È tempo di esplorare il Digital Operational Resilience Act (DORA)

Oggi, gli incidenti correlati all'ICT rimangono dilaganti, con la piaga delle violazioni dei dati che non accenna a placarsi. Quest'anno, milioni di record saranno purtroppo di nuovo interessati, con gravi conseguenze e una violazione media che ora costa alle aziende circa 3,5 milioni di sterline. Di fronte a questi rischi, la conformità al Digital Operational Resilience Act (DORA) è più importante che mai.

Il Regolamento DORA rappresenta una pietra miliare nella strategia dell’Unione Europea per rafforzare la resilienza operativa digitale del settore finanziario. Pubblicato sulla Gazzetta Ufficiale dell’UE il 27 dicembre 2022, il Regolamento Europeo 2022/2554 introduce un quadro normativo vincolante volto a garantire la sicurezza delle reti e dei sistemi informatici utilizzati dalle entità finanziarie. Con un’applicazione prevista a partire dal 17 gennaio 2025, il Regolamento DORA stabilisce standard rigorosi per la gestione del rischio informatico, la segnalazione degli incidenti e la continuità operativa, delineando un approccio armonizzato e uniforme su scala europea. Tali misure non solo migliorano la protezione dei dati e dei servizi, ma promuovono anche la fiducia e la stabilità nel panorama finanziario europeo, sempre più esposto a minacce sofisticate e in continua evoluzione.

L'ambito di DORA si estende a un ampio spettro di entità finanziarie, dalle banche alle società di investimento, nonché a qualsiasi fornitore di servizi che offre servizi IT e di sicurezza informatica a tali entità. Lanciando una rete così ampia, DORA fornisce un approccio completo che mira a rafforzare le infrastrutture digitali nell'intero settore finanziario. DORA fungerà da quadro guida per aiutare le entità finanziarie a navigare in una pletora di sfide nuove ed emergenti, con la necessità di mantenere solide misure di sicurezza informatica al centro. Quindi, cosa devono fare le aziende per garantire la loro protezione?

Che cos'è il Digital Operational Resilience Act (DORA)?

DORA è stata istituita per ridurre i rischi di dati non autorizzati, violazioni e mancanza di controllo sui dati finanziari sensibili. Mentre le precedenti normative UE variavano tra i diversi stati membri UE, il quadro unificato di DORA semplificherà gli sforzi di conformità e migliorerà la resilienza del sistema finanziario collettivo UE.

Ora, le pratiche standardizzate garantiscono che gli istituti finanziari e i loro fornitori di servizi terzi in tutta l'UE aderiscano allo stesso quadro per una sicurezza informatica ottimizzata.

Sebbene ufficialmente approvato dal Parlamento europeo e dal Consiglio dell'Unione europea nel novembre 2022, DORA è ancora in fase di perfezionamento per includere standard più dettagliati, con una data di entrata in vigore prevista per l'inizio del 2025.

Proteggere la catena di fornitura dei dati

Il primo è analizzare se l' intera catena di fornitura dei dati è sicura dall'alto verso il basso . Definendo requisiti rigorosi per la stipula di contratti, la gestione e la segnalazione nei confronti dei fornitori di servizi ICT, DORA rende essenziale che le aziende nel Regno Unito e altrove utilizzino strumenti di comunicazione dei contenuti conformi a DORA.

Questo è spesso più facile a dirsi che a farsi. Strumenti, soluzioni e partnership di terze parti svolgono un ruolo fondamentale in qualsiasi organizzazione oggi. E per una buona ragione. Possono aiutare il personale a comunicare con altri membri del team, ad accedere in modo sicuro a informazioni sensibili e a semplificare le attività di gestione dei progetti. Tuttavia, le terze parti possono anche introdurre rischi intrinseci che possono compromettere la sicurezza di un'azienda .

Tanto che il recente Verizon Data Breach Investigations Report (DBIR) ha scoperto che il 15% delle violazioni dei dati è ora collegato alla supply chain, un aumento del 68% rispetto all'anno precedente. Il nostro Sensitive Content Communications Privacy and Compliance Report ha rilevato in modo analogo che nove organizzazioni su dieci (90%) condividono contenuti sensibili con oltre 1.000 terze parti. Una solida gestione del rischio dei fornitori e controlli di sicurezza lungo tutta la supply chain sono, pertanto, fondamentali per rafforzare la resilienza complessiva di un'azienda.

Assicuratevi che l'azienda non stia solo migliorando la resilienza del software fornito esternamente dalla vostra azienda, ma anche la tecnologia che i vostri partner stanno utilizzando per comunicare, collaborare o condividere contenuti con la vostra organizzazione. È il momento di chiedersi se le e-mail inviate tra l'azienda e la supply chain sono sicure? Se gli strumenti dell'azienda o quelli dei suoi partner stanno introducendo rischi informatici indebiti ? E ​​se qualsiasi strumento di condivisione file utilizzato è conforme e può garantire che i dati inviati non siano a un ambiente di terze parti non sicuro?

Identificare le vulnerabilità in anticipo

Le vulnerabilità di terze parti possono verificarsi per una vasta gamma di motivi. Potrebbero essere dovute a debolezze intrinseche nell'infrastruttura , alla mancanza di piani di emergenza per interruzioni del servizio o a disposizioni contrattuali inadeguate che affrontano gli standard di sicurezza informatica. Identificando queste vulnerabilità in anticipo, un'azienda può adottare misure proattive per mitigare i rischi e rafforzare la sua gestione complessiva del rischio di terze parti. Migliorando la resilienza complessiva e garantendo di conseguenza la conformità DORA.

Che le organizzazioni condividano file per audit o forniscano servizi che richiedono la condivisione di file nell'UE, è importante che utilizzino strumenti di condivisione file sicuri per proteggere questo contenuto. Gli strumenti di condivisione file sicuri consentiranno a un'azienda di impostare e applicare policy dal proprio sistema. In questo modo, può condividere grandi volumi di dati sensibili con la certezza che la riservatezza dei dati sia intatta.

Promuovere una cultura di resilienza

Per semplificare il processo di conformità DORA e promuovere una cultura di resilienza, è essenziale ottenere il supporto dei principali decisori fin dall'inizio e incoraggiare la loro partecipazione attiva. Coinvolgere i membri del consiglio, la dirigenza esecutiva e i dipartimenti pertinenti per comunicare l'importanza della conformità DORA e le sue implicazioni per l'organizzazione. Articolare chiaramente i vantaggi degli sforzi di conformità che prendono iniziative. Ciò potrebbe includere una maggiore sicurezza informatica, una migliore efficienza operativa e la salvaguardia della fiducia dei clienti.

Coinvolgendo gli stakeholder in questo modo , è molto più facile garantire le risorse necessarie e facilitare un'implementazione più fluida delle misure di conformità DORA. Questo approccio collaborativo non solo rafforza la resilienza complessiva dell'azienda, ma rafforza anche un impegno condiviso per l'eccellenza della sicurezza informatica a tutti i livelli all'interno dell'azienda.

Utilizzare gli strumenti giusti

Un'efficace segnalazione e gestione degli incidenti deve essere al centro di DORA. Rafforzerà la resilienza aziendale sulla scia di nuove ed emergenti sfide. Per garantire che la segnalazione della gestione dei rischi ICT sia il più efficace possibile , è importante che l'azienda si chieda :I processi di reporting catturano tutte le informazioni rilevanti in modo accurato ed efficiente?

I processi di segnalazione consentono di rilevare, contenere e risolvere rapidamente gli incidenti di sicurezza informatica?

Esiste un registro di controllo consolidato che descrive in dettaglio l'accesso degli utenti e come si relaziona ai contenuti sensibili in relazione a una violazione ?

L'azienda esegue regolarmente revisioni post-incidente per identificare le lezioni apprese e le aree di miglioramento?

La valutazione e il perfezionamento continui dei processi di segnalazione e gestione degli incidenti aiutano un'organizzazione a rafforzare la propria resilienza contro le minacce emergenti, a salvaguardare le informazioni critiche e a dimostrare la propria conformità ai rigorosi requisiti DORA.

Per ottenere risultati ottimali e migliorare la visibilità, utilizzare un'unica piattaforma per gestire tutti i canali di comunicazione. Cercare soluzioni che offrano funzionalità complete di registrazione e reporting per tutte le attività. Ciò dovrebbe includere accesso ai dati, trasferimenti di file, accessi e altro. Solo allora l'azienda può registrare tutte le sue comunicazioni di contenuto e, di conseguenza, dimostrare la conformità agli standard normativi DORA UK.

