Telecomunicazioni e energia. Il matrimonio s'ha da fare. Anzi si sta rapidamente facendo. Il contatore elettronico che già parla con la centrale? Un semplice assaggio. Il termostato di casa comandato a distanza dal telefonino? Niente a confronto di quello che sta accadendo nelle grandi reti di generazione e distribuzione. Ma siamo proprio sicuri che tutto, nel nuovo pianeta dell'energia interconnessa, funzionerà a dovere? Non tanto. Fatto sta che tra gli esperti ci si interroga e si cerca di correre ai ripari. Per salvarci, si spera per tempo, da quell'inquietante mix di intrusioni, manipolazioni e possibili frodi a cui è esposto ogni sistema capace di scambiare bit a distanza con qualcuno o con qualcosa.
Problemi di privacy e di connessioni a singhiozzo, come ben stiamo sperimentando nelle reti e nei servizi di tlc. Ma ecco il nuovo inquietante orizzonte: gli attacchi alle reti dell'elettricità, del gas, e perfino dell'acqua. Le prove generali? Più di una, in giro per il mondo. Ecco l'attacco hacker alle reti elettriche ucraine proprio nei momenti di maggior tensione con la Russia. Ecco lo stillicidio di black out perfino nei controllatissimi Stati Uniti d'America, in forte odore di episodi di questo tipo. Destinati a combinarsi con le crescenti inquietudini sull'effetto boomerang creato dalla pervasività telematica in tanti altri settori del vivere comune: dall'ormai banale clonatura via web delle carte di credito alle intrusioni a distanza negli antifurti delle automobili o addirittura nei loro dispositivi di sicurezza alla guida. Ecco a voi l'effetto boomerang dell' ”Internet delle cose” combinato con le reti energetiche. Tecnologie contro tecnologie. C'è da tremare.
Il monito degli esperti
Anche in Italia? Ci risponderanno gli esperti riuniti nelle prossime ore a Roma per la terza conferenza nazionale Cyber Security Energia, promossa da Energiamedia, Wec Italia e Utilitalia. Ma in realtà le risposte già ci sono nei documenti predisposti per la conferenza, che siamo in grado di anticipare. Saltando direttamente alle conclusioni: sì, siamo esposti. Il rischio cresce. Ci stiamo attrezzando insieme all'Europa perché un'efficace terapia non può essere che comune vista la crescente apertura delle reti degli scambi energetici. E proprio gli esperti europei hanno già elaborato insieme a quelli nazionali una sorta di decalogo operativo delle misure urgenti da mettere in atto.
Spiega Diego Gavagnin, coordinatore scientifico della conferenza nazionale, che “i problemi principali sono di due ordini. Il primo è culturale, perché si pensa che far sapere che ci si attrezza per la cyber security automaticamente mandi un segnale di debolezza, invece gli attacchi cyber devono essere considerati ormai come fisiologici, non patologici; il risultato di questo atteggiamento è che nessuno racconta quello che sta facendo e così non si sa come e se le imprese energetiche stanno provvedendo”. Il secondo problema riguarda la necessità, ma anche la difficoltà, di attivare “un efficace coordinamento per fronteggiare il problema: va tenuto presente che nei gangli più importanti delle reti energetiche abbiamo circa 150 distributori di elettricità e 240 distributori di gas. Ormai anche tutte le reti fisiche sono manovrate elettronicamente, incluse le valvole dei gasdotti come quelle degli acquedotti. È chiaro che tutti questi soggetti collegati tra loro dalle reti principali cui tutti afferiscono devono avere sistemi che siano compatibili e si parlino tra loro. Ma non siamo affatto sicuri che si stia facendo”. Nessuna esagerazione, ma semplice consapevolezza di quel che può effettivamente accadere, complice l'estensione progressiva delle reti alla miriade di micro impianti di generazione diffusa che si stanno sviluppando con la caduta dei monopoli e delle tecnologie rinnovabili. “Un attacco può farsi strada persino in un qualsiasi impianto fotovoltaico degli oltre 700mila già presenti nel nostro paese, per arrivare sino ad una centrale idroelettrica delle Alpi” insiste Gavagnin.
