappresenta anche spazi agevoli di persistenza, considerata per esempio la possibilità di restare all’interno del perimetro consentito e fare più danni”. E l’evoluzione dell’intelligenza artificiale sta accelerando ulteriormente questa dinamica. Gli attacchi basati su AI possono agire in modo molto più “autonomo”, rispetto al passato, e l’AI è capace di individuare da sola le vulnerabilità, come dimostrano incidenti recenti che hanno rivelato nuove modalità di sfruttamento automatizzato. Su questo punto, Grieco è chiaro: “Non si può costruire un’infrastruttura per l’AI su reti vecchie di vent’anni, end-of-life e fuori supporto. Semplicemente non funzionerà e nasce già ‘esposta’”. Non solo, “l’incapacità di intervenire sul debito tecnico rischia di compromettere investimenti molto più ampi, trasformando la rete in un collo di bottiglia per l’innovazione”.
Cisco per la sicurezza dei workload
Il percorso di Cisco per affrontare il problema si articola in più dimensioni, ma Grieco lo sintetizza attorno a tre pilastri strategici che guidano ogni intervento dell’azienda. Il primo è la necessità di aumentare la consapevolezza (1), non solo presso i clienti, ma nell’intero settore. “Questo è un problema di industry, non di Cisco – ribadisce -. Serve una presa di coscienza collettiva”. Il secondo riguarda l’evoluzione del concetto di secure-by-design e secure-by-default (2), che non deve essere inteso come una destinazione, bensì come un processo continuo di innalzamento degli standard. Le funzionalità legacy, spesso necessarie in passato per mantenere la compatibilità con sistemi ormai superati, non devono più rappresentare un rischio per gli operatori. “Abbiamo deciso di essere molto più incisivi nell’avvisare i clienti quando configurano qualcosa in modo insicuro. E, progressivamente, rimuoveremo le opzioni legacy che espongono a rischi non accettabili”, spiega Grieco. L’esempio più evidente citato è l’eliminazione di Telnet, un protocollo nato in un contesto tecnologico completamente diverso: “Esistono alternative sicure come Ssh, e non ha senso mantenere porte aperte a funzioni che non possono più essere considerate sicure”, chiarisce.
Il terzo pilastro è l’importanza di una comunicazione trasparente con i clienti. Grieco lo definisce quasi un dovere morale: “Quando vediamo un comportamento insicuro o un rischio evidente, abbiamo l’obbligo di parlarne ai clienti. Non possiamo ignorarlo”. Il riferimento è alla necessità che ogni organizzazione comprenda realmente lo stato della propria infrastruttura; un aspetto che secondo Cisco rappresenta spesso uno dei punti più problematici. Troppi operatori non dispongono di un inventario aggiornato dei dispositivi attivi. E “non si può mitigare un rischio che non si conosce – insiste Grieco -. L’inventory è spesso il punto più debole”.
Una volta acquisita visibilità, le organizzazioni possono definire un percorso basato su priorità di rischio, concentrandosi sui sistemi più critici e adottando meccanismi di mitigazione. Grieco sottolinea che aggiornare ciò che è aggiornabile, mettere in sicurezza ciò che non può essere sostituito nell’immediato e applicare controlli compensativi sono passaggi indispensabili. “La segmentazione, la limitazione degli accessi e autorizzazioni robuste possono ridurre in modo significativo la superficie di attacco”, spiega ancora. La consapevolezza, tuttavia, non deve diventare un alibi per rimandare interventi strutturali. Per questo “i dispositivi legacy non dovrebbero parlare con Internet senza una quantità enorme di protezioni. È una garanzia di incidente”.
Regolamenti e policy, lavorare sulla consapevolezza
Sul fronte delle policy, Gow introduce quindi una serie di riflessioni altrettanto cruciali. perché il tema dell’obsolescenza non sembra ancora adeguatamente compreso dai policy maker europei.
Un episodio emblematico: “Un funzionario cyber di un Paese europeo non sapeva che l’obsolescenza era la seconda causa di attacchi alle infrastrutture critiche del suo Paese”. Non era un tema presente nel suo radar. La necessità di includere l’impatto dei dispositivi fuori supporto negli obblighi di incident reporting previsti da Nis2 è invece per Gow un passaggio naturale. Così come la definizione di linee guida specifiche, l’introduzione di incentivi economici per la modernizzazione e l’adozione di modelli di procurement che favoriscano la sostituzione delle tecnologie più datate. L’esempio citato è quello del futuro European Competitiveness Fund, indicato da diverse autorità come potenziale strumento per sostenere la modernizzazione delle infrastrutture più critiche.
Troppo tardi per affrontare un problema così esteso? Risponde Grieco: “No, non è troppo tardi. Ma ogni giorno che passa è più tardi di ieri”. Il riferimento è all’urgenza di intervenire in modo strutturato, privilegiando i sistemi più critici e pianificando una roadmap realistica ma vincolante. “Non si può costruire un futuro basato sull’AI o sulla sovranità digitale su un’infrastruttura che sta crollando. E la resilienza deve essere un prerequisito”.
Fare i conti con l’AI, la visione di Cisco
Il ruolo dell’intelligenza artificiale è duplice: rappresenta un fattore abilitante per migliorare la capacità delle organizzazioni di comprendere e mitigare i rischi, ma allo stesso tempo accelera la velocità con cui gli attaccanti individuano punti deboli e li sfruttano. La visione di Cisco è quella di impiegare l’AI per costruire strumenti di analisi, inventario e migrazione capaci di supportare i clienti nelle decisioni più complesse. “L’AI può essere un acceleratore per comprendere i rischi e costruire piani di mitigazione”, osserva Grieco, mentre ricorda che “Cisco utilizza già modelli AI per analizzare ambienti complessi e proporre percorsi di aggiornamento”, invitando però alla prudenza: “Gli avversari hanno l’AI tanto quanto noi. Questo crea un’urgenza ulteriore”. E’ necessario parlare allora di responsabilità condivisa. Il quadro rende evidente come la resilienza infrastrutturale rappresenti oggi non solo una sfida tecnica, ma un elemento strategico per l’economia digitale, la sicurezza nazionale e lo sviluppo stesso dell’intelligenza artificiale.
© RIPRODUZIONE RISERVATA
