Come è noto, a febbraio 2024 è stato pubblicato, l’Amendement 1:2024 della ISO/IEC 27001:2022 che tratta del cambiamento climatico, in linea con la Dichiarazione di Londra, sottoscritta a settembre 2021, dalla ISO, assumendo l’impegno che le sue norme e le sue pubblicazioni tengano conto dei cambiamenti climatici e sostengano l’Accordo di Parigi, gli obiettivi di sviluppo sostenibile delle Nazioni Unite e l’invito all’azione delle Nazioni Unite sull’adattamento e la resilienza, in linea con l’obiettivo 13 di agenda 2023.

Due sono le implicazioni che possono derivare da questo “addendum”:

1. da un lato, occorrerà mettere in atto le misure per ridurre l’impatto del cambiamento climatico nelle organizzazioni e quindi ridefinire il ruolo delle stesse in relazione ai vari sistemi di gestione e, specificamente, a quello della sicurezza delle informazioni;
2. dall’altro lato, invece, il tema del cambiamento climatico può essere affrontato seguendo il paradigma della “Security Convergence” attraverso un approccio multirischio partendo dalla consapevolezza che gli eventi climatici possono comportare dei nuovi rischi che minano la sicurezza delle informazioni.

Gli effetti del cambiamento climatico

Il cambiamento climatico comporta il verificarsi con maggiore frequenza e con notevole maggior impatto di eventi catastrofici come, ad esempio:

1. eventi metereologici estremi come alluvioni, inondazioni, uragani, trombe d’aria ed incendi causati dalla siccità; Sono eventi che possono compromettere le infrastrutture delle reti di comunicazioni, le infrastrutture di produzione o smistamento dell’energia elettrica, i ripetitori (con conseguente interruzione delle comunicazioni), le infrastrutture critiche, le aree aziendali dove sono alloggiati i server e le apparecchiature;
2. innalzamento del livello del mare che può causare, analogamente, inondazioni costiere che possono compromettere infrastrutture in prossimità delle coste;
3. siccità da cui deriva un aumento del rischio incendio e/o la carenza di risorse idriche che, a loro volta, comportano effetti più gravi nell’eventualità di incendio. Inoltre, può derivare un abbassamento del livello e della portata dei fiumi con compromissione del funzionamento delle centrali idroelettriche e della refrigerazione dei data center con rilevanti conseguenze sulla continuità operativa dei data center e dei sistemi informatici;
4. aumento della presenza di animali e della loro aggressività che possono danneggiare o interrompere le reti ed i collegamenti;
5. aumento della temperatura che comporta potenziale interruzione dell’energia elettrica e/o del funzionamento di sistemi che necessitano di alcune condizioni ambientali specifiche.

Inoltre, non va dimenticato come effetto indiretto un aumento dei fenomeni migratori. Si tratta dei migranti climatici che si trovano costretti a lasciare le loro comunità in esito alle conseguenze dei fenomeni climatici estremi sulla loro vita e sulla loro salute. Tali eventi possono contribuire a creare conflitti di varia portata con conseguenti rischi anche sui sistemi informatici e le infrastrutture.

Quale soluzione: mitigazione, adattamento o sopportazione?

Il Consigliere scientifico dell’ex presidente Barack Obama, John Holdren esperto nelle cause e nelle conseguenze del cambiamento climatico globale, già nel 2007 sosteneva che: “We basically have three choices: mitigation, adaptation and suffering. We’re going to do some of each. The question is what the mix is going to be. The more mitigation we do, the less adaptation will be required and the less suffering there will be”.

In sintesi, già allora ci si poneva di fronte tre scelte “adattamento, mitigazione e sopportazione”.

Ora, escludendo l’opzione della mera “sopportazione”, si delineano due strategie principali per affrontare l’impatto del cambiamento climatico sui sistemi di gestione della sicurezza delle informazioni. La prima strategia mira a mitigare gli effetti, mentre la seconda si concentra sull’adattamento dei sistemi di gestione per renderli più resilienti in relazione a tali cambiamenti.

