La legge australiana sulla sicurezza delle infrastrutture critiche (Security of Critical Infrastructure Act 2018), SOCI è la pietra miliare della strategia del governo per la gestione dei rischi alle infrastrutture critiche. I suoi obiettivi sono confermare che gli operatori di beni infrastrutturali essenziali adottino misure di sicurezza adeguate e fornire al governo le informazioni e i poteri per rispondere alle minacce.
Inizialmente rivolto a soli quattro settori (elettricità, gas, acqua e porti), il SOCI è stato successivamente ampliato fino a coprire 11 settori dell’economia. La legge mira a mantenere protetti e resistenti i beni e i servizi infrastrutturali critici di questi 11 settori contro le interruzioni della sicurezza, dell’economia e della società australiana.
A tal fine, la legge impone obblighi ai proprietari di beni critici, sotto forma di obblighi di sicurezza positivi (PSO), obblighi di sicurezza informatica rafforzata (ECSO) e misure di assistenza governativa.
Ad esempio, le entità responsabili devono registrare i dettagli degli asset e potrebbero essere tenute a segnalare gli incidenti informatici all’Australian Cyber Security Centre (ACSC) e a mantenere un programma formale di gestione del rischio noto come Critical Infrastructure Risk Management Program (CIRMP). I beni considerati sistemi di rilevanza nazionale potrebbero essere soggetti a requisiti ancora più severi, tra cui, ad esempio, l’obbligo di piani di risposta agli incidenti, esercitazioni informatiche e valutazioni delle vulnerabilità. Il SOCI codifica essenzialmente ciò che una volta era considerato una best practice del settore in una legge applicabile. Il SOCI codifica essenzialmente in una legge applicabile ciò che un tempo era considerato una best practice del settore.
Due campi di impatto: Settori tradizionali vs. nuovi entranti
I settori originariamente regolamentati vedono probabilmente la SOCI come un’estensione dei quadri esistenti. Per decenni, l’energia e i servizi di pubblica utilità hanno operato in base a rigorosi standard di affidabilità e sicurezza (come i codici NEM o le leggi sulla sicurezza idrica), quindi la formalizzazione di queste pratiche all’interno della SOCI può sembrare una continuazione della governance esistente.
Al contrario, le organizzazioni operanti nei settori aggiunti più di recente, quali le comunicazioni, l’archiviazione e l’elaborazione dei dati, la sanità, l’istruzione superiore e i trasporti, si trovano ad affrontare un nuovo panorama normativo. Questi settori spesso non hanno alle spalle una tradizione di regolamentazione delle infrastrutture, il che significa che la conformità SOCI richiede la creazione di numerosi processi partendo da zero. Ciò include la creazione di registri delle risorse, la redazione dei CIRMP, l’implementazione di controlli e la formazione dei team sulle procedure di segnalazione degli incidenti.
Ad esempio, una rete universitaria o ospedaliera può essere classificata come operatore di un’infrastruttura critica, il che richiede l’identificazione degli asset coperti, la valutazione delle dipendenze e l’implementazione di un CIRMP conforme.
Questo spesso implica la creazione di una governance formale della sicurezza dalle fondamenta – allineandosi a framework come l’ASD Essential Eight, l’ISO 27001 o il NIST Cybersecurity Framework – e la creazione di meccanismi per il rilevamento tempestivo degli incidenti, la risposta e la segnalazione all’ACSC.
Al contrario, gli operatori dei settori tradizionalmente regolamentati possono già disporre di programmi di rischio maturi e possono adattare i controlli esistenti per soddisfare i requisiti della SOCI. Indipendentemente dal settore, tutte le organizzazioni devono integrare la gestione del rischio informatico nei processi aziendali principali, senza trattarla come un’attività parallela o isolata.
OT e la sfida della convergenza IT
Una sfida significativa presentata dai SOCI è la messa in sicurezza degli ambienti di tecnologia operativa (OT): i sistemi di controllo industriale che sono alla base di molte risorse critiche. L’OT comporta una serie di rischi propri.
Molti dispositivi non sono mai stati progettati pensando alla sicurezza informatica. Spesso eseguono sistemi operativi o firmware obsoleti che non possono essere facilmente patchati e utilizzano protocolli proprietari o legacy, come Modbus, DNP3 o Profibus, che mancano di autenticazione e crittografia di base.
Contemporaneamente, la convergenza delle reti IT e OT ha ampliato la superficie di attacco. Gli ambienti precedentemente isolati sono ora sempre più connessi ai sistemi IT aziendali e a Internet per consentire il monitoraggio remoto, l’analisi e l’automazione. Ciò crea nuovi percorsi per gli aggressori per spostarsi lateralmente tra gli ambienti e introduce il rischio di interruzione delle operazioni a causa di attacchi informatici.
