VIA DEGLI OLMETTI, N 18
00060 FORMELLO (RM)
+39 06 9040661
INFO@GESCA.IT

Hardware Hacking: la Cina avrebbe spiato le grandi aziende americane con un microchip

Hardware Hacking: la Cina avrebbe spiato le grandi aziende americane con un microchip
by

Bloomberg ha rivelato in un’inchiesta che la Cina avrebbe installato microchip nelle schede madri dei server Supermicro, venduti a grandi aziende come Apple e Amazon. La vicenda, diventata subito un caso internazionale, fa però emergere la necessità di rafforzare i controlli sulla supply chain e di creare una filiera certificata e facilmente tracciabile.

Negli ultimi giorni si è parlato molto di quanto emerso da un’inchiesta di Bloomberg.

In realtà, i fatti sarebbero accaduti 3 anni fa, nel 2015, ma emergono solo oggi ed hanno già innescato forti tensioni fra Cina e States.
La Cina avrebbe installato, in fase di produzione, dei microchip nelle schede madri di server poi venduti in America a grandi aziende, come Amazon ed Apple (che per parte loro hanno smentito i fatti), di cui avrebbe potuto spiare tutte le attività.

Il punto è che i server “compromessi” venduti da Supermicro potrebbero trovarsi installati anche in infrastrutture critiche nazionali, come Difesa e Servizi Segreti. A quanto riferisce Bloomberg, dunque, questo sarebbe uno dei peggiori attacchi di tutti i tempi.

Quanto accaduto pone l’accento sulla questione della sicurezza e tracciabilità della supply chain.  È chiara l’esigenza di certificare ogni singolo pezzo dell’hardware da impiegare, ad esempio, nelle strutture più sensibili e di tracciare tutti i soggetti che prendono parte alla produzione ed alla distribuzione.

In gioco stavolta non ci sono i dati personali degli utenti, ma segreti industriali e di Stato; Trump aveva già inserito nelle sanzioni commerciali contro la Cina l’acquisto di server e schede madri, per scardinare la catena di approvvigionamento che attualmente è tutta in Asia.

Il problema della sicurezza nazionale è di tutti. In Europa come si affronta la questione della network security?

Quali misure vengono adottate in Europa

Il Consiglio Europeo ha stabilito una serie di norme per proteggere le informazioni classificate UE. La classificazione prevede 4 livelli, a seconda della gravità delle conseguenze causate da una eventuale violazione.

  • TRÈS SECRET UE/EU TOP SECRET: la divulgazione non autorizzata di queste informazioni potrebbe arrecare danni di eccezionale gravità agli interessi fondamentali dell’UE o di uno o più Stati membri
  • SECRET UE/EU SECRET: la divulgazione non autorizzata di queste informazioni potrebbe ledere gravemente gli interessi fondamentali dell’UE o di uno o più Stati membri
  • CONFIDENTIEL UE/EU CONFIDENTIAL: la divulgazione non autorizzata di queste informazioni potrebbe ledere gli interessi fondamentali dell’UE o di uno o più Stati membri
  • RESTREINT UE/EU RESTRICTED: la divulgazione non autorizzata di queste informazioni potrebbe essere pregiudizievole per gli interessi dell’UE o di uno o più Stati membri

Se la protezione delle informazioni così classificate è fornita da prodotti e tecnologie, è necessario che questi vengano approvati e certificati.
Sul sito del Consiglio dell’Unione Europea sono pubblicati gli elenchi dei prodotti che hanno ottenuto la certificazione europea.

Le soluzioni di sicurezza Stormshield

Stormshield ha conseguito le certificazioni EU RESTRICTED, NATO RESTRICTED, EAL4+, ANSSI QUALIFICATION per garantire la protezione delle informazioni, anche nel cloud.

La diffusione del lavoro in mobilità (Smart Working) ha reso sempre più complesso conciliare le esigenze di sicurezza con quelle della flessibilità nell’uso di device e applicazioni.
Garantire fluidità durante il lavoro agli utenti e semplicità nel controllo agli amministratori di sistema sono diventati requisiti quasi obbligatori per le infrastrutture attuali.

La protezione delle informazioni nelle PMI italiane

Sebbene certi scenari possano sembrare molto distanti dalla realtà quotidiana delle piccole e medie imprese italiane, non bisogna sottovalutare, come purtroppo ancora accade, con conseguenze gravi per il business, che la questione della sicurezza informatica riguarda tutti e non solo le organizzazioni di certe dimensioni o che, per tipologia di attività, lavorano con informazioni sensibili.

Nella maggior parte dei casi, l’approccio ai problemi di sicurezza informatica è tattico: nel momento in cui si verifica una violazione, si procede alle attività di remediation e si mettono in campo le risorse per rafforzare le difese.
Neppure l’attuazione del GDPR ha finora determinato un deciso cambio di rotta in termini di sensibilità sul tema.

Occorrerebbe, invece, passare da una visione tattica ad una strategica, che contempli infrastrutture, fisiche o virtuali, che siano sicure by design, e soprattutto dotate di tecnologie che garantiscano di restare al passo con la difesa dalle nuove minacce.

Qui sotto trovi dei link di approfondimento, per conoscere meglio la nostra visione della sicurezza informatica e cosa facciamo ogni giorno per i nostri clienti.

Potrebbero interessarti anche:

Protezione globale delle informazioni

La Direttiva Europea sulla protezione dei dati

GDPR

Fonti:

https://www.bloomberg.com/news/features/2018-10-04/the-big-hack-how-china-used-a-tiny-chip-to-infiltrate-america-s-top-companies

https://formiche.net/blog/2018/10/chip-spia-cina-usa-inchiesta-bloomberg-amazon-apple/

https://www.stormshield.com/solutions/by-industry/defense-and-military-organizations/

https://www.consilium.europa.eu/it/general-secretariat/corporate-policies/classified-information/information-assurance/eu-restricted/file-encryptor/stormshield-data-security-v9-1-2/

https://www.consilium.europa.eu/it/general-secretariat/corporate-policies/classified-information/information-assurance/eu-restricted/

https://www.uniontel.it/stormshield-firewall-cloud/

https://www.consilium.europa.eu/it/general-secretariat/corporate-policies/classified-information/

https://www.consilium.europa.eu/it/general-secretariat/corporate-policies/classified-information/information-assurance/