Le misure volte a mitigare prevedono azioni per ridurre, attraverso buone prassi, l’impatto dell’organizzazione sull’ambiente. Esse possono essere direttamente o indirettamente correlate al sistema di gestione della sicurezza delle informazioni. Esempio di una misura direttamente correlata ad un ISMS è l’attivazione dello screen saver dopo pochi minuti dal mancato utilizzo del sistema. Tali misure portano alla riduzione (per quanto limitata) del consumo di energia ed al contempo garantiscono un aumento delle misure di sicurezza.

Esempio di misura indirettamente correlata è, invece, l’acquisto dell’energia per il funzionamento della sala server da un produttore di energia verde. Tale misura impatta sul cambiamento climatico ma non porta alcuna maggiore sicurezza ai sistemi di gestione della sicurezza delle informazioni.

Il tema è già stato affrontato in un precedente articolo.

Il secondo approccio prevede l’implementazione di misure di adattamento volte a prevenire le conseguenze dell’impatto climatico. Tra queste, ad esempio, vi sono quelle poste in atto per contrastare la mancanza di energia elettrica necessaria al funzionamento dei sistemi.

Tale richiesta potrebbe essere dovuta ad un sovraccarico innescato da un eccesso di consumo degli impianti di condizionamento per ridurre la temperatura e l’umidità negli uffici ed utenze domestiche.

Alla luce di quanto sopra le misure di adattamento debbono considerare:

1. misure proattive, volte ad anticipare ed a mitigare gli effetti degli eventi;
2. misure reattive, quali i piani di business continuity.

Le misure proattive di adattamento

Le misure proattive che possono essere messe in campo sono volte ad anticipare e/o a mitigare gli effetti degli eventi climatici di carattere straordinario. Fermo restando che tali misure contrastano minacce non necessariamente originate solo dal cambiamento climatico.

La posizione e la costruzione di strutture fisiche dovrebbero tenere conto della topografia locale, come l’elevazione adeguata, la presenza di masse di acqua, la prossimità di argini, la presenza nelle vicinanze di aree boschive, di stabilimenti e strutture ad alto rischio incendio[1].

Per quanto riguarda, invece, più specificatamente i controlli, sulla base dei risultati della valutazione del rischio (requisito 6.1 della ISO/IEC 27001) condotta a seguito della analisi del contesto (requisito 4.1) e delle parti interessate (requisito 4.2), potrebbero essere considerate le misure di seguito indicate. Tali misure riguardano sia la fase di progettazione che gestione corrente delle attività.

Gli interruttori di emergenza e le valvole per interrompere l’acqua, il gas o altri servizi tecnici dovrebbero essere collocati vicino alle uscite di emergenza o nei locali tecnici.

Tra le misure bisogna anche prevedere di stipulare contratti di servizio con fornitori di servizi (energia elettrica, manutenzione, ecc. che garantiscano tempi di risposta rapidi in caso di guasti o interruzioni in linea con quanto previsto dal piano di Business Continuity.

Inoltre, non va dimenticato che l’eventuale espansione delle apparecchiature deve essere pianificata in modo da garantire che i sistemi che mitigano le minacce (come impianti antincendio, sistemi di raffreddamento ecc.) siano adeguati e se del caso potenziati in modo armonioso. L’installazione di nuove apparecchiature peraltro non deve ostacolare l’accesso ad impianti quali ad esempio sistemi antincendio.

Infine, per la prevenzione di minacce ambientali innescate da conflitti – causati a loro volta dalle condizioni climatiche- deve essere considerate, nella scelta dell’ubicazione fisica dell’organizzazione l’impatto che possono avere luoghi: simbolici, ad alta attrattività, difficili da proteggere.