Per una collaborazione migliorata e sicura, vale anche la pena di esplorare alcune delle soluzioni di gestione dei diritti digitali (DRM) di nuova generazione ora disponibili. Possono consentire l'accesso ai file modificabili esternamente senza rinunciare al controllo della fonte, la protezione dei file originali all'interno dell'ambiente del proprietario, la modifica e la collaborazione su flussi di file come un'applicazione nativa, registri di controllo e report dettagliati e collaborazione restrittiva su qualsiasi tipo di file.

Un'automazione dopt per mitigare i rischi operativi

Negli ultimi anni, l'automazione è emersa come un potente strumento per migliorare l'efficienza operativa e la resilienza in una varietà di settori. Grazie alla capacità di implementare continuamente processi standardizzati, con scarse possibilità di errore, gli strumenti di automazione possono essere perfetti per aiutare le aziende ad allinearsi meglio con DORA. Adottando l'automazione, le organizzazioni possono non solo migliorare la loro resilienza operativa, ma anche ottimizzare l'allocazione delle risorse e dimostrare la conformità ai requisiti di DORA nell'attuale panorama digitale sempre più complesso.

Per iniziare, prendi in considerazione l'adozione di strumenti di automazione per semplificare i processi chiave e mitigare i rischi operativi. Esplora le opportunità per automatizzare attività di routine come il rilevamento delle minacce, la risposta agli incidenti e il monitoraggio della conformità. Con analisi avanzate e algoritmi di apprendimento automatico, gli strumenti di automazione possono anche aiutare l' azienda a rilevare e rispondere alle minacce alla sicurezza informatica in tempo reale per proteggere informazioni vitali.

Dimostrare la dovuta diligenza e responsabilità

Documentare tutte le azioni intraprese per soddisfare la conformità DORA può aiutare l'azienda a dimostrare la propria due diligence e responsabilità quando necessario.

Per fare ciò, dare priorità alla documentazione completa di tutte le azioni intraprese. Queste potrebbero includere i registri dettagliati di qualsiasi valutazione del rischio, rapporto sugli incidenti e qualsiasi sforzo di rimedio intrapreso. Ciò non solo aiuterà l'organizzazione a dimostrare i suoi sforzi di conformità, ma fornirà anche l'opportunità perfetta per creare e mantenere una documentazione completa delle policy, procedure e protocolli dell'organizzazione relativi a qualsiasi operazione digitale e sforzo di sicurezza informatica.

Ricorda solo che non tutte le soluzioni di comunicazione dei contenuti hanno gli stessi standard di sicurezza e controlli di governance. Per garantire che rimangano conformi, le organizzazioni devono cercare quelle con sicurezza avanzata e controlli di governance DRM di nuova generazione per potenziare la loro posizione di sicurezza.

L'importanza di DORA non deve essere sottovalutata

Mentre le organizzazioni continuano a navigare tra le complessità del panorama digitale odierno, raggiungere la conformità DORA è essenziale per mantenere l'integrità dei dati, la sicurezza informatica e la conformità normativa. Prendendo nota di alcuni dei suggerimenti sopra riportati, le aziende possono iniziare a migliorare la loro preparazione per la conformità DORA, proteggendo i dati sensibili dalle minacce informatiche in evoluzione e mantenendo la fiducia tra le parti interessate nel processo.

L' importanza di garantire la conformità con DORA non deve essere trascurata da chiunque abbia un'esposizione al settore dei servizi finanziari. Con sanzioni severe per coloro che vengono ritenuti non conformi e rischi continui che minacciano di ottenere l'accesso a informazioni sensibili, la conformità con DORA diventerà sicuramente il catalizzatore per rafforzare la resilienza del settore con pratiche standardizzate e documentate.

Non farti cogliere impreparato. Cerca soluzioni di comunicazione dei contenuti che riflettano la normativa DORA e fornitori che promuovano la conformità DORA. Cerca soluzioni convalidate o certificate da standard quali Cyber ​​Essentials Plus, SOC 2 Type II, ISO 27001, ecc. In questo modo puoi garantire che la tua attività sia pronta per DORA in tempo per gennaio 2025.

https://cybersecurity-magazine.com/time-to-explore-the-digital-op

Il ruolo della sicurezza dell'apprendimento automatico nella protezione di Tesla Optimus dagli attacchi avversari

Con lo sviluppo della robotica e della tecnologia dell'intelligenza artificiale (IA), i robot umanoidi come Optimus di Tesla segnano l'avanguardia dell'automazione. Optimus può svolgere una serie di lavori solitamente svolti dagli esseri umani, tra cui compiti pericolosi e ripetitivi utilizzando l'apprendimento automatico (ML). Tuttavia, gli attacchi avversari potrebbero compromettere le prestazioni, l'affidabilità e la sicurezza di Optimus poiché dipendono in gran parte da...

3 aprile 2025

8 minuti

AI , automazione , apprendimento automatico , robotica , Tesla

Con lo sviluppo della robotica e della tecnologia dell'intelligenza artificiale (IA), i robot umanoidi come Optimus di Tesla segnano l'avanguardia dell'automazione. Optimus può svolgere una varietà di lavori solitamente svolti dagli esseri umani, tra cui compiti pericolosi e ripetitivi utilizzando l'apprendimento automatico (ML). Tuttavia, gli attacchi avversari potrebbero compromettere le prestazioni, l'affidabilità e la sicurezza di Optimus poiché dipende in gran parte dall'intelligenza artificiale. Pertanto, soprattutto nei casi in cui individui disonesti potrebbero tentare di sfruttare le debolezze, la sicurezza dell'apprendimento automatico è essenziale per il funzionamento sicuro ed efficace di Optimus di Tesla. Questo articolo affronterà il modo in cui la sicurezza dell'apprendimento automatico è necessaria per proteggere Optimus di Tesla da attacchi ostili, quali tipi di minacce potrebbe incontrare e come ridurre l'effetto di questi rischi in modo che il robot possa essere distribuito in modo sicuro in molti settori.

Le vulnerabilità dei sistemi basati sull'intelligenza artificiale

I sistemi di intelligenza artificiale basati sull'apprendimento automatico sono particolarmente sensibili a un'ampia gamma di problemi di sicurezza. Questi difetti iniziano con i modi in cui si addestra, implementa e interagisce con i modelli di apprendimento automatico. Fondamentale per i sistemi di intelligenza artificiale come Optimus è la capacità di apprendere dai dati e di trarre giudizi su tale apprendimento. I metodi di apprendimento automatico, basati su grandi volumi di dati, possono ora identificare modelli, categorizzare cose, proiettare risultati e cambiare con i tempi in nuovi ambienti. Sebbene le capacità di apprendimento di Optimus lo aiutino a svolgere compiti impegnativi da solo, rendono anche il sistema vulnerabile ad attacchi avversari che possono ingannare l'intelligenza artificiale modificando i dati o l'ambiente.

Nell'apprendimento automatico, un assalto avversario è qualsiasi tentativo, mediante manipolazione dei dati di input, di ingannare il sistema inducendolo a produrre false previsioni o scelte. Solitamente invisibili a causa del loro carattere complesso, questi assalti sfruttano le debolezze del modello nel processo decisionale. Un avversario può, ad esempio, causare un piccolo disturbo nell'ambiente circostante che l'intelligenza artificiale interpreta male e reagisce in modo errato. Ciò potrebbe far sì che l'Optimus di Tesla funzioni in un modo che compromette o interpreta male il suo ambiente, mette a rischio le persone o entrambi i malfunzionamenti o compromessi.

Garantire la loro sicurezza è di fondamentale importanza, considerando la natura cruciale dei lavori che i modelli di apprendimento automatico di Optimus sono destinati a svolgere , che includono automazione industriale, logistica e forse anche assistenza sanitaria. 

La sicurezza dell'apprendimento automatico deve essere sufficientemente forte da sventare i tentativi avversari in ambienti pericolosi in cui attori ostili potrebbero provare a disabilitare il robot.

Tipi di attacchi avversari su Tesla Optimus

Per comprendere meglio come la sicurezza dell'apprendimento automatico aiuti a mantenere Optimus al sicuro, considerate i numerosi attacchi ostili che possono colpire l'intelligenza sintetica del robot. Gli attacchi di questa natura corrispondono a inferenza, avvelenamento o evasione, una delle tre classi. 

Attacchi di evasione: un attacco di evasione è la capacità di un attore ostile di influenzare i dati di input, ingannando un modello di apprendimento automatico in modo che generi previsioni o giudizi errati. Solitamente includendo piccole modifiche non rilevabili ai dati forniti, questi attacchi cercano di ingannare l'intelligenza artificiale in un modo che gli umani ignorerebbero. Nell'ambiente Optimus di Tesla, ad esempio, un aggressore può alterare un marcatore visivo o una lettura del sensore, portando il robot a identificare erroneamente le cose o a interpretare male l' ambiente circostante. I problemi includono il robot che sbaglia il lavoro assegnato o trascura avvisi di sicurezza cruciali.

