Smart City e cybersecurity, binomio imprescindibile

di Haider Pasha*

Il concetto di smart city sta acquisendo sempre maggiore rilevanza, anche come modalità innovativa per rispondere alla pandemia globale Covid-19. Una pianificazione urbana intelligente potrebbe infatti rallentare le epidemie future, utilizzando la tecnologia per prevenire la diffusione delle malattie e contribuire a garantire la disponibilità e la sicurezza di risorse critiche come l’acqua, i trasporti e l’assistenza sanitaria.

Sono diversi gli esempi di tecnologie che stanno rilevando la loro utilità in questo scenario:

• Utilizzo di droni con tecnologia di riconoscimento facciale per tracciare le persone infette, per garantire che non infrangano la quarantena e non rischino di diffondere il virus.
• Tecnologie per comunicare e far rispettare le linee guida del distanziamento sociale e monitorare la consegna delle forniture mediche.
• Raccolta e condivisione dei dati in tempo reale, utilizzando i dati degli smartphone e il crowd sourcing per il tracciamento della posizione.
• Rilevamento della temperatura a distanza tramite intelligenza artificiale e gestione autonoma dell’ultimo miglio di attrezzature e forniture critiche.

Una ricerca condotta prima della pandemia ha indicato che entro il 2023 in tutto il mondo sarebbero stati spesi 189 miliardi di dollari in iniziative legate alle smart city. Inoltre, più della metà della spesa globale per i progetti delle smart city si concentra in tre casi d’uso:

• infrastrutture energetiche resilienti
• sicurezza pubblica basata sui dati
• trasporti intelligenti.

La cybersecurity deve essere una priorità

Gli amministratori delle città e i loro decision maker tecnologici devono tenere in primo piano la sicurezza informatica, perché più oggetti vengono collegati tra loro e maggiore è l’opportunità per gli hacker di infiltrarsi nei sistemi, estrarre dati sensibili e disturbare sistemi potenzialmente critici nelle forze dell’ordine, nella sanità pubblica e in altre applicazioni municipali.

Secondo uno studio, il numero di dispositivi Internet of Things attivi nella sola Europa dovrebbe crescere fino a 53 milioni nel 2025. La chiave è il miglioramento della resilienza e della reattività della sicurezza informatica.  Le città intelligenti sono un classico caso dell’importanza vitale del “secure by design”. I sistemi collegati per i primi soccorritori, i controlli ambientali, l’accesso pubblico a Internet, la gestione del traffico, l’energia verde e altro ancora devono essere basati su protocolli e politiche di sicurezza solidi, intuitivi e automatizzati fin dall’inizio. La sicurezza che viene affrontata dopo che i sistemi sono stati installati (e forse dopo che si sono già verificate violazioni dei dati) è quasi inutile. Gli hacker sono pieni di risorse e molto collaborativi tra loro. Le iniziative di sicurezza aggiuntive non funzionano e le potenziali conseguenze sono spaventose. Una delle ragioni principali è la proliferazione di endpoint ai margini delle reti comunali e come gateway verso il cloud:  non si tratta di semplici computer portatili, tablet e smartphone, ma di diverse forme di sistemi e dispositivi basati su sensori. Questa espansione del vettore di attacco è ancora più problematica se si considera che i dispositivi IoT, sia per applicazioni commerciali che industriali, portano con sé problematiche di sicurezza intrinseche, perché spesso non possono supportare i requisiti di memoria per molti protocolli di cybersecurity. Non va poi dimenticata la realtà che gli utenti – lavoratori comunali, cittadini, visitatori e uomini d’affari che utilizzano i sistemi WiFi comunali – sono spesso l’anello debole nella catena della sicurezza informatica.

Garantire la Cyber resilienza

Un grande problema per i governi locali, statali e nazionali è, ironia della sorte, la governance. La mancanza di governance sulle iniziative delle smart city, su una vasta gamma di questioni come la gestione dei dati, le politiche sulla privacy, i privilegi di accesso e altro ancora, è altamente problematica. Per esempio, prendete qualcosa di apparentemente innocuo come l’assunzione di un fornitore per l’installazione di lampioni intelligenti. Se i funzionari governativi, e i loro team tecnici, non hanno le giuste politiche di governance per garantire che il fornitore abbia progettato in sicurezza in modo che gli hacker non si insinuino nei sistemi di back-office attraverso i sistemi di illuminazione digitale, potremmo trovarci a fare i conti con una sottrazione di dati – o peggio ancora. Tutte le componenti di una smart city devono anche praticare una buona igiene della sicurezza informatica: buone politiche di autenticazione, come il cambio frequente e regolare delle password, l’autenticazione a più fattori e una maggiore adozione della biometria, sono essenziali. Ovviamente, questo deve essere un impegno personale da parte di chiunque acceda ai servizi digitali delle smart city, ma ha anche politiche automatizzate imposte e installate dai governi. Inoltre, i comuni hanno bisogno di persone che si occupino dei programmi delle smart city e che abbiano esperienza e competenza in materia di sicurezza informatica. Questo non significa necessariamente che si debba assumere un esercito di ingegneri della sicurezza, ma servono leader e professionisti per i quali la cybersecurity sia una disciplina familiare. Devono essere in grado di vedere il quadro generale e garantire che i dettagli tecnici e operativi siano a posto.

Quattro elementi principali

Infine, ci sono domande chiave che i leader municipali devono essere pronti a porre ai loro CISO, CIO e altri dirigenti tecnici che hanno la supervisione della sicurezza informatica. Queste includono:

• Abbiamo un piano di risposta agli incidenti documentato? Se sì, qual è? Molti leader cittadini spesso pensano che la loro organizzazione abbia un piano, ma poi sono sorpresi di apprendere quanto tale piano sia in realtà poco efficace.
• Quali sono le nostre strategie di governance per la sicurezza di sistemi, applicazioni, dati e identità?
• Dovremmo permettere ai nostri sistemi legacy (e presumibilmente meno propensi a “proteggere per progetto”) di connettersi con altri sistemi e dispositivi ai margini?
• Che tipo di test di sicurezza informatica stiamo effettuando? Quali sono i risultati che riceviamo su questi test e come reagiamo?

Alla fine, le iniziative di successo delle smart city richiedono quattro elementi principali: la visibilità, per essere sicuri di vedere cosa sta realmente accadendo in quei sistemi; l’analisi, per identificare i rischi e i sistemi anomali e il comportamento della rete; il controllo, per gestire e, se necessario, per isolare i sistemi chiave contro le minacce, e il coordinamento tra tutti i componenti chiave per garantire che la sicurezza sia parte integrante delle smart city. “Secure by design” dovrebbe essere adottato come mantra di tutte le iniziative smart city.

*Haider Pasha, responsabile sicurezza per il Medio Oriente e l’Africa di Palo Alto Networks