Di Giuliano Gaia – InvisibleStudio
Il decalogo della sicurezza
Provate a rispondere a queste dieci domande per il vostro museo:
Esiste una persona responsabile della sicurezza informatica?
Tutti i computer e gli smartphone sono aggiornati alle versioni più recenti dei software e del sistema operativo?
I computer sono dotati di antivirus ad aggiornamento automatico?
Esiste un sistema di backup in caso di perdita di dati (anche accidentale)?
E’ stata fatta una formazione alla sicurezza a tutto lo staff che abbia a che fare con i computer?
Tutte le password sono sicure, cioè sufficientemente lunghe e complicate da non poter essere indovinate né da chi vi conosce, né da un computer?
Se basato su sistemi come WordPress, il sito e i suoi plugin vengono regolarmente aggiornati?
I sistemi antifurto, eventuali componenti IoT (internet of things) dei museo e degli uffici sono adeguatamente protetti?
Esistono chiare istruzioni note a tutti in caso di incendio, necessità di evacuazione immediata, blocco di tutti i sistemi “cyberfisici”, attacco terroristico?
Esiste in generale una “cultura della sicurezza” nel vostro museo?
Se la risposta alla maggior parte delle domande è NO, allora vale la pena di fare una riflessione.
Perché occuparsi di Cybersecurity
La sicurezza informatica, o cybersecurity, è un tema assolutamente fondamentale per la nostra società digitalizzata, e quindi per i musei, che devono anche essere un luogo di riflessione storica e teorica sulla società stessa.
Innanzitutto è interessante notare come la nascita del computer sia intimamente legata al tema della sicurezza informatica. Sono infatti gli studi di Alan Turing e altri matematici inglesi per decodificare il codice Enigma usato dai sommergibili tedeschi nella Seconda Guerra Mondiale a portare alla costruzione del primo “calcolatore elettronico”, il Colossus a Bletchley Park. Il computer nasce quindi per “craccare” un codice e incrinare la segretezza delle comunicazioni di un ente senza che questo se ne renda conto, esattamente ciò che succede oggi attraverso la rete Internet.
Il computer Colossus a Bletchley Park (fonte: Wikipedia)
La cybersecurity è un tema socialmente relativamente ignorato rispetto alla sua fondamentale importanza. A mano a mano che la nostra società si digitalizza, essa diventa sempre più dipendente dal funzionamento efficace e affidabile della sua infrastruttura digitale; al punto che una componente chiave della guerra del futuro saranno gli attacchi alle reti digitali nemiche. Eppure già adesso ci troviamo in una guerra digitale permanente a bassa intensità, in cui stati e aziende vengono sottoposti a continui attacchi informatici, da parte di attori della minaccia riconducibili a entità statuali, tra cui risultano particolarmente attivi USA, Israele, Russia e Cina.
Questa situazione non risparmia i musei. I principali musei di Londra, ad esempio, hanno riportato di essere stati oggetto di 109 milioni di attacchi informatici nel corso del solo 2018, con i Kew Gardens attaccati 86 milioni di volte, l’Imperial War Museum 10 milioni, il Natural History Museum 875.000 e la Tate (Modern e Britain) quasi 500.000. (fonte: https://www.standard.co.uk/news/crime/millions-of-cyber-attacks-on-kew-gardens-and-museums-as-hackers-target-people-s-financial-data-a4092871.html )
Le minacce
Diventa quindi evidente come la società in generale e i musei in particolare debbano diventare più attenti alla sicurezza informatica. Riporteremo quindi le tre principali forme di software esplicitamente progettato per compiere attività ostili di vario genere, da non confondersi con i software legittimi ma malfunzionanti per errori vari compiuti in buona fede da chi stava producendo il software.
Malware: ampia categoria di codice malevolo (include virus, worm, trojan, spyware, ecc…) che sfrutta vulnerabilità dei sistemi colpiti o distrazioni dell’utente per compiere molteplici attività ostili: ad esempio, dalla sottrazione di informazioni personali, all’esfiltrazione di documenti, fino addirittura alla distruzione del sistema informatico. Un malware può entrare in contatto con un sistema target attraverso la rete internet (indistintamente siti web o posta elettronica) e spesso anche mediante un vettore fisico (ad es. chiavette USB).
Ransomware: invenzione degli ultimi anni, i ransomware cifrano tutti i contenuti del computer infettato, rendendoli illeggibili all’utente che si trova costretto a pagare una forte somma in monete virtuali non rintracciabili come i bitcoin, per avere dal ricattatore la chiave per rendere i propri dati nuovamente leggibili (risultato che purtroppo non è sempre garantito, neanche a fronte del pagamento).
Bot: i bot sono software che rendono i computer “schiavi” , pronti ad eseguire i comandi impartiti da un unico amministratore. Queste reti di computer, anche detti “zombie”, ad esempio possono collegarsi tutti insieme ad un determinato sito, “bombardandolo” di continue richieste di dati fino a metterlo fuori uso per ore o addirittura giorni (sono i cosiddetti attacchi DDOS, Distributed Denial of Service), oppure fornire informazioni personali come ad es. codici seriali dei programmi o sistemi operativi.
