Imparare la cybersecurity con la gamification

Il libero accesso alla rete internet e la diffusione delle connessioni a banda larga e mobili hanno agito da locomotiva trainante per il progresso tecnologico e sociale che, in pochi anni, ha portato a una nuova società sempre più digitalizzata. L’utilizzo delle tecnologie connesse è ormai componente quasi ‘naturale’ nella vita di moltissime persone, sia nel contesto privato sia in quello lavorativo.

D’altra parte, la tipologia e la mole di dati che vengono scambiati per differenti scopi, che spaziano dalle comunicazioni private ai pagamenti elettronici fino alle ricerche industriali, hanno destato l’interesse dei criminali informatici e a un costante aumento di cyber-attacchi a livello globale ne consegue un maggiore impegno da parte delle aziende nel garantire la sicurezza dei dati dei propri clienti.

Il problema del Cybersecurity skill shortage

Negli ultimi anni, la richiesta di specifiche competenze e di professionisti della cybersecurity ha quindi avuto un forte incremento: negli Stati Uniti, la ricerca di professionisti per ricoprire queste responsabilità è salita del 91% dal 2010 al 2014, seguita da un ulteriore aumento del 32% dal 2016 al 2018 (De Zan, 2019). Si stima una crescita con curva particolarmente ripida per questo settore (fino al 28%) rispetto alla media (7%) negli altri (De Zan nel periodo 2016-2026).

Per quanto la richiesta di queste professionalità sia alta, spesso accade che queste posizioni rimangano per lungo tempo vacanti, facendo legittimamente ipotizzare una certa carenza di professionisti. Ci si può porre una domanda: cosa succederebbe se, come già ipotizzato, la richiesta continuasse a fronte di una stagnazione dell’offerta?

Il Cybersecurity skill shortage (Csss) è uno dei problemi più importanti che le aziende stanno cercando di affrontare e risolvere, ben descritto nello studio condotto dal Global Cyber Security Center di Poste Italiane insieme all’Università di Oxford (De Zan, 2019).

In Italia, si è parlato per la prima volta di Csss nel febbraio del 2018 (Presidenza del Consiglio dei Ministri). Nel documento, riguardo la cyber-resilience, si è ammesso come per l’Italia la formazione in cybersecurity sia un serio problema. Da un sondaggio effettuato su 45 realtà italiane, circa l’80% (De Zan, 2019) ha ammesso che spesso o sempre la propria azienda non ha un responsabile per la sicurezza informatica. Il sondaggio ha sottolineato quattro fattori principali che hanno portato alla mancanza di candidati: assenza di esperienza (44%); impossibilità di soddisfare stipendi e benefit in linea con il mercato (40%); basso numero di candidati (36%); mancanza di conoscenze teoriche e pratiche (38%).

I partecipanti al sondaggio hanno anche aggiunto di non essere pienamente soddisfatti delle competenze dei candidati (71%; De Zan, 2019), indicando fra i problemi la sola conoscenza teorica (71%; De Zan, 2019) e la mancanza di esperienze professionali (45%; De Zan, 2019). Inoltre il 71% ha indicato come i percorsi di studio importanti per il settore della cybersecurity non forniscano le conoscenze base che permetterebbero una candidatura anche in posizioni junior, subito dopo la fine del percorso universitario. Per il 53% delle risposte, in Italia non ci sono sufficienti studenti in corsi di studio che possano preparare a una carriera nella Cybersecurity. La situazione assume contorni allarmanti, per i numeri ancora più risibili, se si considera quelli di studentesse coinvolte in un percorso tecnico in tale ambito.

Strategie per una gestione consapevole del cyberspazio

In Italia, la presa di consapevolezza della necessità di proteggere il cyberspazio e le Tecnologie per l’Informazione e la Comunicazione (ICT) (Presidenza del Consiglio dei Ministri) ha dato luogo a un piano strategico nel 2013, con successiva revisione nel 2017. Tra le diverse linee di intervento individuate dal documento, si evidenziano anche quelle per l’assenza di figure professionali all’altezza.

In questo piano, fra i punti da attuare, viene sottolineato quanto sia importante promuovere la cultura della cybersecurity nei cittadini fino a dipendenti sia pubblici sia privati. I tre punti sono riassunti di seguito:

• aggiornamento di concetti, individuazione di best practice e sviluppo di princìpi riguardanti la cybersecurity;
• promozione e disseminazione della cultura sulla cybersecurity: organizzazione di iniziative per i cittadini, studenti e personale amministrativo pubblico;
• istruzione e formazione: l’educazione del personale sulla sicurezza, lo sviluppo di rapporti con il mondo accademico e l’indicazione dei principali centri di eccellenza in materia di cybersecurity.

Da ciò è scaturita una serie di rilevanti programmi nazionali che hanno avuto il compito di sensibilizzare e formare. In questa prospettiva, il mondo accademico può giocare un ruolo essenziale nell’intercettare le esigenze di sicurezza degli asset digitali e la formazione di competenze e figure professionali adeguate a tali necessità. Il ruolo di mediazione si è concretizzato, per esempio, attraverso l’istituzione del Cybersecurity national laboratory, promosso dal Consorzio interuniversitario nazionale per l’informatica (Cini), che comprende differenti atenei e centri di ricerca italiani attivi nella ricerca e nell’istruzione in ambito cybersecurity. A tale iniziativa, si accosta CyberChallenge.it, un corso di formazione sui principali temi della sicurezza informatica rivolto ai ragazzi di età compresa tra i 16 e i 23 anni. A seguito del corso, i ragazzi vengono invitati a sfidarsi in squadre, come rappresentanti del nodo di riferimento, in gare di Capture the flag (CTF), in modo da mettere in pratica quanto appreso nel percorso di studio.

Questo contributo intende approfondire il potenziale insito nelle competizioni CTF, evidenziando anche i possibili benefici per le imprese nel colmare il divario su tematiche di cybersecurity.

Paolo Afrune

Università del Salento, Lecce