L’evoluzione continua dell’ecosistema digitale ha aperto nuove e ampie prospettive per soggetti pubblici e privati, facilitando la gestione da remoto dei processi organizzativi e rendendo più rapide ed efficienti le interazioni su scala globale. Questo sviluppo ha reso evidente, nel tempo, la necessità di disporre di reti di telecomunicazione sempre più avanzate e performanti, che siano altresì robuste e resilienti nel caso in cui si palesino incidenti di sicurezza di vario genere.
In questo scenario si colloca la Direttiva (UE) 2018/1972, che istituisce il Codice europeo delle comunicazioni elettroniche (EECC), la quale è stata recepita nel contesto nazionale con il D.lgs. 8 novembre 2021, n. 207, che ha apportato modifiche al D.lgs. 1 agosto 2003, n. 259, ovvero il Codice delle comunicazioni elettroniche.
L’articolo 40 EECC impone ai fornitori di servizi di comunicazione elettronica all’interno dell’UE l’obbligo di segnalare, in prima istanza, alle rispettive autorità nazionali di regolamentazione eventuali incidenti di sicurezza che abbiano un impatto significativo sulla continuità del servizio. Successivamente, le autorità nazionali trasmettono all’ENISA una sintesi degli eventi più rilevanti, selezionati sulla base di soglie comuni definite a livello europeo. Le informazioni raccolte vengono poi aggregate e anonimizzate, per essere analizzate e presentate in un rapporto annuale pubblicato dalla stessa ENISA.
LA SEGNALAZIONE DEGLI INCIDENTI DI SICUREZZA
Ebbene, l’ultima edizione pubblicata nel mese di luglio (Telecom Security Incidents 2024) prende come riferimento il 2024, anno in cui gli incidenti di sicurezza significativi si sono attestati su numeri leggermente più alti (188) rispetto al recente passato (156 nel 2023 e 155 nel 2022).
Altro dato interessante è quello relativo alla severity su base annua, in quanto dal 2021 sta costantemente aumentando la quota di incidenti con impatto molto ampio (ossia i più gravi), che nel 2024 hanno toccato quota 92 contro i 77 dell’anno precedente. Diversamente, gli incidenti con impatto ampio hanno raggiunto il picco nel 2021 (62), decrescendo fino ai 52 registrati durante l’ultima rilevazione, mentre quelli con impatto ridotto (i meno gravi) sono tornati a salire sui livelli del 2021.
SERVIZI IMPATTATI E CAUSE DEGLI INCIDENTI DI SICUREZZA
La maggior parte degli incidenti di sicurezza significativi segnalati nel 2024 ha riguardato i servizi di telefonia mobile (68%), seguiti da internet mobile (50%), internet fisso (26%) e OTT (23%). Viceversa, chiudono questa classifica i servizi connessi alla telefonia fissa (22%), al broadcasting (6%) e, in ultimo, alle interazioni M2M (Machine to Machine) (2%). Inoltre, è opportuno evidenziare come la maggior parte degli incidenti segnalati ha impattato su più di un servizio, quindi la somma delle percentuali supera il 100%.
Note: La maggior parte degli incidenti segnalati ha impattato su più di un servizio, quindi la somma delle percentuali supera il 100%
Quanto al tipo di causa, il report dell’ENISA opera una distinzione in quattro categorie: system failure, human error, malicious actions e natural phenomena. Ebbene, nel 2024 il numero di incidenti di sicurezza legati al system failure ha raggiunto il 60%, registrando un lieve decremento rispetto al 2023 (-1%). Al secondo posto, con un sostanziale distacco rispetto ai primi, si collocano gli incidenti riconducibili a un errore umano (20%), similmente a quanto osservato nella precedente rilevazione. Seguono, i fenomeni naturali (12%; +5% su base annua) e le azioni malevole (8%; -2%).
Nel 2024, 65 degli 188 incidenti segnalati sono stati attribuiti a malfunzionamenti causati da terze parti, rappresentando il 37% del totale, rispetto ai 38 incidenti segnalati nel 2023, che costituivano il 24% del totale. La maggior parte delle segnalazioni, pari al 65% di questa sottocategoria, ha avuto origine da guasti di sistema, seguiti da errori umani (29%), azioni malevole e fenomeni naturali (entrambi al 3%). Simili risultati, se confrontati col totale degli incidenti di sicurezza, indicano chiaramente che le terze parti incorrono maggiormente in guasti di sistema (+5% rispetto al totale considerato) e soprattutto in eventi associabili all’errore umano (+9%), palesando pertanto un tema da attenzionare.
LE ORE PERSE DAGLI UTENTI
Un aspetto particolarmente interessante evidenziato nel report riguarda la stima del potenziale utilizzo della rete perso dagli utenti online, misurato in milioni di ore e indicato da ENISA con il termine user hours. Questa unità di misura viene calcolata moltiplicando il numero di utenti coinvolti per la durata, in ore, dell’incidente segnalato. Ad esempio, se una stazione radio base serve in media 1.000 utenti all’ora e un incidente di sicurezza ne impedisce il funzionamento per un’ora, l’impatto sarà quantificato in 1.000 user hours.
Ciò premesso, nel 2024 primeggia l’utilizzo potenziale perso riconducibile a natural phenomena (605 milioni di ore), seguito da system failures (548 milioni), human errors (402 milioni), e, infine, da malicious actions (184 milioni). Tuttavia, è opportuno evidenziare che nel caso degli incidenti riconducibili a guasti di sistema e azioni malevole si tratta di un importante decremento su base annua (rispettivamente dell’84% e 14%), che risulta particolarmente marcato per i primi (nel 2023 si trattava di 3,4 miliardi di ore potenzialmente perse). Negli altri due casi, invece, si registra un incremento rilevante. Quest’ultimo equivale addirittura al 122% nel caso degli incidenti di sicurezza derivanti da un errore umano e addirittura al 740% quando la causa è rintracciabile in un fenomeno naturale.
CONCLUSIONI
Lo scenario descritto nel report dell’ENISA mostra come i servizi più colpiti da incidenti di sicurezza siano ancora una volta quelli legati alla telefonia (68%) e alla connettività mobile (50%). Gli altri servizi, invece, continuano a registrare impatti più contenuti, fatta eccezione per la connettività fissa, la cui incidenza è aumentata in modo significativo negli ultimi tre anni, passando dal 12% al 26%.
Allo stesso tempo, se da un lato va segnalato un aumento degli incidenti con impatto molto elevato anche nell’ultimo anno, dall’altro è interessante notare come questo incremento non sia stato accompagnato da un corrispondente aumento delle ore perse dagli utenti, che al contrario sono diminuite di oltre il 55% su base annua. Questo suggerisce che le infrastrutture e i processi dei fornitori di servizi di comunicazione elettronica, incluse le telco, stanno diventando progressivamente più resilienti.
In parallelo, occorre considerare l’evoluzione del quadro normativo: oltre al Codice europeo delle comunicazioni elettroniche (EECC) e alla sua implementazione a livello nazionale, gli obblighi di segnalazione degli incidenti di sicurezza dovranno presto integrarsi con quanto previsto dalla Direttiva NIS2. A differenza della precedente direttiva NIS, infatti, la NIS2 si applica anche ai fornitori di servizi di comunicazione elettronica. Dal 18 ottobre scorso, la NIS2 ha formalmente sostituito le disposizioni dell’EECC in materia di segnalazione degli incidenti, per cui ora diventa cruciale approdare a un sistema armonizzato di segnalazione, il cui obiettivo ultimo sia semplificare gli obblighi di compliance per tutti gli attori coinvolti.