La mappa del rischio
La mappa del rischio ha già una sua assai inquietante estensione. Nei documenti preparatori della conferenza si fa la rassegna della sequenza già assai nutrita di intrusioni in giro per il mondo. Tanto da mobilitare cospicue energie e denari. “Nel 2018 l'industria del petrolio del gas potrebbero spendere quasi 2 miliardi di dollari l'anno per fronteggiare gli attacchi informatici” anche perché l'80% di loro “ha visto crescere almeno del 20% nel 2015 gli attacchi conclusi con successo”. Attacchi praticati con tecniche sempre più sofisticate, usando anche le più recondite ”backdoors” dei terminali periferici, e con algoritmi talmente dissimulati che secondo una stima attribuita agli esperti governativi britannici consentono al virus informatico o all'algoritmo non malevolo di nascondersi per sei mesi e oltre prima di essere scoperto. Nascono e prosperano così nuove professionalità della sicurezza “che le imprese saranno disposte a pagare sempre più profumatamente” si legge nei documenti della conferenza. Anche perché dalla “cyber-reputazione” anti hacker dipendono dal gennaio scorso persino i rating assegnati ad esempio da Moody's sia alle imprese che i singoli Stati. A testimonianza che il problema è considerato impellente e crescente nel mondo, in Europa e qui da noi. Anzi, con concreti segnali di accelerazione del rischio proprio in Italia.
Noi e gli altri
Afferma Matteo Codazzi, amministratore delegato del Cesi, l'organismo nazionale di studio e validazione delle tecnologie energetiche, che “lo studio promosso dal Cyber Security National Lab e il rapporto 2015 del Clusit (l'Associazione italiana per la sicurezza informatica ) registrano l'aumento di quasi 10 volte rispetto al 2014 dei tentativi di infiltrazione nelle infrastrutture energetiche della penisola, ponendo l'Italia ai primi posti per la diffusione dei cosiddetti malware”. “A fronte di questa situazione – puntualizza Codazzi - sono state prese iniziative importanti. In collaborazione col Ministero dello Sviluppo Economico, le utility, e altre aziende del settore energetico, hanno iniziato a collaborare attivamente con il Cyber Emergency Response Team italiano e con gli organismi del Centro nazionale anticrimine informatico per la protezione delle infrastrutture critiche (Cnaipic), che opera nell'ambito del Servizio di polizia postale e delle comunicazioni. Da un punto di vista strategico-normativo, inoltre, nel 2015 l'Italia si è dotata del primo Framework Nazionale per la Cyber Security, definito sulla base dell'esperienza del National Institute of Standards and Technology (Nist) degli Stati Uniti”.
Internet boomerang
A rendere impellente la terapia è la diffusione, o meglio il vero decollo, dell'Intenet delle cose. Anche nei dispositivi che hanno a che fare con l'energia, o comunque con i punti di accesso in qualche modo collegati con loro. “Entro il 2020 – nota Codazzi - ben 25 miliardi di oggetti intelligenti saranno contemporaneamente connessi a Internet e alla rete elettrica. Entro 10 o 15 anni, possiamo aspettarci che ogni dispositivo che tocca la rete elettrica - dalle centrali elettriche ai sistemi solari sui tetti, dalle batterie alle luci stradali, dal frigorifero ai termometri intelligenti di casa o perfino i punti di ricarica per veicoli elettrici - avrà un indirizzo internet. La vera sfida del futuro per la cyber security elettrica sta proprio qui: nel rapido, esponenziale e vertiginoso aumento dei punti di accesso potenzialmente vulnerabili, costituiti da oggetti o sistemi realizzati e gestiti da soggetti differenti, sottoposti a differenti legislazioni e a differenti normative tecniche e talvolta in competizione tra loro. Urge uno sforzo sovranazionale per un'ulteriore rafforzamento dell'armonizzazione degli standard di sicurezza, ed interoperabilità, dell'Iot.
La ricetta della Ue
E proprio sul coordinamento degli strumenti, delle strategie e degli standard si sviluppa una prima griglia di raccomandazioni varata dall'Unione europea attraverso l'Enisa (European Union Agency for Network and Information Security). Innanzitutto dovrà essere direttamente la commissione europea a promuovere l'allineamento delle strategie di interoperabilità delle reti intelligenti (smart grids) del continente. I costruttori e commercianti dovranno garantire comunque una standardizzazione dei protocolli di comunicazione e della compatibilità tra i diversi dispositivi, al contrario di quanto accade ora. Questo per consentire un più efficace monitoraggio da parte da organismi indipendenti sulla sicurezza dei sistemi e sul pronto rimedio delle lacune di sicurezza che si dovessero accertare. Gli operatori di rete e le autorità nazionali di regolazione dovranno intanto sviluppare un set minimo di requisiti di sicurezza da proporre agli organismi sovranazionali per la standardizzazione delle smart grids. E comunque dovranno garantire un tempestivo scambio di informazioni su ogni attacco praticato alle reti o alle loro terminazioni, a prescindere dal successo ottenuto e dai danni effettivamente causati. Il tempo stringe.
© Riproduzione riservata