Come applicare gli insegnamenti di Sun Tzu alla cybersicurezza.

Sun Tzu cercò di rivoluzionare il modo in cui veniva combattuta la guerra. E questo non è poco, considerando che nacque nel 544 A.C. e visse in un’epoca in cui la maggior parte delle guerre erano poco più che scontri feroci tra uno o più gruppi armati di asce, clave e bastoni appuntiti.

Sebbene non esistano molte informazioni sulla vita di Sun Tzu, sappiamo che era al servizio dell’allora sovrano del Regno di Wei in quella che oggi è la regione nordorientale della Cina. Era una generale e filosofo cinese che studiava gli aspetti psicologici della guerra, con un approccio completamente originale al conflitto armato nell’antica Cina.

Molti storici ritengono che il libro di Sun Tzu sia stato scritto per aiutare i generali che erano impegnati nei numerosi conflitti regionali. Oggi, dopo 2.000 anni e centinaia di guerre, il libro Arte della guerra di Sun Tzu è un bestseller. Il testo è diventato una sorta di stele di Rosetta della teoria militare, citato dagli studiosi e applicato ben oltre il campo di battaglia, con un’ampia diffusione nelle scuole di economia e ora anche nell’ambito della cybersecurity.

L’arte della cyberguerra: preparazione.

Adattare le tante citazioni famose di Sun Tzu alla cybersecurity è un esercizio piuttosto semplice. Ne abbiamo selezionate tre che potessero descrivere al meglio aspetti importanti della cybersicurezza: preparazione, pianificazione e conoscenza. Per quanto riguarda la preparazione, abbiamo riadattato questo suo monito famoso:

La guerra informatica è di vitale importanza per qualsiasi azienda. È una questione di vita o di morte, una strada che porta alla sicurezza o alla rovina.

Nonostante la formazione militare, Sun Tzu sosteneva che lo scontro diretto non è il metodo migliore per vincere le battaglie. Ma quando lo scontro è necessario, è saggio prepararsi accuratamente per ogni eventualità. Questa è la lezione tipicamente ignorata dalle aziende, che dopo una violazione grave si trovano ad affrontare multe, perdita di credibilità e critiche per aver trascurato la sicurezza della loro rete e per non essersi protette adeguatamente dai cyber criminali. Per prepararsi occorre non solo dotarsi della tecnologia più avanzata possibile, ma anche formare i propri dipendenti e portare la cybersicurezza all’attenzione di tutti.

L’arte della cyberguerra: pianificazione.

Per la pianificazione abbiamo valutato il modo in cui il concetto di “arte” è anche una fonte di saggezza per gli aggressori:

Il nemico non deve sapere dove intendi attaccare. Costringi il nemico a prepararsi contro possibili attacchi in molti punti diversi e fai in modo che distribuisca le sue difese in tante direzioni; così, le difese che dovrai affrontare in un qualsiasi momento saranno relativamente poche.

Questo adattamento si riferisce ad altri stratagemmi con cui Sun Tzu invita i suoi generali a non sottovalutare mai i propri nemici e a pianificare ogni possibilità. Lo stesso vale per i cyber criminali, che sceglieranno le battaglie più semplici per avere la certezza del successo. Pertanto, è opportuno pianificare le nostre difese come se avessimo già subito un attacco e una violazione.

L’arte della cyberguerra: conoscenza.

Sun Tzu consiglia di non prendere decisioni affrettate e dettate dalle emozioni, sottolineando l’importanza della conoscenza. Suggerisce ai capi di acquisire ddle maggiori conoscenze possibili nella preparazione di una battaglia, senza però limitarsi ai punti di forza e di debolezza del nemico.

Se conosci il nemico e conosci te stesso, nemmeno in cento battaglie ti troverai in pericolo. Se conosci te stesso, ma non il nemico, per ogni vittoria ottenuta subirai anche una sconfitta. Se non conosci te stesso né il nemico, soccomberai in ogni battaglia.

Questo consiglio è una citazione letterale che descrive accuratamente come dovrebbe funzionare la cybersicurezza. Le aziende devono massimizzare la potenza dell’intelligence sulle minacce fornendo al personale IT gli strumenti per valutare le analisi in tempo reale e trasformare ogni singolo dato in informazioni preziose. Il personale IT dovrebbe inoltre disporre dei mezzi per riuscire a prevedere tutto quello che può succedere e valutare la migliore strategia da adottare prima, durante e dopo una violazione.

Il segreto dell’arte della cyber guerra.

I teorici della guerra dibattono da tempo su come classificare la preparazione e l’esecuzione delle attività militari. Il generale Carl von Clausewitz è, insieme a Sun Tzu, uno dei più noti e rispettati pensatori in materia. Nel suo libro Von Kriege (Della guerra), pubblicato nel 1832, osserva che la preparazione della guerra deve essere scientifica, ma la conduzione di una battaglia è un’arte. Per la scienza studiamo la logistica, la tecnologia e altri elementi a seconda delle necessità. Per quanto riguarda il lato artistico, ci affidiamo al talento individuale e al coraggio per cogliere le opportunità che aumentano la probabilità di vittoria. Clausewitz riteneva inoltre che la guerra rientrasse nell’ambito della vita sociale, così come tutti i conflitti di grande interesse umano.

Queste definizioni sono valide anche per la guerra informatica. Consideriamo ad esempio le attività di business come una combinazione di scienza, arte e vita sociale. Le aziende che operano sul mercato analizzano accuratamente la concorrenza, creano dei modi per attirare la clientela e insistono sul coinvolgimento e l’interazione sociale. Perché non dovremmo, quindi, applicare lo stesso livello di attenzione e risorse alla nostra cybersicurezza? Probabilmente Sun Tzu sarebbe d’accordo con noi e, lisciandosi la barba, annuirebbe convinto.

Quest’anno, i cyber attacchi hanno già superato i volumi totali degli anni 2017, 2018 e 2019, come riportato nell’aggiornamento di metà anno del Rapporto SonicWall 2022 sul Cybercrime. Inoltre, ogni giorno compaiono nuovi vettori di attacco online. Senza un’adeguata preparazione, pianificazione e conoscenza, le aziende corrono un alto rischio di subire cyber attacchi devastanti.

Per maggiori informazioni sull’arte e sulla scienza, iscriviti al webinar MINDHUNTER 11, “L’arte della cyber guerra” e scopri dagli esperti come mantenere al sicuro la tua azienda nelle prossime battaglie informatiche.