Attacchi di avvelenamento: lo scopo delle campagne di avvelenamento è la fase di addestramento di un modello di apprendimento automatico. Gli aggressori utilizzano questo approccio per iniettare dati dannosi nel set di addestramento, con l'obiettivo di influenzare la traiettoria di apprendimento del modello. L'insegnamento dei dati avvelenati di Optimus di Tesla aumenta la probabilità di errori operativi e gli consente di apprendere modelli o comportamenti errati. Se Optimus imparasse a identificare erroneamente le cose dagli eventi controllati nei suoi dati di addestramento, ad esempio, potrebbe non essere in grado di identificare probabili rischi o barriere nei suoi dintorni, aumentando quindi la possibilità di errori operativi o incidenti. Particolarmente preoccupanti sono gli attacchi di avvelenamento, che violano l'integrità di base del modello e potrebbero portare a problemi in tutto il sistema.

Attacchi di inferenza: un attacco di inferenza mira ad accedere a informazioni private mantenute in un modello di apprendimento automatico. Optimus e altri sistemi sono particolarmente inclini a questo tipo di attacco poiché utilizzano informazioni e algoritmi privati. Attraverso input intenzionali al sistema di intelligenza artificiale, un avversario può apprendere informazioni sulla costruzione del modello o sui dati di addestramento. Alcune informazioni sensibili, come metodi di produzione segreti o algoritmi decisionali del robot, potrebbero essere esposte in attacchi di inferenza e quindi aprire bersagli per ulteriori attacchi. Pertanto, è essenziale salvaguardare l'autenticità e la riservatezza dei dati utilizzati per le operazioni e l'addestramento per garantire la sicurezza di Optimus.

Strategie per la sicurezza dell'apprendimento automatico in Optimus

La sicurezza dell'apprendimento automatico per Optimus di Tesla deve essere stratificata più volte per sventare i tentativi ostili. Oltre alla protezione dei modelli di apprendimento automatico stessi, ciò richiede misure di sicurezza più complete che coprano l'integrità dei dati, la resilienza del sistema e il rilevamento delle minacce in tempo reale. Le seguenti tecniche descrivono i principali approcci per proteggere l'apprendimento automatico di Optimus: Addestramento avversario: un modo efficace per proteggersi dagli attacchi avversari è l'addestramento avversario. Includere eventi ostili, ovvero input deliberatamente alterati volti a ingannare il modello AI nel set di dati, aiuterà a migliorare il processo di addestramento. Utilizzando questi ambienti ostili, l'addestramento del modello aumenta la sua resilienza a tali attacchi al momento dell'implementazione. L'addestramento avversario aiuterebbe la capacità di apprendimento automatico di Optimus, consentendo al robot di identificare e compensare gli input ostili man mano che si sviluppano. Se un aggressore cercasse di fuorviare il robot con un marcatore modificato, il modello addestrato in modo avversario identificherebbe sicuramente la manipolazione e resterebbe funzionale.

Integrità e convalida dei dati: proteggere le informazioni necessarie per l'esecuzione e l'addestramento di Optimus aiuterà a fermare i tentativi di avvelenamento. È possibile raggiungere questo obiettivo utilizzando rigidi processi di convalida dei dati che ricercano i dati per validità e accuratezza. Prima di utilizzare qualsiasi dato per equipaggiare Optimus, ad esempio, è fondamentale esaminarli attentamente per individuare eventuali manomissioni o corruzione. L'utilizzo della crittografia e di altri metodi di archiviazione e trasmissione dei dati sicuri aiuta a proteggere ulteriormente i dati da corruzione o accesso illecito. Attraverso un'iniziativa di garanzia della qualità dei dati, Tesla può consentire ai sistemi di intelligenza artificiale di Optimus di essere più coerenti e meno inclini ad attacchi di avvelenamento.

Tecniche di robustezza del modello: oltre all'addestramento avversario, esistono vari metodi tecnologici per aumentare la robustezza contro gli attacchi avversari sui modelli di apprendimento automatico. La distillazione difensiva è una tecnica con cui una variante semplificata del modello ML viene insegnata per ridurre la sensibilità a cambiamenti minimi nei dati di input. Questo metodo aumenta la sfida per un aggressore nell'individuare perturbazioni che fuorviano il modello, evitando così assalti evasivi. Inoltre, il mascheramento del gradiente aiuta a nascondere il processo decisionale del modello, impedendo quindi agli aggressori di accedere alle vulnerabilità basate sul gradiente. Questi metodi ti consentiranno di progettare sistemi di intelligenza artificiale per Optimus più resistenti alle manipolazioni dannose.

Rilevamento e monitoraggio delle minacce in tempo reale : la protezione di sicurezza di Optimus dagli attacchi ostili deve includere l'identificazione e il monitoraggio delle minacce in tempo reale. Ogni volta che Tesla rileva strani schemi nel comportamento o negli input del robot, potrebbe indicare un'aggressione. Se il robot inizia a essere notevolmente diverso dagli input previsti, ad esempio, il sistema può rilevare questo come un possibile assalto e interrompere le operazioni o passare a una modalità di sicurezza per proteggere il robot. Utilizzando passaggi proattivi, Tesla può identificare attività ostili in tempo reale e reagire di conseguenza, riducendo quindi l'impatto di questi attacchi.

Meccanismi di difesa collaborativi: nella sicurezza dell'apprendimento automatico, le tecniche di difesa cooperative sono piuttosto cruciali considerando il carattere spesso mutevole e complicato delle minacce ostili. L'apprendimento federato è un approccio che facilita questo tipo di procedura; consente a diversi sistemi di collaborare per produrre modelli ML senza mai realmente scambiare dati. L'aggiornamento costante dei modelli AI di Optimus con nuovi input da diverse fonti tramite l'apprendimento federato consentirà al robot di essere meglio protetto dagli attacchi ostili. Attraverso partnership con altre aziende e professionisti della sicurezza AI, Tesla può anche anticipare nuovi rischi e creare piani di difesa più solidi.

Considerazioni etiche e sociali

Poiché garantisce l'affidabilità e la sicurezza di Optimus di Tesla, la sicurezza dell'apprendimento automatico pone seri interrogativi etici e sociali. Le violazioni della sicurezza stanno diventando rilevanti poiché robot come Optimus vengono sempre più inclusi nelle aziende e forse anche nelle famiglie. Un assalto aggressivo efficace contro un robot di automazione industriale potrebbe causare perdite finanziarie, tempi di inattività o persino rischi fisici per i lavoratori. Gli utilizzi sensibili come l'assistenza sanitaria e l'assistenza agli anziani presentano pericoli molto più elevati poiché un robot hackerato potrebbe mettere in pericolo individui sensibili. L'utilizzo dell'intelligenza artificiale in Optimus e sistemi simili solleva anche interrogativi su chi ha la responsabilità di cosa in caso di problemi di sicurezza. Se un assalto avversario dovesse fallire Optimus e causare danni, chi è responsabile , ovvero l'originatore, l'operatore o lo sviluppatore del modello di intelligenza artificiale? Dato il numero crescente di robot alimentati dall'intelligenza artificiale nella società, è necessario rispondere a queste domande etiche e legali.

Conclusione

La sicurezza dell'apprendimento automatico essenzialmente consente a Optimus di Tesla di svolgere regolarmente e in sicurezza le sue attività in diversi ambienti. Ciò è essenziale per proteggere il robot da intenzioni malevole. La complessità e l'integrazione dei sistemi basati sull'intelligenza artificiale in settori cruciali definiranno molto probabilmente i pericoli degli attacchi ostili. Le solide funzionalità di sicurezza includono formazione avversaria, regole di integrità dei dati, metodologie di robustezza del modello, monitoraggio in tempo reale e meccanismi di difesa cooperativi che consentono a Tesla di proteggere Optimus da questi attacchi e garantirne il funzionamento a lungo termine. La sicurezza completa dell'apprendimento automatico sta diventando sempre più rilevante poiché l'uso di robot umanoidi come Optimus continua a crescere nel settore per proteggere sia i robot che gli umani che dovrebbero servire come utenti.

https://cybersecurity-magazine.com/the-role-of-machine-learning-s

Vulnerabilità di WhatsApp consente agli aggressori di eseguire codice dannoso tramite allegati

Una vulnerabilità critica in WhatsApp per Windows che potrebbe consentire agli aggressori di eseguire codice dannoso attraverso allegati di file apparentemente innocui.

