Rapporto esplicativo

1.2.2.1 Misura 1: Obbligo dei provider di filtrare i pacchetti IP il cui indirizzo IP sorgente è falsificato (spoofing)

I pacchetti IP inviati con indirizzi IP sorgente falsificati sono i fattori centrali degli attacchi alla disponibilità dei servizi web (attacchi DDoS). Questi attacchi sono ancora molto frequenti e generano grandi danni. Gli spe- cialisti della sicurezza di NetScout hanno identificato più di 10 milioni di attacchi DDoS a livello globale per l’anno 2020²¹. Stimare i costi di tali attacchi è molto difficile, poiché dipendono fortemente dall’importanza dei relativi servizi web per le attività commerciali di un’azienda. Tuttavia, è chiaro che gli attacchi alla disponibi- lità possono avere un impatto finanziario significativo sulle vittime. Se colpiscono la disponibilità delle infra- strutture critiche, le potenziali conseguenze vanno ben oltre il possibile danno finanziario. Si pensi ad esem- pio, agli ospedali o alle aziende di approvvigionamento energetico: se la loro disponibilità è compromessa da attacchi informatici, non si possono escludere minacce alla vita e all’incolumità fisica.

Le possibilità tecniche di filtrare gli indirizzi IP sorgente falsificati, le quali rendono gli attacchi DDoS molto più difficili²², sono note da anni ma non vengono applicate in modo abbastanza sistematico²³. Questo può essere dovuto alla mancanza di incentivi economici²⁴. I fornitori sostengono dei costi quando installano il fil- traggio, ma l’effetto protettivo non può essere internalizzato (poiché gli attacchi DDoS sono generalmente più difficili da realizzare)²⁵. Ci troviamo quindi di fronte a un classico problema legato all’utilizzo di «risorse co- muni, anche se questo è mitigato dal fatto che i costi di implementazione dei filtri tendono a diminuire²⁶. L’in- troduzione di un obbligo generale di filtraggio può ridurre il problema poiché tutti i fornitori devono contribuire a rendere più difficili gli attacchi DDoS.

1.2.2.2 Misura 2: Obbligo dei fornitori di garantire che il livello di sicurezza dei dispositivi messi a disposizione dei clienti sia conforme allo stato attuale della tecnologia.

A causa della loro ampia diffusione, i dispositivi finali (CPE o «Customer Premises Equipment») forniti dai provider ai loro clienti giocano un ruolo importante nella sicurezza informatica. Se questi CPE presentano vulnerabilità su tutta la linea, ciò consente agli aggressori di accedere a migliaia di dispositivi e sfruttarne la potenza di calcolo, ad esempio per commettere attacchi DDoS²⁷. Un esempio classico di questo problema sono i router forniti con password preimpostate. Una configurazione sicura dei CPE diventa ancora più im- portante con la rapida diffusione dei dispositivi dell’Internet delle cose²⁸. Se i CPE non sono configurati in modo sicuro, diventano molto facili da manipolare per gli aggressori che sfruttano la potenza di calcolo di questi dispositivi per i loro attacchi.²⁹

Occorre un obbligo legale per i fornitori di configurare in modo sicuro i CPE perché anche in questo caso i costi generati dalla mancanza di sicurezza non si ripercuotono su chi distribuisce i dispositivi non sicuri, ma sui clienti in generale. I fornitori aspirano ad avere i costi più bassi possibili all’acquisto e alla consegna dei dispositivi. Tuttavia, le norme di sicurezza possono aumentare i prezzi. Affinché i fornitori attenti alla sicu- rezza non siano penalizzati dal mercato, occorrono requisiti minimi per tutti i fornitori. Una regolamentazione è anche in linea con l’intenzione espressa dal Consiglio federale nel suo rapporto in risposta al Postulato 17.4295 Glättli, di sostenere standard di sicurezza per i dispositivi connessi a Internet, che costituiscono una delle maggiori minacce per la cyber-sicurezza.³⁰