Come difendersi
Come difendersi da queste minacce? le regole di base sono:
Non credere che non ci riguardi. Se è vero che il bersaglio più ambito degli attacchi informatici possono essere le banche o gli Stati, è anche vero che gli attacchi vengono portati avanti da software che attaccano tutti i possibili computer migliaia di volte, fino a riuscire a trovare una vulnerabilità. Queste minacce sono predisposte da attori ostili che talvolta non ce l’hanno specificamente con noi, ma sono finalizzate a ottenere informazioni d’interesse, che potremmo avere noi anche inconsapevolmente, come un codice di licenza, allo stesso modo in cui un virus biologico non cerca un singolo individuo ma potenzialmente infetta chiunque gli capiti a tiro.
Aggiornare costantemente i propri software e sistemi operativi. Oggi è più semplice grazie alla connessione costante alla rete, che se da un lato consente ai virus di propagarsi più in fretta, dall’altro permette anche alle contromisure di farlo. I produttori di software, infatti, non appena scoprono una falla di sicurezza, pubblicano subito una “patch” (toppa) che proprio come una toppa va a coprire il “buco” di sicurezza per impedire che possa essere scoperto e utilizzato per fare danni.
Non cliccare su nessuna mail, link o allegato sospetto. Purtroppo le mail che fingono di essere inviate da nostri contatti, da banche o da altre istituzioni stanno diventando sempre migliori, e se un tempo erano caratterizzate da cattive traduzioni in italiano e si dimostravano palesemente contraffatte, oggi possono essere indistinguibili dagli originali.
Usare password complesse e diverse tra loro. Le password sono le nostre “chiavi di casa” digitali. Usare password semplici, come parole o nomi propri, ci espone al rischio che vengano indovinate da software automatici in grado di testare molte combinazioni diverse. Inoltre è imprudente usare la stessa password su molti siti diversi, perché basta che uno solo di questi siti venga compromesso perché la password venga pubblicata in rete e possa essere usata come indizio per attaccare anche altri siti della nostra “galassia digitale”. Altro comportamento scorretto è “salvare la password” nei browser. Un malware potrebbe, come spesso accade, accedere a quelle informazioni grazie a vulnerabilità ancora non “patchate” (riparate dal produttore del software tramite aggiornamenti scaricabili online).
Non scaricare alcun software di provenienza sospetta. Un caso tipico possono essere i software copiati illegalmente o i programmi per vedere contenuti privati in streaming; essendo contigui ad un’area di illegalità, è più probabile che possano portare con sé effetti secondari non desiderati, e che sono più difficili da denunciare. Al riguardo, ricordarsi sempre che «se non paghi per un prodotto, il vero prodotto sei tu» (cit. “The Social Dilemma”), valido nel contesto dei metadati che si diffondono attraverso i social network, ma universalmente valido anche e soprattutto per chi ci mette “gratuitamente” a disposizione software che è stato acquisito, “craccato” e condiviso a ignoti: con ogni probabilità avremo il film o il programma che volevamo, ma conterrà qualche spiacevole sorpresa finalizzata a remunerare i “benefattori”.
Programmare una seria politica di back-up dei propri dati. Provate a pensare cosa succederebbe se perdeste all’improvviso tutti i dati presenti sul vostro computer e smartphone. Quanto grave sarebbe il danno? Se è ingente, allora non c’è altra soluzione che predisporre un sistema di backup dei vostri contenuti su supporti fisici o in Cloud.
Ricordarsi che un’istituzione è solida quanto il più debole dei suoi elementi. Basta un singolo membro dello staff che commette un’imprudenza per mettere a rischio potenzialmente l’intera struttura informatica di un’istituzione; un virus che prende il possesso di un account e-mail può inviare ad esempio una mail infetta a tutti i colleghi, attaccandoli. Per questo è necessaria una vera e propria “formazione alla sicurezza” da estendere a tutti i membri dello staff, e una politica della sicurezza con un’accurata selezione dei permessi di accesso in modo da stabilire con precisione “chi può fare cosa”.
Ricordarsi che la posta in gioco è alta. Una falla di sicurezza può avere conseguenze gravi, personali (la perdita o la diffusione di dati personali importanti), economiche (pagamento di riscatti, costo dell’intervento di esperti per ripristinare i dati, i danni reputazionali, i costi relativi ai servizi) e legali (le recenti leggi sulla privacy come il GDPR impongono responsabilità precise a chi gestisce i dati personali di terzi).
Al di là di queste raccomandazioni iniziali, l’invito è anche quello di provare ad appassionarsi al tema della sicurezza. E’ infatti un campo affascinante, in cui si fondono biologia, crittografia, psicologia, tecnologia e geopolitica. E’ il lato oscuro dell’animo umano, disincarnato e distillato in una lotta silenziosa e invisibile ma non per questo meno accanita, dalle conseguenze anche drammatiche, che ci riporta al pendolo eterno tra libertà e sicurezza. Per questo, al di là delle potenziali conseguenze drammatiche degli attacchi informatici, i musei dovrebbero essere più attenti a questo tema anche dal punto di vista culturale, che tra l’altro attira l’attenzione di diversi artisti contemporanei – vedi ad esempio il Cybersecurity Arts Contest https://cltc.berkeley.edu/artscontest/
