Proteggere le risorse fisiche e digitali per la produzione, archiviazione e distribuzione, assicurare la continuità del servizio, salvaguardare contenuti preziosi da furti o abusi, sono alcune delle sfide che devono affrontare le emittenti e i produttori e distributori di contenuti multimediali.

Le telecomunicazioni, una parte essenziale delle infrastrutture sensibili

Il settore delle comunicazioni, che include le telecomunicazioni, fa parte delle infrastrutture sensibili. Le telecomunicazioni, ad esempio, forniscono servizi essenziali in periodi di emergenza nazionale o disastri naturali. Nel corso dei decenni, gli impianti di trasmissione sono stati spesso i primi obiettivi nei conflitti internazionali o nei tentativi di sovversione di un regime. Le minacce si sono evolute dalle azioni fisiche – bombardamenti o occupazione delle emittenti – alla disattivazione o alla paralisi degli impianti di trasmissione, che sempre più si affidano a strumenti e processi digitali.

L’Amministrazione Americana “identifica il Settore delle Comunicazioni come cruciale, in quanto fornisce una ‘funzione di accesso’ a tutti i settori delle infrastrutture sensibili.” Le telecomunicazioni sono elencate come uno dei cinque componenti del settore (insieme alle reti cablate, alle reti wireless, alle reti via cavo e alle reti satellitari). Questo concetto è stato adottato anche in un crescente numero di Paesi. Le emittenti sono sia autrici di contenuti multimediali e sia fornitori e distributori degli stessi.

Fusione di IT e OT

Il settore delle Telecomunicazioni (e dei creatori di contenuti multimediali) si affida principalmente all’IT, a Internet, alle reti interne e alle reti connesse al web per la produzione, l’archiviazione e la trasmissione dei contenuti.

Ne risulta che per proteggere dagli attacchi informatici la produzione, l’archiviazione e la trasmissione dei contenuti di servizi multimediali e di telecomunicazione ci si affida sia all’ IT sia all’Operational Technology (OT). Ciò richiede un approccio multisettoriale a più livelli, per il quale le Norme IEC, le Norme congiunte ISO/IEC, le Norme specifiche di settore e le raccomandazioni fornite da altre organizzazioni, offrono soluzioni.

Pubblicazioni specifiche di settore

Gli attacchi informatici alle aziende multimediali e di telecomunicazione possono assumere diverse forme, avere molteplici obiettivi ed essere promossi da molteplici attori, tra cui singoli individui o bande criminali. Ciò rende simili attacchi estremamente difficili da prevenire, identificare o attenuare in tempo reale, il che è fondamentale nel settore delle telecomunicazioni, dove la latenza può costituire un grave problema.

Le ragioni possono includere la neutralizzazione di una rete, l’estorsione o l’interruzione di servizi.

Alcuni esempi di attacchi a danno di emittenti includono:

• nell’aprile 2015 l’attacco informatico prolungato all’emittente televisiva internazionale francese TV5Monde. La rete, che è visibile in 200 Paesi, è stata messa sotto attacco da un gruppo che affermava di essere il “Cybercaliffato”. L’attacco ha interrotto i collegamenti di 12 canali dell’emittente e, secondo il suo direttore generale Yves Bigot, ha quasi portato alla distruzione totale dei suoi sistemi informatici;
• nel luglio 2015 un attacco informatico al canale Islam channel, operante nel Regno Unito, è durato circa cinque mesi prima che gli esperti informatici dell’intelligence britannica liberassero dagli hacker i loro sistemi informatici.

Non esiste una misura uguale per tutti

Le aziende multimediali, le emittenti e gli autori di contenuti multimediali, si affidano sempre più all’IT e alle reti connesse, e ricevono offerte Internet per la produzione e altri servizi (siti web, blog, trasmissione audio e video in streaming, ecc.). La molteplicità dei servizi offerti (e, di conseguenza, di minacce) implica che sono necessari molti strumenti per farvi fronte. Tra questi vi sono le norme internazionali elaborate dalla IEC e il lavoro congiunto che questa svolge con l’ISO e l’Unione Internazionale delle Telecomunicazioni (ITU). Nel settore delle telecomunicazioni, per proteggere reti e contenuti multimediali sono fondamentali anche specifiche norme e raccomandazioni di settore. Queste vengono elaborate dalla World Broadcasting Union (WBU) e dagli Enti che ne sono membri. Inoltre, la Association for International Broadcasting (AIB) ha messo a punto un gruppo di lavoro per la cybersecurity, il Cyber Security Working Group, per condividere informazioni e competenze settoriali sulle minacce informatiche esistenti per le aziende della comunicazione multimediale.

Molteplici minacce

Dal momento che i servizi multimediali sono sempre più connessi e abbracciano tecnologie diverse, si deve far fronte a più tipi di attacchi informatici, inclusi il Distributed Denial of Service (DDoS) e l’uso di ransomware e malware (software dannosi e con richiesta di riscatto). Tra gli incidenti segnalo quello del novembre 2014 quando dati riservati della Sony Pictures sono stati resi pubblici per danneggiare la compagnia di intrattenimento, oppure la vasta azione di pirateria nell’ottobre 2017 (e tuttora in corso) contro i servizi di beIN, una pay-TV del Quatar, che mirava a danneggiare gli interessi economici del Paese.