Gli operatori industriali devono trovare un equilibrio tra disponibilità dei sistemi e protezione informatica. La messa offline dei sistemi per gli aggiornamenti o la segmentazione può interferire con le operazioni, ma lasciarli esposti aumenta il rischio.
SOCI incoraggia le organizzazioni ad adottare strategie specifiche per l’OT. Queste possono includere una rigorosa segmentazione della rete, l’accesso con il minor numero di privilegi, il monitoraggio fuori banda e progetti a prova di guasto per proteggere questi ambienti.
Fornitori di servizi di dati e obblighi di notifica
Uno degli aspetti meno discussi ma di fondamentale importanza del SOCI è l’obbligo di informare i fornitori di servizi di dati. Se una terza parte archivia o tratta dati critici per l’attività relativi al vostro asset regolamentato, siete tenuti a comunicarle che si applica il SOCI. Ciò garantisce che i vostri fornitori di servizi comprendano il proprio ruolo nella protezione dei dati critici e siano pronti a supportarvi in caso di incidente o di audit.
Inoltre, la notifica degli incidenti è un requisito centrale del SOCI. Un incidente di sicurezza informatica che abbia un impatto significativo o rilevante sui vostri servizi essenziali deve essere segnalato all’ACSC entro termini rigorosi. Se l’impatto è significativo, la notifica deve avvenire entro 12 ore. Per gli incidenti rilevanti ma di minore gravità, la notifica deve avvenire entro 72 ore.
Non si tratta di un’attività volontaria o di massimo sforzo. È un obbligo legale. La segnalazione tempestiva offre all’ACSC visibilità sulle minacce ai sistemi nazionali, consentendogli di coordinare risposte tempestive ed efficaci. Inoltre, rafforza il principio che la protezione delle infrastrutture critiche è una responsabilità condivisa tra industria e governo.
Oltre la prevenzione: Il vero significato di resilienza
Molte organizzazioni continuano a interpretare la resilienza come la capacità di bloccare o prevenire le minacce. Ma la vera resilienza va oltre la prevenzione. È la capacità di assorbire gli shock, riprendersi rapidamente e continuare a operare, anche in condizioni avverse. SOCI spinge le organizzazioni ad adottare questa definizione più ampia.
Resilienza significa disporre di piani di ripristino testati, backup offline affidabili, sistemi ridondanti e un manuale per il ripristino del servizio durante o dopo un incidente. Significa anche migliorare continuamente, imparare da ogni evento, adattare le difese e colmare le lacune prima del prossimo attacco.
Ciò è particolarmente importante alla luce delle recenti tendenze. I rapporti dell’Australian Signals Directorate (ASD) e di altri enti governativi mostrano che gli incidenti informatici che colpiscono settori come l’acqua, l’energia e i trasporti sono in aumento.
Anche eventi relativamente minori possono causare effetti a catena in sistemi interdipendenti, con ripercussioni sulle catene di approvvigionamento, sulla sicurezza pubblica e sui servizi essenziali. Queste tendenze evidenziano l’urgenza di un approccio incentrato sulla ripresa.
I CISO devono assumere un ruolo di primo piano nel garantire che la resilienza informatica non sia solo una voce da spuntare su un elenco. Ciò significa considerare la resilienza come una capacità dinamica e end-to-end che coinvolge persone, processi e tecnologia, tutti operanti in modo coordinato.
Un cambiamento normativo con un vantaggio strategico
SOCI ha rappresentato un cambiamento significativo nell’approccio australiano alla regolamentazione informatica. Supera gli approcci volontari e frammentati e crea un quadro nazionale coeso per la protezione delle infrastrutture critiche. Se da un lato ha certamente introdotto nuove complessità, oneri di reporting e costi di conformità, dall’altro offre alle organizzazioni l’opportunità di elevare la propria maturità in materia di sicurezza e di incorporare la resilienza al centro delle proprie attività.
Anziché considerare il SOCI come un semplice obbligo di conformità, i CISO lungimiranti possono vederlo come un catalizzatore strategico. Esso garantisce il sostegno del consiglio di amministrazione agli investimenti, formalizza le pratiche di gestione del rischio e migliora l’allineamento tra attività aziendale e sicurezza. L’inclusione di misure di assistenza governativa e di meccanismi di condivisione delle informazioni sulle minacce rafforza ulteriormente il ruolo del SOCI come strumento di collaborazione, non solo come obbligo.
Man mano che le minacce si evolvono e le infrastrutture digitali diventano sempre più parte integrante della vita nazionale, la resilienza deve essere la priorità. SOCI prepara il terreno. Ora sta a noi agire.
Per saperne di più sui vostri obblighi, consultate la Guida al SOCI Act.