La vulnerabilità di spoofing, ufficialmente identificata come CVE-2025-30401, interessa tutte le versioni di WhatsApp Desktop per Windows precedenti alla 2.2450.6 e rappresenta un rischio significativo per gli utenti che interagiscono con gli allegati inviati tramite la piattaforma.

Il problema dello spoofing deriva da un difetto fondamentale nel modo in cui WhatsApp per Windows elabora gli allegati.

Secondo l'avviso di sicurezza ufficiale, l'applicazione "visualizzava gli allegati in base al loro tipo MIME, ma selezionava il gestore di apertura dei file in base all'estensione del nome file dell'allegato".

Questa discrepanza creava una pericolosa scappatoia che i malintenzionati potevano sfruttare.

Quando un utente riceve un allegato su WhatsApp, l'applicazione mostra il tipo di file in base al suo tipo MIME (ad esempio, visualizzandolo come immagine), mentre il sistema operativo decide come aprire il file in base alla sua estensione (ad esempio, .exe).

Un aggressore potrebbe creare un file con una combinazione fuorviante di tipo MIME ed estensione del nome file, inducendo gli utenti a eseguire inavvertitamente codice arbitrario quando aprono manualmente quello che sembra un allegato innocuo.

Vulnerabilità di WhatsApp per Windows

Il vettore di attacco è particolarmente preoccupante perché fa leva sulla fiducia degli utenti. Un criminale informatico potrebbe inviare quello che sembra un file immagine standard all'interno di WhatsApp, ma l'allegato potrebbe in realtà avere un'estensione eseguibile.

Se il destinatario aprisse questo allegato direttamente da WhatsApp, anziché visualizzare un'immagine, eseguirebbe inconsapevolmente un codice potenzialmente dannoso.

"Una discrepanza creata in modo dannoso avrebbe potuto indurre il destinatario a eseguire inavvertitamente codice arbitrario anziché visualizzare l'allegato quando lo apriva manualmente all'interno di WhatsApp", si legge nell'avviso ufficiale di Facebook, la società madre di WhatsApp.

Di seguito è riportato il riepilogo della vulnerabilità:

Impatto e versioni interessate

La vulnerabilità riguarda tutte le versioni di WhatsApp Desktop per Windows dalla versione 0.0.0 fino alla 2.2450.6 esclusa.

La vulnerabilità CVE-2025-30401 è classificata come grave a causa del rischio di esecuzione di codice remoto, che potrebbe causare l'accesso non autorizzato al sistema o il furto di dati.

Gli analisti della sicurezza sottolineano che questa vulnerabilità è particolarmente pericolosa negli scenari di chat di gruppo, in cui allegati dannosi potrebbero raggiungere più vittime contemporaneamente.

Non è la prima volta che le piattaforme di messaggistica affrontano simili sfide di sicurezza. Nel 2024, il ricercatore di sicurezza Saumyajeet Das ha scoperto una vulnerabilità separata in WhatsApp per Windows che consentiva l'esecuzione di script Python e PHP senza preavviso quando aperti.

Si consiglia vivamente agli utenti di WhatsApp per Windows di aggiornare immediatamente le proprie applicazioni alla versione 2.2450.6 o successiva, che risolve la vulnerabilità di spoofing.

https://cybersecuritynews.com/whatsapp-for-windows-vulnerability/

Gli hacker sfruttano i file .RDP di Windows per connessioni desktop remote non autorizzate

In una sofisticata campagna di spionaggio rivolta a istituzioni governative e militari europee, alcuni hacker ritenuti collegati ad attori statali russi hanno utilizzato una funzionalità meno nota del protocollo RDP (Remote Desktop Protocol) di Windows per infiltrarsi nei sistemi.

Il Google Threat Intelligence Group (GTIG) ha identificato questa nuova ondata di attacchi informatici e li ha attribuiti a un gruppo denominato UNC5837.

La campagna, che è stata osservata a partire da ottobre 2024, impiega un approccio unico inviando e-mail di phishing con allegati di file .rdp. Questi file, una volta eseguiti, avviano una connessione RDP dalla macchina della vittima a un server controllato dall'aggressore senza i tipici banner di avviso di sessione interattiva.

Questo metodo, descritto come "Rogue RDP" da GTIG, consente agli aggressori di accedere ai file system della vittima, ai dati degli appunti e potenzialmente anche alle variabili di sistema, il tutto sotto le mentite spoglie di un legittimo controllo dell'applicazione.

Gli aggressori, in collaborazione con l'Agenzia statale ucraina per la sicurezza delle comunicazioni e delle informazioni, hanno inviato e-mail che sembravano provenire da organizzazioni prestigiose come Amazon e Microsoft.

Esempio di campagna

Reindirizzamento delle risorse e RemoteApps

Le e-mail contenevano file .rdp firmati, con certificati SSL validi, per aggirare le misure di sicurezza che avrebbero avvisato gli utenti di potenziali rischi.

Questi file sono configurati per mappare le risorse dal computer della vittima al server dell'attaccante: una volta eseguiti, i file .RDP hanno abilitato due vettori di attacco critici:Reindirizzamento di unità e appunti : la configurazione ha concesso agli aggressori l'accesso in lettura/scrittura a tutte le unità delle vittime, esponendo file system, variabili di ambiente e dati degli appunti, incluse le password copiate dall'utente. Le configurazioni delle macchine virtuali hanno aggravato il rischio, poiché la sincronizzazione degli appunti tra sistemi host e guest ha ampliato la superficie di furto.

RemoteApp ingannevoli : invece di un accesso completo al desktop, le vittime visualizzavano un'applicazione in finestra denominata "AWS Secure Storage Connection Stability Test". Ospitata interamente sui server degli aggressori, questa RemoteApp si mascherava da strumento locale mentre operava all'interno del canale crittografato della sessione RDP.

In particolare, gli aggressori hanno sfruttato le variabili di ambiente di Windows (%USERPROFILE%, %COMPUTERNAME%) come argomenti della riga di comando per RemoteApp, consentendo la ricognizione senza distribuire malware.

RDP dannoso

L'uso di queste funzionalità riduce l'impatto dell'attacco, rendendo più difficile per chi interviene in caso di incidente rilevare e analizzare la violazione.

GTIG ha inoltre evidenziato il potenziale utilizzo di uno strumento proxy RDP come PyRDP, che potrebbe automatizzare attività quali l'esfiltrazione di file, l'acquisizione degli appunti o il dirottamento di sessione.

Strumento PyRDP

Sebbene manchino prove dirette che colleghino PyRDP a questa particolare campagna, le sue capacità corrispondono ai vettori di attacco osservati:Furto delle credenziali utilizzate per l'autenticazione sui server RDP.

Acquisizione del contenuto degli appunti dell'utente, che potrebbe includere informazioni sensibili come le password.

Esecuzione del comando sul server RDP, anche se non direttamente sul computer della vittima.

Misure difensive:

Il rilevamento rimane difficile a causa della limitata registrazione nativa. Gli indicatori chiave includono:Artefatti del registro: IP e nomi utente degli aggressori in HKEY_USERS\...\Terminal Server Client\Servers

File temporanei: file .tmp generati da MSTSC in %APPDATA%\Local\Temp

Processi sospetti: scritture di file provenienti da mstsc.exe1

Per mitigare i rischi, Microsoft consiglia:

Applicazione dell'autenticazione a livello di rete (NLA) per le connessioni RDP

La scoperta di questa campagna sottolinea la necessità per le organizzazioni di rafforzare le proprie difese: bloccare i file .RDP da editori non attendibili tramite Criteri di gruppo

Disabilitazione del reindirizzamento dell'unità e limitazione dell'accesso agli Appunti

Le organizzazioni dovrebbero disabilitare l'esecuzione di file .rdp non firmati e consentire solo connessioni da editori attendibili.

Una registrazione e un monitoraggio avanzati per eventi insoliti di creazione di file originati da sessioni RDP possono aiutare a rilevare questo tipo di intrusione.

Gli utenti devono essere addestrati a riconoscere e gestire in modo sicuro gli allegati e-mail sospetti, in particolare i file .rdp provenienti da fonti sconosciute.

Con l'evoluzione di tecnologie come RDP, si evolvono anche le tattiche dei criminali informatici. L'impiego di strumenti come PyRDP in potenziali attacchi evidenzia una tendenza crescente in cui gli aggressori sfruttano le capacità di sistema esistenti per un accesso furtivo e persistente, rendendo l'aggiornamento continuo delle pratiche di sicurezza un imperativo per tutte le organizzazioni.

https://cybersecuritynews.com/hackers-exploiting-windows-rdp-files-for-rogue-remote-desktop-connections/

Rilasciato l'Exploit PoC per il difetto Yelp che espone le chiavi SSH sui sistemi Ubuntu

 

È stato rilasciato un exploit proof-of-concept (PoC) per CVE-2025-3155, una vulnerabilità critica nel visualizzatore della guida Yelp di GNOME che consente agli aggressori di esfiltrare chiavi SSH e altri file sensibili dai sistemi Ubuntu.