Vulnerabilità

La molteplicità dei sistemi potenzialmente a rischio di attacchi informatici e la varietà dei vettori utilizzati per compierli, implica che le emittenti e i creatori di contenuti multimediali devono proteggersi da un’ampia gamma di minacce e devono ridurne gli effetti, nel caso riuscissero a penetrare e compromettere i sistemi. I punti deboli comprendono i seguenti.

Le apparecchiature: molte aziende multimediali si affidano a dispositivi multimediali connessi con un basso livello di sicurezza. I componenti e i dispositivi in serie utilizzati, potrebbero non soddisfare le ultime misure appropriate di sicurezza informatica, oppure potrebbero non includere gli aggiornamenti software o le patches di sicurezza disponibili per proteggerli, entro un certo limite, dalle minacce informatiche.

I processi e le procedure: implementati dalle aziende multimediali per proteggersi dagli attacchi informatici contro l’operatività e i sistemi, come ad es. i Sistemi di Controllo e Automazione Industriale o IACS (Industrial Automation and Control Systems).

Le apparecchiature stesse possono presentare dei punti deboli che riguardano in particolare il fattore umano.

Il fattore umano, espressione di fornitori, venditori, squadre di manutentori, operatori, ecc, dovrebbe essere una priorità per tutte le aziende multimediali, tuttavia spesso si dimostra essere l’anello più debole della catena della sicurezza informatica. Gli attacchi più efficaci utilizzano l’ingegneria dei social media per manipolare la gente e indurla a divulgare informazioni riservate, adottando per esempio il phishing. Le società dell’industria delle telecomunicazioni hanno cominciato ad utilizzare servizi cloud per i loro flussi di lavoro, per l’editing e l’archiviazione, e per consentire resilienza e continuità dei servizi in caso di attacchi informatici.

Un certo numero di norme e raccomandazioni affrontano le vulnerabilità esposte indicando soluzioni per fornire protezione. Segue una panoramica di norme per diversi tipi di vulnerabilità. Per quanto riguarda gli aspetti IT, il riferimento assoluto è la famiglia di Norme ISO/IEC 27000 per la gestione dei servizi IT, elaborata dal sottocomitato ISO/IEC JTC 1/SC 27 “IT security techniques”. La serie IEC 62443, elaborata dal Comitato IEC TC 65 “Industrial-process measurement, control and automation”, concerne i punti deboli OT legati allo IACS. Entrambe le serie di Norme sono citate come fondamentali per il settore delle telecomunicazioni in pubblicazioni come la guida del National Association of Broadcasters (NAB) per la diffusione della sicurezza informatica.

Altre Norme IEC significative includono la serie IEC 62351 per i sistemi e le apparecchiature  di telecontrollo, che riguarda il controllo degli accessi in base al ruolo (RBAC), in altre parole: la restrizione dell’accesso a utilizzatori autorizzati. Se adeguatamente implementate, queste norme possono impedire accessi ai sistemi da parte di personale non autorizzato.

Proteggere risorse preziose come i contenuti, dalla loro produzione fino alla loro trasmissione, richiede tra le altre cose l’implementazione di misure per la gestione dei diritti digitali (DRM). Il TC 100 IEC ha elaborato Norme per proteggere questi contenuti.

Si tratta di norme che propongono soluzioni di interoperabilità tali da consentire la distribuzione dei contenuti secondo le linee guida dell’organizzazione Digital Living Network Alliance (DLNA), linee guida relative ai dispositivi domestici connessi alla rete, come anche la IEC 62698, che offre uno schema normalizzato per garantire che i contenuti multemediali, soggetti a copyright, possano essere legalmente condivisi attraverso diversi sistemi, incluso il protocollo Internet TV (IPTV).

La blockchain può essere utilizzata per proteggere i contenuti multimediali

La tecnologia della Blockchain (NdR – letteralmente catena di blocchi, ossia una struttura dati condivisa e immutabile) può essere utilizzata per validare e proteggere i contenuti multimediali da azioni di pirateria e manomissione. Il Senior Project Manager della EBU (European Broadcasting Union), Adi Kouadio, ha dichiarato ad e-tech: “La tecnologia della blockchain rende possibile migliorare la tracciabilità dei contenuti, registrando un’autentica per ciascun contenuto ottenuto da un processo di elabo- razione (editing, compressione, ecc.). Migliore tracciabilità significa individuazione più rapida di un contenuto alterato o etichettato con la fonte sbagliata. Ciascun intervento sul contenuto può essere considerato una transazione  e quindi essere registrato sulla blockchain (che non può essere alterata).”

Molto è stato realizzato e ancor di più in arrivo

Altre tecnologie, come l’Intelligenza Artificiale (AI) e il Machine Learning (ML), o apprendimento automatico delle macchine, possono essere utilizzate sia per diffondere che per sventare gli attacchi informatici. IEC ed ISO hanno istituito di recente il primo Comitato Internazionale, ISO/IEC JTC 1/ SC 42, perché osservi l’intero ecosistema dell’AI, affrontando tematiche relative all’affidabilità, alla privacy e alla sicurezza, ai bias negli algoritmi, così come all’etica e agli interessi sociali.

Articolo di Morand Fachottratto da IEC e-tech 01/2019