L’Agenzia dell’Unione europea per la sicurezza informatica (ENISA) ha pubblicato il report Telecom Security Incidents 2021 che fornisce informazioni aggregate e anonime sui principali incidenti di sicurezza delle telecomunicazioni nell’anno in esame.
Il rapporto annuale mostra un totale del 90% delle ore utente perse nel 2021 a causa di errori umani, con il totale delle ore utente perse che ha raggiunto 5106 milioni di ore utente, più di quattro volte superiore al 2020. Ciò è stato identificato come il risultato di un grave incidente transfrontaliero nell’UE segnalato separatamente da tre diversi Stati membri.
Segnalati anche incidenti Over – The – Top (OTT) che richiedono ulteriore attenzione da parte delle autorità decisionali.
Il rapporto annuale 2021 sugli incidenti di sicurezza dei servizi fiduciari mostra che gli incidenti notificati sono in costante aumento e che gli incidenti per lo più segnalati sono quelli relativi a certificati qualificati. Gli incidenti con un impatto minore o grande continuano ad aumentare, fenomeno che segue le tendenze degli ultimi cinque anni. Il 47% degli incidenti è causato da guasti del sistema, rimanendo quindi una causa principale dominante degli incidenti. Nel 2021 sono aumentati del 20% anche gli incidenti causati da azioni dannose.
L’analisi è resa possibile grazie alle informazioni che l’ENISA riceve dalle autorità nazionali di regolamentazione (ANR) di ciascun Stato membro dell’UE.
Il riepilogo annuale 2021 contiene rapporti di 168 incidenti presentati dalle autorità nazionali di 26 Stati membri dell’UE (SM) e 2 paesi EFTA.
I rapporti dell’ENISA aggregano e anonimizzano i dati ricevuti e permettono di effettuare un’analisi completa. Sulla base di soglie a livello dell’UE, questa analisi tiene ancora conto delle possibili variabili quando gli Stati membri scielgono un approccio diverso. Le soglie stabiliscono il modo in cui gli incidenti vengono selezionati e classificati e determinano la coerenza dell’analisi.
Juhan Lepassaar, direttore esecutivo dell’Agenzia dell’UE per la sicurezza informatica (ENISA), ha dichiarato: “La segnalazione di incidenti ci aiuta a comprendere e analizzare lo stato della sicurezza informatica. Se vogliamo rispondere adeguatamente alle nostre attuali sfide alla sicurezza informatica, dobbiamo concordare un approccio comune per segnalazione degli incidenti a beneficio di tutti noi. La direttiva NIS2 fornisce una spinta tanto necessaria per migliorare questo aspetto. L’ENISA continuerà a sostenere l’UE, gli Stati membri e la comunità di cybersecurity per affrontare questa sfida.”
Segnalazione degli incidenti: perché è importante?
La segnalazione degli incidenti è un processo attraverso il quale i principali incidenti di cybersecurity vengono segnalati su base annuale e quindi ulteriormente analizzati. Con esso, è possibile identificare aspetti specifici di un incidente come il contesto, il tipo di incidente, la ricorrenza, l’impatto, il livello di gravità, le cause profonde e le risorse interessate, ecc.
Le conoscenze raccolte consentono quindi di tracciare una mappa delle tendenze attuali, delle debolezze, dei modelli, ecc.
Lo scopo ultimo della segnalazione degli incidenti è facilitare un processo decisionale più informato ed efficiente sulle misure e le azioni necessarie da intraprendere per prevenire o affrontare meglio questi incidenti.
Sviluppi politici: in che modo la legislazione migliorerà la segnalazione degli incidenti nell’UE?
La prossima direttiva NIS2 consoliderà la segnalazione degli incidenti nell’ambito del Codice europeo delle comunicazioni elettroniche (EECC), del NIS e del regolamento eIDAS. L’ENISA si impegnerà pertanto con le autorità nazionali e le autorità di regolamentazione su come attuare la segnalazione consolidata degli incidenti ai sensi della direttiva NIS2.
Ai sensi dell’articolo 40 dell’EECC, anche le disposizioni sulla segnalazione degli incidenti sono cambiate con la segnalazione obbligatoria degli incidenti che ora si applica anche ai servizi di comunicazione interpersonale indipendenti (servizi di comunicazione OTT).
L’attuale regolamento eIDAS e le sue disposizioni per la segnalazione degli incidenti sono in vigore da cinque anni. La Commissione europea sta ora lavorando a una nuova proposta di regolamento eIDAS in base alla quale la maggior parte degli obblighi di segnalazione ai sensi dell’ART 19 di eIDAS sarà trasferita alla direttiva NIS2.
Informazioni di base
Nel settore delle comunicazioni elettroniche, i fornitori nell’UE devono notificare gli incidenti di sicurezza delle telecomunicazioni che hanno un impatto significativo alle rispettive autorità nazionali per la sicurezza delle telecomunicazioni. All’inizio di ogni anno solare, le autorità inviano relazioni di sintesi su questi incidenti all’Agenzia dell’UE per la Cybersecurity.
Istituito nel 2010, il gruppo di esperti delle autorità europee competenti per le comunicazioni elettroniche sicure (ECASEC), o ex gruppo dell’articolo 13 bis, è costituito da circa 100 esperti delle autorità nazionali di sicurezza delle telecomunicazioni degli Stati membri dell’UE, dell’Associazione europea di libero scambio (EFTA) e dello Spazio economico europeo (EEA), nonché i paesi candidati all’adesione all’UE.
I servizi fiduciari elettronici includono una gamma di servizi elettronici relativi a firme digitali, certificati digitali, sigilli elettronici, timestamp, ecc. utilizzati per proteggere le transazioni elettroniche online.
Il regolamento eIDAS è il quadro giuridico a livello dell’UE inteso a garantire l’interoperabilità e la sicurezza dei servizi fiduciari elettronici in tutta l’UE. Uno degli obiettivi dell’eIDAS è garantire che le transazioni elettroniche possano avere la stessa validità legale delle tradizionali transazioni cartacee, per creare un quadro in cui una firma digitale abbia lo stesso valore di una firma autografa.
La sicurezza è un pilastro importante del quadro generale. L’articolo 19 del regolamento eIDAS impone ai fornitori di servizi fiduciari nell’UE di valutare i rischi, adottare misure di sicurezza adeguate e mitigare le violazioni della sicurezza.
Il report Telecom Security Incidents 2021 è disponibile al seguente link: https://www.enisa.europa.eu/publications/telecom-security-incidents-2021