La falla sfrutta la gestione impropria dello schema URI ghelp:// e dell'elaborazione XML per eseguire codice JavaScript arbitrario, esponendo milioni di utenti desktop Linux a potenziali furti di dati.

Yelp, preinstallato su Ubuntu e altre distribuzioni basate su GNOME, elabora i file .page utilizzando lo schema XML Mallard.

Dettagli sulla vulnerabilità

Questi file supportano XInclude, un meccanismo di inclusione XML che gli aggressori hanno sfruttato per iniettare contenuti dannosi. La catena di vulnerabilità coinvolge tre componenti chiave:

Schema URI ghelp:

Github segnala che Yelp si registra come gestore per gli URI ghelp://. Un link dannoso come ghelp:///proc/self/cwd/Downloads può innescare l'analisi dei file .page controllati dall'attaccante.

XInclude Lettura file arbitraria:

Gli aggressori creano file .page con direttive come:

Ciò consente l'inclusione di file di sistema (ad esempio, /proc/self/cwd/.ssh/id_rsa) nel documento renderizzato.

Iniezione di script basata su SVG:

Il processore XSLT di Yelp copia gli elementi <svg> alla lettera nell'HTML di output. Gli aggressori incorporano JavaScript nei tag SVG per esfiltrare i dati:

Questo script invia i file rubati a un server remoto quando la pagina viene caricata.

Sfrutta il flusso di lavoro

L' exploit PoC prevede due fasi:

Una pagina web dannosa utilizza JavaScript per forzare il download di un file .page nella cartella Download della vittima:

La stessa pagina reindirizza a ghelp:///proc/self/cwd/Downloads, facendo sì che Yelp analizzi il file .page dannoso ed esegua lo script incorporato.

I sistemi interessati includono Ubuntu 22.04 LTS e altre distribuzioni basate su GNOME che utilizzano Yelp ≥42.1.

Con CVSS 6.5, classificato come moderato, la vulnerabilità richiede l'interazione dell'utente (cliccando su un collegamento) e un affidamento parziale all'individuazione dei percorsi dei file.

Gli aggressori sfruttano la directory predefinita $HOME di GNOME come directory di lavoro per i browser, utilizzando /proc/self/cwd per fare riferimento a Downloads/ senza conoscere il nome utente.

Raccomandazioni di mitigazione

Evita i link non attendibili: non cliccare sugli URI ghelp:// provenienti da fonti non verificate.

Gestione patch: monitora gli aggiornamenti ufficiali da GNOME e Ubuntu. A partire dall'8 aprile 2025, non esiste alcuna patch impegnata, sebbene le correzioni proposte siano in fase di revisione.

Segmentazione della rete: limita l'accesso esterno ai sistemi che eseguono versioni vulnerabili di Yelp.

La scoperta evidenzia i rischi nell'elaborazione XML e nei gestori URI personalizzati negli ecosistemi desktop Linux.

Sebbene sia richiesta l'interazione dell'utente, la facilità dell'ingegneria sociale combinata con questa falla crea una superficie di attacco significativa per il furto di credenziali e lo spostamento laterale.

Gli amministratori di sistema dovrebbero dare priorità alla formazione degli utenti e al monitoraggio degli endpoint fino al rilascio delle patch ufficiali.

https://cybersecuritynews.com/poc-exploit-yelp-flaw-ssh-keys/

Cyber ​​Resilience Act (CRA) | Aggiornamenti, Conformità

Che cos'è l'European Cyber ​​Resilience Act (CRA)?

Il Cyber ​​Resilience Act è un quadro giuridico che descrive i requisiti di sicurezza informatica per i prodotti hardware e software con elementi digitali immessi sul mercato dell'Unione Europea. I produttori sono ora obbligati a prendere sul serio la sicurezza durante tutto il ciclo di vita di un prodotto.

I prodotti hardware e software digitali costituiscono una delle principali vie per attacchi informatici di successo. In un ambiente connesso, un incidente di sicurezza informatica in un prodotto può influenzare un'intera organizzazione o un'intera supply chain, spesso propagandosi oltre i confini del mercato interno nel giro di pochi minuti.

Prima dell'adozione dell'atto europeo sulla resilienza informatica, i vari atti e iniziative adottati a livello nazionale e dell'Unione affrontavano solo in parte i problemi e i rischi identificati in materia di sicurezza informatica, creando un mosaico legislativo all'interno del mercato interno.

Ha aumentato l'incertezza giuridica sia per i produttori che per gli utilizzatori di tali prodotti e ha aggiunto un inutile onere alle aziende, che devono conformarsi a una serie di requisiti per tipologie simili di prodotti.

La sicurezza informatica di questi prodotti ha una dimensione transfrontaliera particolarmente marcata, poiché i prodotti fabbricati in un paese vengono spesso utilizzati da organizzazioni e consumatori in tutto il mercato interno.

Vengono affrontati due problemi principali:

1. Il basso livello di sicurezza informatica dei prodotti con elementi digitali, riflesso nelle diffuse vulnerabilità e nella fornitura insufficiente e incoerente di aggiornamenti di sicurezza per affrontarle.

2. La scarsa comprensione e l'insufficiente accesso alle informazioni da parte degli utenti, impediscono loro di scegliere prodotti con adeguate proprietà di sicurezza informatica o di utilizzarli in modo sicuro.

In determinate condizioni, tutti i prodotti con elementi digitali integrati o connessi a un sistema informativo elettronico più ampio possono fungere da vettore di attacco per malintenzionati.

Di conseguenza, anche hardware e software considerati meno critici possono facilitare la compromissione iniziale di un dispositivo o di una rete, consentendo ad autori malintenzionati di ottenere un accesso privilegiato a un sistema o di muoversi lateralmente tra i sistemi.

Esempi di prodotti con elementi digitali

Dispositivi finali: 

• computer portatili
• smartphone
• sensori e telecamere
• robot intelligenti
• smart card
• contatori intelligenti
• dispositivi mobili
• altoparlanti intelligenti
• router
• switch
• sistemi di controllo industriale.

Software

- firmware

- sistemi operativi

- app mobili

- applicazioni desktop

- videogiochi

Componenti (sia hardware che software)

- unità di elaborazione del computer

- schede video

- librerie software

Esempi di attacchi informatici che sfruttano la sicurezza dei prodotti con elementi digitali

- Lo spyware Pegasus, che sfruttava le vulnerabilità dei telefoni cellulari.

- Il ransomware WannaCry, che ha sfruttato una vulnerabilità di Windows, colpendo computer in 150 Paesi.

- L'attacco alla supply chain di Kaseya VSA, che ha utilizzato un software di amministrazione di rete per attaccare oltre 1000 aziende.

10 ottobre 2024 - Il Consiglio ha adottato l'atto europeo sulla resilienza informatica (CRA)

Il Consiglio ha adottato la nuova legge sui requisiti di sicurezza informatica per i prodotti con elementi digitali, allo scopo di garantire che prodotti quali telecamere domestiche connesse, frigoriferi, TV e giocattoli siano sicuri prima di essere immessi sul mercato.

Il nuovo regolamento mira a colmare le lacune, chiarire i collegamenti e rendere più coerente il quadro legislativo vigente in materia di sicurezza informatica, garantendo che i prodotti con componenti digitali, ad esempio i prodotti "Internet of Things" (IoT), siano protetti lungo tutta la catena di fornitura e per tutto il loro ciclo di vita.

Passo successivo:

L'atto sarà firmato dai presidenti del Consiglio e del Parlamento europeo e sarà pubblicato nella Gazzetta ufficiale dell'UE nelle prossime settimane. Il nuovo regolamento entrerà in vigore venti giorni dopo questa pubblicazione e si applicherà 36 mesi dopo la sua entrata in vigore, con alcune disposizioni che si applicheranno in una fase precedente.

4 aprile 2024 - Documento: "Cyber ​​Resilience Act (CRA) Requirements Standards Mapping" - da ENISA e dal Centro comune di ricerca della Commissione europea.

La proposta di Cyber ​​Resilience Act (CRA) copre tutti i prodotti con elementi digitali immessi sul mercato che possono essere collegati a un dispositivo o a una rete, compresi i loro elementi costitutivi (vale a dire hardware e software), e comprende anche le soluzioni fornite in modalità Software as a Service (SaaS) se si qualificano come soluzioni di elaborazione dati remota, come definito dall'articolo 3(2) della proposta CRA.

La proposta CRA prevede due serie di requisiti essenziali:

— Requisiti di sicurezza informatica del prodotto nell’allegato I, sezione 1 della proposta CRA,

— Requisiti del processo di gestione delle vulnerabilità nell’allegato I, sezione 2 della proposta CRA.

Tali requisiti dovrebbero essere oggetto di un processo di normazione da parte delle Organizzazioni europee di normazione (OEN) per esprimerli sotto forma di specifiche in norme armonizzate.

Questo rapporto descrive in dettaglio gli output di standardizzazione disponibili sulla sicurezza informatica dei prodotti (prodotti hardware e software, inclusi componenti hardware e software di prodotti più complessi) realizzati principalmente da ESO e organizzazioni internazionali per lo sviluppo di standard (SDO). Nello specifico, lo studio mira a presentare una mappatura degli standard di sicurezza informatica esistenti rispetto ai requisiti essenziali elencati nell'Allegato I della proposta CRA, insieme a un'analisi dei gap tra gli standard mappati e i requisiti.

4 aprile 2024 - Documento: "Cyber ​​Resilience Act (CRA) Requirements Standards Mapping" - da ENISA e dal Centro comune di ricerca della Commissione europea.

12 marzo 2024 - Il Parlamento europeo ha approvato il Cyber ​​Resilience Act.

Il Cyber ​​Resilience Act è stato approvato con 517 voti favorevoli, 12 contrari e 78 astensioni.

Testo approvato: "Risoluzione legislativa del Parlamento europeo del 12 marzo 2024 sulla proposta di regolamento del Parlamento europeo e del Consiglio sui requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica il regolamento (UE) 2019/1020 (COM(2022)0454 – C9-0308/2022 – 2022/0272(COD))".

https://www.europarl.europa.eu/doceo/document/TA-9-2024-0130_EN.html

Fase successiva: deve essere formalmente adottato dal Consiglio.

1° dicembre 2023 - Accordo politico sul Cyber ​​Resilience Act.

La Commissione europea accoglie con favore l'accordo politico raggiunto tra il Parlamento europeo e il Consiglio sul Cyber ​​Resilience Act, proposto dalla Commissione nel settembre 2022.

L'accordo raggiunto è ora soggetto all'approvazione formale sia del Parlamento europeo che del Consiglio. Una volta adottato, il Cyber ​​Resilience Act entrerà in vigore il 20° giorno successivo alla sua pubblicazione nella Gazzetta ufficiale.

Dall'entrata in vigore, i produttori, gli importatori e i distributori di prodotti hardware e software avranno 36 mesi di tempo per adeguarsi ai nuovi requisiti, ad eccezione di un periodo di tolleranza più limitato di 21 mesi in relazione all'obbligo di segnalazione dei produttori di incidenti e vulnerabilità.

Aggiornamento, luglio 2023 - Accordo raggiunto nel Consiglio europeo.

La posizione comune del Consiglio mantiene l'orientamento generale della proposta della Commissione, in particolare per quanto riguarda:

- Norme per riequilibrare la responsabilità della conformità nei confronti dei produttori, che devono garantire la conformità ai requisiti di sicurezza dei prodotti con elementi digitali messi a disposizione sul mercato dell'UE, compresi obblighi quali la valutazione del rischio per la sicurezza informatica, la dichiarazione di conformità e la cooperazione con le autorità competenti.

- Requisiti essenziali per i processi di gestione delle vulnerabilità che consentono ai produttori di garantire la sicurezza informatica dei prodotti digitali, nonché obblighi per gli operatori economici, quali importatori o distributori, in relazione a tali processi.

- Misure volte a migliorare la trasparenza sulla sicurezza dei prodotti hardware e software per i consumatori e gli utenti aziendali, nonché un quadro di sorveglianza del mercato per far rispettare tali norme.

Cosa succederà ora?

Dopo la posizione comune del Consiglio ("mandato negoziale"), avremo negoziati con il Parlamento europeo ("triloghi") sulla versione definitiva della proposta legislativa.

Aggiornamento, settembre 2022 - Articoli proposti dell'European Cyber ​​Resilience Act (CRA)

La proposta di regolamento sui requisiti di sicurezza informatica per i prodotti con elementi digitali, nota come Cyber ​​Resilience Act, rafforza le norme sulla sicurezza informatica per garantire prodotti hardware e software più sicuri.

I prodotti hardware e software sono sempre più soggetti ad attacchi informatici riusciti, con un costo annuo globale stimato della criminalità informatica pari a 5,5 trilioni di euro entro il 2021.

Tali prodotti soffrono di due problemi principali che comportano costi aggiuntivi per gli utenti e per la società:

- un basso livello di sicurezza informatica, riflesso da vulnerabilità diffuse e dalla fornitura insufficiente e incoerente di aggiornamenti di sicurezza per affrontarle, e

- una scarsa comprensione e un accesso insufficiente alle informazioni da parte degli utenti, che impedisce loro di scegliere prodotti con adeguate proprietà di sicurezza informatica o di utilizzarli in modo sicuro.

Mentre la legislazione vigente sul mercato interno si applica a determinati prodotti con elementi digitali, la maggior parte dei prodotti hardware e software non è attualmente coperta da alcuna legislazione UE che affronti la loro sicurezza informatica. In particolare, l'attuale quadro giuridico UE non affronta la sicurezza informatica del software non incorporato, anche se gli attacchi alla sicurezza informatica prendono sempre più di mira le vulnerabilità di questi prodotti, causando significativi costi sociali ed economici.

Sono stati individuati due obiettivi principali volti a garantire il corretto funzionamento del mercato interno:

- creare le condizioni per lo sviluppo di prodotti sicuri con elementi digitali, garantendo che i prodotti hardware e software siano immessi sul mercato con meno vulnerabilità e che i produttori prendano sul serio la sicurezza durante tutto il ciclo di vita del prodotto; e

- creare le condizioni che consentano agli utenti di tenere in considerazione la sicurezza informatica quando selezionano e utilizzano prodotti con elementi digitali.

Sono stati definiti quattro obiettivi specifici:

1. Garantire che i produttori migliorino la sicurezza dei prodotti con elementi digitali fin dalla fase di progettazione e sviluppo e durante l'intero ciclo di vita;

2. Garantire un quadro coerente di sicurezza informatica, facilitando la conformità per i produttori di hardware e software;

3. Migliorare la trasparenza delle proprietà di sicurezza dei prodotti con elementi digitali e

4. Consentire alle aziende e ai consumatori di utilizzare in modo sicuro i prodotti con elementi digitali.

Comprendere l'European Cyber ​​Resilience Act (CRA)

L'European Cyber ​​Resilience Act (CRA) mira a stabilire le condizioni limite per lo sviluppo di prodotti sicuri con elementi digitali , assicurando che i prodotti hardware e software siano immessi sul mercato con meno vulnerabilità e che i produttori prendano sul serio la sicurezza durante l'intero ciclo di vita di un prodotto. Mira inoltre a creare condizioni che consentano agli utenti di tenere conto della sicurezza informatica quando selezionano e utilizzano prodotti con elementi digitali.

La pertinente legislazione dell'Unione attualmente in vigore comprende diverse serie di norme orizzontali che affrontano determinati aspetti legati alla sicurezza informatica da diverse angolazioni, tra cui misure per migliorare la sicurezza della catena di fornitura digitale. Tuttavia, la legislazione dell'Unione vigente relativa alla sicurezza informatica non copre direttamente i requisiti obbligatori per la sicurezza dei prodotti con elementi digitali.

I vari atti e iniziative finora adottati a livello nazionale e dell'Unione affrontano solo in parte i problemi e i rischi individuati in materia di sicurezza informatica, creando un mosaico legislativo nel mercato interno, aumentando l'incertezza giuridica sia per i fabbricanti che per gli utilizzatori di tali prodotti e aggiungendo un inutile onere alle aziende per conformarsi a una serie di requisiti per tipologie simili di prodotti.

La sicurezza informatica di questi prodotti ha una dimensione transfrontaliera particolarmente forte, poiché i prodotti fabbricati in un paese sono spesso utilizzati da organizzazioni e consumatori in tutto il mercato interno. Ciò rende necessario regolamentare il settore a livello di Unione. Il panorama normativo dell'Unione dovrebbe essere armonizzato introducendo requisiti di sicurezza informatica per i prodotti con elementi digitali. Inoltre, dovrebbe essere garantita la certezza per gli operatori e gli utenti in tutta l'Unione, nonché una migliore armonizzazione del mercato unico, creando condizioni più sostenibili per gli operatori che mirano a entrare nel mercato dell'Unione.

A livello di Unione, vari documenti programmatici e politici, come la strategia per la sicurezza informatica dell'UE per il decennio digitale, le conclusioni del Consiglio del 2 dicembre 2020 e del 23 maggio 2022 o la risoluzione del Parlamento europeo del 10 giugno 2021, hanno chiesto requisiti specifici dell'Unione in materia di sicurezza informatica per i prodotti digitali o connessi, con diversi paesi in tutto il mondo che hanno introdotto misure per affrontare questo problema di propria iniziativa. Nella relazione finale della conferenza sul futuro dell'Europa, 18 cittadini hanno chiesto "un ruolo più forte per l'UE nel contrastare le minacce alla sicurezza informatica".

Per aumentare il livello complessivo di sicurezza informatica di tutti i prodotti con elementi digitali immessi sul mercato interno, è necessario introdurre requisiti essenziali di sicurezza informatica orientati agli obiettivi e tecnologicamente neutrali per tali prodotti, che si applichino orizzontalmente.

In determinate condizioni, tutti i prodotti con elementi digitali integrati o connessi a un sistema informativo elettronico più ampio possono fungere da vettore di attacco per attori malintenzionati. Di conseguenza, anche hardware e software considerati meno critici possono facilitare la compromissione iniziale di un dispositivo o di una rete, consentendo agli attori malintenzionati di ottenere un accesso privilegiato a un sistema o di muoversi lateralmente tra i sistemi. I produttori dovrebbero pertanto garantire che tutti i prodotti collegabili con elementi digitali siano progettati e sviluppati in conformità ai requisiti essenziali stabiliti nel presente regolamento.

Ciò include sia i prodotti che possono essere collegati fisicamente tramite interfacce hardware, sia i prodotti che sono collegati logicamente, come tramite socket di rete, pipe, file, interfacce di programmazione delle applicazioni o qualsiasi altro tipo di interfaccia software. Poiché le minacce alla sicurezza informatica possono propagarsi attraverso vari prodotti con elementi digitali prima di raggiungere un determinato obiettivo, ad esempio concatenando insieme più exploit di vulnerabilità, i produttori dovrebbero anche garantire la sicurezza informatica di quei prodotti che sono solo indirettamente collegati ad altri dispositivi o reti.

Definendo requisiti di sicurezza informatica per l'immissione sul mercato di prodotti con elementi digitali, la sicurezza informatica di questi prodotti per i consumatori e per le aziende sarà migliorata. Ciò include anche requisiti per l'immissione sul mercato di prodotti di consumo con elementi digitali destinati a consumatori vulnerabili, come giocattoli e baby monitor.

Aggiornamento, maggio 2022 - European Cyber ​​Resilience Act

Secondo il programma di lavoro della Commissione europea per il 2022, nel terzo trimestre del 2022 verrà pubblicata una proposta di legge europea sulla resilienza alla sicurezza informatica (legislativa). L'obiettivo è stabilire standard comuni per i prodotti di sicurezza informatica.

Secondo la Commissione Europea:

"La pandemia ha fatto da catalizzatore per l'accelerazione della digitalizzazione dell'Europa e del mondo. La Commissione proseguirà il suo percorso verso il decennio digitale per realizzare la trasformazione digitale dell'UE entro il 2030. Siamo determinati a guidare la corsa globale verso una tecnologia affidabile, sicura e incentrata sull'uomo. E lavoreremo per raggiungere un accordo e attuare le nostre proposte per un Internet sicuro e protetto, un'identità digitale europea e un'intelligenza artificiale affidabile.

Il mercato unico rimane al centro di un'economia europea innovativa, prospera e orientata al futuro. Sono necessarie una politica e un'applicazione della concorrenza forti ed efficaci per contribuire a una ripresa resiliente e alle transizioni gemelle. In questo contesto, la Commissione ha avviato una revisione della politica della concorrenza per garantire che i vari strumenti siano adatti allo scopo. Proporremo anche uno strumento di emergenza per il mercato unico per aiutare a prevenire future interruzioni.

Nonostante le numerose sfide e interruzioni, l'Europa ha superato la crisi in gran parte grazie alle sue competenze innovative, alla sua solida base industriale e alle sue catene di fornitura diversificate e competitive. Tuttavia, in alcuni settori strategici, è stata vulnerabile a causa dell'elevata dipendenza da un numero molto limitato di fornitori extra-UE, soprattutto in relazione alle materie prime. Ciò è particolarmente evidente quando si tratta di semiconduttori.

Le forniture di questi chip che alimentano le soluzioni digitali europee sono diventate una vera preoccupazione per l'industria dell'UE, con casi di rallentamento della produzione. In questo contesto, adotteremo un European chips act per promuovere un ecosistema europeo di chip all'avanguardia per potenziare la nostra capacità innovativa, la sicurezza dell'approvvigionamento e sviluppare nuovi mercati per la tecnologia europea rivoluzionaria.

Con l'economia e la società che si affidano sempre di più a soluzioni digitali, dobbiamo assicurarci di poterci difendere in un mondo sempre più incline all'hacking di prodotti connessi e servizi associati. A tal fine, proporremo un atto europeo sulla resilienza informatica per stabilire standard comuni di sicurezza informatica per i prodotti. Inizieremo anche a costruire un sistema di comunicazioni sicure globali basato sullo spazio dell'UE, offrendo connettività a banda larga in tutta l'UE dove attualmente non esiste e comunicazioni sicure e indipendenti agli Stati membri.

Poiché il settore energetico sarà il principale contributore al raggiungimento dell'obiettivo climatico dell'UE di ridurre le emissioni di almeno il 55 percento entro il 2030, la Commissione proporrà un piano d'azione per una trasformazione digitale accelerata del settore, necessaria per garantire il passaggio alle energie rinnovabili, alla mobilità connessa, agli edifici intelligenti e a un sistema energetico più integrato con i consumatori al centro. Le interruzioni energetiche su larga scala negli Stati Uniti e nell'UE nell'ultimo anno mostrano la necessità di un'energia resiliente e cyber-sicura.

Per far sì che i cittadini europei possano trarre il massimo vantaggio dalla tecnologia digitale, è fondamentale fornire solide competenze digitali e istruzione. Ciò è stato evidenziato quando l'apprendimento a distanza è diventato la norma durante la pandemia di COVID-19. Ed è evidenziato come un obiettivo chiave nella Digital Compass. Per affrontare le lacune in competenze e conoscenze, proporremo misure per facilitare e promuovere le competenze digitali nelle scuole e nell'istruzione superiore.

La ricerca e l'innovazione svolgeranno un ruolo chiave nel rispondere alle sfide che ci troviamo ad affrontare oggi. Contribuiranno a realizzare la ripresa dell'Europa, basata su una crescita economica che può guidare le transizioni verde e digitale. Ciò sarà essenziale per una crescita economica equa a vantaggio di tutte le regioni e di tutti i cittadini, comprese le aree rurali. È importante garantire che l'Europa rimanga all'avanguardia della scienza e in prima linea nelle nuove ondate di innovazione.

Le soluzioni digitali possono anche aiutare a supportare una mobilità più integrata e sostenibile. Proporremo un'iniziativa sui servizi di mobilità digitale multimodale per affrontare le lacune del mercato nell'uso combinato delle modalità di trasporto, tra cui la ferrovia."

La Commissione europea invita i cittadini e le organizzazioni a condividere le loro opinioni sul Cyber ​​Resilience Act europeo

16 marzo 2022 - La Commissione europea ha avviato una consultazione pubblica per raccogliere opinioni ed esperienze di tutte le parti interessate sul prossimo atto legislativo europeo sulla resilienza informatica.

Annunciato per la prima volta dalla Presidente von der Leyen nel suo discorso sullo stato dell'Unione a settembre 2021, l'atto mira a stabilire norme comuni sulla sicurezza informatica per i prodotti digitali e i servizi associati immessi sul mercato in tutta l'Unione europea. I risultati della consultazione pubblica confluiranno nella proposta legislativa della Commissione prevista per la seconda metà di quest'anno.

Thierry Breton, Commissario per il Mercato interno, ha affermato:

Per affrontare gli attacchi informatici diversi e sofisticati di oggi abbiamo bisogno di tecnologie avanzate, infrastrutture sicure e una maggiore cooperazione operativa, nonché di un approccio comune sui benchmark di sicurezza informatica per prodotti e servizi. Non vediamo l'ora di ricevere input da tutti i cittadini e le organizzazioni interessati per aiutarci a dare forma al nuovo Cyber ​​Resilience Act che diventerà una parte fondamentale del quadro strategico, politico e legislativo europeo in materia di sicurezza informatica.

Il Cyber ​​Resilience Act integrerà l'attuale quadro legislativo dell'UE, che comprende la direttiva sulla sicurezza delle reti e dei sistemi informativi (direttiva NIS) e il Cybersecurity Act, nonché la futura direttiva sulle misure per un livello comune elevato di cybersecurity nell'Unione (NIS 2) proposta dalla Commissione nel dicembre 2020.

La consultazione pubblica sarà aperta per le prossime 10 settimane, fino al 25 maggio 2022. Inoltre, la Commissione ha pubblicato un invito a presentare prove per creare una panoramica dei problemi attualmente identificati e dei possibili modi per affrontarli. L'invito a presentare prove sarà aperto ai commenti parallelamente alla consultazione pubblica, sempre per 10 settimane.

Problema che l'iniziativa intende affrontare:

In un ambiente connesso, un incidente di sicurezza informatica in un prodotto può avere ripercussioni su un'intera organizzazione o su un'intera supply chain. Ciò può portare a gravi interruzioni delle attività economiche e sociali o addirittura mettere a rischio la vita. La mancanza di sicurezza adeguata nei prodotti digitali e nei servizi ausiliari è una delle principali vie per attacchi di successo.

Quando si immettono sul mercato prodotti o servizi digitali, i venditori (ad esempio produttori di hardware, sviluppatori di software, distributori e importatori) spesso non mettono in atto adeguate misure di sicurezza informatica. Le ragioni di ciò possono includere:

(i) voler trarre vantaggio dall’essere i primi a immettere un prodotto o un servizio sul mercato, grazie agli effetti di rete presenti nei mercati ICT;

(ii) mancanza di professionisti della sicurezza qualificati; e

(iii) costi aggiuntivi combinati con la mancanza di incentivi economici.

Allo stesso modo, la risposta dei vendor alle vulnerabilità durante il ciclo di vita dei loro prodotti è troppo spesso inadeguata. Inoltre, i vendor non forniscono sistematicamente informazioni sulla sicurezza dei prodotti (a causa della mancanza di incentivi economici), rendendo difficile per i consumatori informarsi e valutare la sicurezza dei prodotti e dei servizi che stanno utilizzando.

L'attuale quadro normativo dell'UE applicabile ai prodotti digitali comprende diversi atti legislativi, tra cui la legislazione dell'UE su prodotti specifici che copre aspetti legati alla sicurezza e la legislazione generale sulla responsabilità del produttore.

Tuttavia, la normativa vigente copre solo alcuni aspetti legati alla sicurezza informatica dei prodotti digitali tangibili e, ove applicabile, dei software incorporati in tali prodotti.

Il quadro normativo dell'UE sui prodotti (ad esempio la direttiva sulla sicurezza generale dei prodotti e la direttiva macchine, entrambe attualmente in fase di revisione) non prescrive requisiti specifici in materia di sicurezza informatica, ad esempio che coprano l'intero ciclo di vita di un prodotto.

I requisiti relativi all'intero ciclo di vita sono fondamentali nel caso di prodotti digitali e servizi ausiliari, poiché il software deve essere aggiornato regolarmente.

Inoltre, il quadro attuale non copre tutti i tipi di prodotti digitali. In particolare, il quadro attuale non riesce a coprire una varietà di hardware ampiamente utilizzati (ad esempio hardware che non rientrano nella direttiva sulle apparecchiature radio o nel regolamento sui dispositivi medici).

Inoltre, i prodotti software non incorporati non sono affrontati nel quadro normativo attuale, nonostante le vulnerabilità nei prodotti software costituiscano sempre più un canale per attacchi alla sicurezza informatica, causando costi sociali ed economici significativi.

Ursula von der Leyen, Presidente della Commissione europea, discorso sullo stato dell'Unione 2021.

"Se tutto è connesso, tutto può essere hackerato. Dato che le risorse sono scarse, dobbiamo unire le nostre forze. [...] Ecco perché abbiamo bisogno di una politica europea di difesa informatica, che includa una legislazione che stabilisca standard comuni nell'ambito di un nuovo atto europeo sulla resilienza informatica."

Ursula von der Leyen, Presidente della Commissione europea, discorso sullo stato dell'Unione 2021

https://www.european-cyber-resilience-act.com

La Commissione europea punta alla crittografia end-to-end e propone che Europol diventi un FBI dell'UE

La Commissione europea ha annunciato martedì la sua intenzione di unirsi al dibattito in corso sull'accesso legale ai dati e sulla crittografia end-to-end, svelando al contempo una nuova strategia di sicurezza interna volta ad affrontare le minacce in corso.

ProtectEU, questo il nome della strategia, descrive gli ambiti generali che l'esecutivo dell'Unione vorrebbe affrontare nei prossimi anni, sebbene come strategia non offra proposte politiche dettagliate.

In quello che la Commissione ha definito “un mutato contesto di sicurezza e un panorama geopolitico in evoluzione”, ha affermato che l’Europa deve “rivedere il suo approccio alla sicurezza interna”.

Tra i suoi obiettivi c’è quello di istituire Europol come “un’agenzia di polizia veramente operativa per rafforzare il supporto agli Stati membri”, qualcosa di potenzialmente paragonabile all’FBI statunitense, con un ruolo “nell’indagine di casi transfrontalieri, su larga scala e complessi che rappresentano una seria minaccia per la sicurezza interna dell’Unione”.

Parallelamente al nuovo Europol, la Commissione ha affermato che avrebbe creato delle tabelle di marcia sia per quanto riguarda “l’accesso legittimo ed efficace ai dati per le forze dell’ordine” sia per quanto riguarda la crittografia.

L'obiettivo è "identificare e valutare soluzioni tecnologiche che consentano alle autorità di polizia di accedere ai dati criptati in modo lecito, salvaguardando la sicurezza informatica e i diritti fondamentali", ha affermato la Commissione. L'identificazione di tali soluzioni è stata oggetto di molte controversie quando è stata tentata altrove.

La strategia definisce inoltre obiettivi e azioni che riecheggiano valutazioni incontestabili sulle carenze dell'Unione europea, tra cui la mancanza di consapevolezza della situazione e di analisi delle minacce a livello esecutivo.

Il problema per l'Unione Europea è che la difesa, la sicurezza e l'intelligence sono sempre state questioni sovrane di ogni Stato membro e i governi di quegli Stati membri hanno poca voglia di donare le proprie capacità nazionali all'Unione.

ProtectEU invita la Commissione a migliorare la condivisione di intelligence attraverso la capacità unica di analisi dell'intelligence (SIAC) dell'UE, una struttura di fatto per la condivisione volontaria di intelligence da parte dei singoli Stati membri, dotata di una propria capacità di analisi completamente open source.

Un rapporto scritto per la Commissione Europea da Sauli Niinistö, l’ex Presidente della Finlandia, ha avvertito l’anno scorso che l’accordo esistente era “limitato da limiti istituzionali, legali e politici” e ha portato all’incapacità di affrontare in modo ottimale l’invasione russa dell’Ucraina.

Come ha osservato, il successo di qualsiasi cambiamento "dipende in ultima analisi dalla volontà politica, dall'impegno e dagli sforzi concertati degli Stati membri. A questo proposito, il rischio e, ahimè, troppo spesso la realtà del breve termine e degli interessi divergenti, delle priorità di sicurezza e delle opinioni politiche che ostacolano azioni e investimenti congiunti rimane reale, in particolare considerando il panorama sociale e politico polarizzato in tutta Europa".

La strategia annunciava inoltre che la Commissione avrebbe introdotto un nuovo Cybersecurity Act, pur riconoscendo che gli Stati membri non avevano ancora pienamente recepito le leggi vigenti in materia di sicurezza informatica nella propria legislazione nazionale.

"La sicurezza è una precondizione per la nostra democrazia e le nostre economie prospere. L'UE deve essere coraggiosa e proattiva nell'affrontare le complesse sfide alla sicurezza che ci troviamo ad affrontare", ha affermato Henna Virkkunen, vicepresidente esecutivo della Commissione per la sovranità tecnologica, la sicurezza e la democrazia.

"Renderemo l'UE più sicura rafforzando le nostre capacità, sfruttando la tecnologia, potenziando la sicurezza informatica e combattendo le minacce alla sicurezza in modo deciso. Questa strategia, insieme alla Preparedness Union [Strategia], al Libro bianco sulla difesa e al prossimo Democracy Shield, definisce la visione per un'Unione sicura, protetta e resiliente".

https://therecord.media/european-commission-takes-aim-encryp