Le misure indicate sono state mutuate anche dalle linee guida ISO/IEC 27002:2022 del controllo 7.5 “Protezione dalle minacce fisiche ed ambientali” e 7.11 “Infrastrutture di supporto”. Le linee guida pongono particolare attenzione al monitoraggio delle minacce e laddove queste variassero le misure stesse devono essere riconsiderate ed aggiornate.

Ovviamente i dispositivi vanno controllati, ispezionati e manutenuti regolarmente per assicurare l’efficacia e ne va verificato il funzionamento in linea con quanto previsto anche dal controllo ISO/IEC 27001:2022 7.13 “Manutenzione delle apparecchiature”.

Security Convergence e climate change: un approccio multirischio

Si è visto come il cambiamento climatico stia modificando radicalmente il panorama della sicurezza globale, con impatti diretti e indiretti sui sistemi di sicurezza delle informazioni.

In tale quadro di situazione, il paradigma della “Security Convergence” offre una prospettiva suggestiva ed interessante, poiché prevede la combinazione di sicurezza fisica, informatica e ambientale in un framework unificato. Questo “approccio multirischio” permette alle organizzazioni di gestire con maggiore efficacia i rischi multiformi introdotti da eventi climatici estremi.

L’importanza dei piani di Business Continuity in risposta agli eventi critici

In contesti aziendali sempre più esposti a incombenti minacce naturali oltre quelle tecnologiche, la capacità di un’organizzazione di anticipare e reagire efficacemente a eventi critici diventa essenziale per la sua continuità operativa.

Eventi come incendi e inondazioni possono non solo compromettere l’accessibilità delle informazioni, ma anche impattare gravemente sulle operazioni aziendali.

È, quindi, essenziale che le organizzazioni adottino strategie di business continuity robuste e proattive, basate su standard internazionali come la ISO 22301:2019, per garantire la resilienza e la continuità operativa.

Ecco perché, per fronteggiare gli imprevisti, le organizzazioni devono essere in grado di:

1. valutare scenari possibili;
2. la probabilità del loro verificarsi;
3. la gravità delle loro conseguenze.

Questo processo di valutazione è fondamentale per definire e implementare piani di risposta efficaci e tempestivi. La formulazione di piani di business continuity prende in considerazione diversi parametri per garantire sia la sicurezza informatica che la continuità dei processi aziendali.

Parametri informatici

1. RTO (o Recovery Time Objective) – il tempo previsto di ripristino (in emergenza) dei sistemi informatici;
2. RPO (o Recovery Point Objective), ossia i dati che si prevede di perdere con il ripristino.

Parametri di processo

1. MTPD (o Maximum Tolerable Period of Disruption) – il tempo massimo che un processo può non essere disponibile;
2. MBCO (o Minimum Business Continuity Objective) – le prestazioni minime che un processo deve garantire.

La norma ISO 22301 e la resilienza aziendale

La norma ISO 22301:2019 “Sistema di gestione della continuità operativa” fornisce un framework indispensabile per gestire la resilienza organizzativa. Essa sottolinea l’importanza di adottare un approccio proattivo alla gestione delle emergenze, considerando l’impatto inevitabile del cambiamento climatico.

La norma riconosce anche il valore delle esercitazioni pratiche, che devono essere regolarmente pianificate e gestite per trarre insegnamenti utili (le cc.dd.lessons learned), migliorando continuamente le strategie di risposta.

Così, in un’era in cui il cambiamento climatico rappresenta una minaccia crescente e inevitabile, l’adozione di norme come la ISO 22301 diventa un pilastro fondamentale per la sicurezza e la continuità delle operazioni aziendali.

Gli eventi critici, che un tempo potevano essere considerati rari o improbabili, oggi devono essere pianificati e gestiti con la ragionevole aspettativa che accadranno. Le organizzazioni che investono in una preparazione adeguata e in piani di business continuity solidi non solo proteggeranno le loro risorse vitali, ma saranno anche meglio posizionate per affrontare efficacemente le sfide del futuro.

Conclusioni

L’aggiornamento della normativa ISO 27001 per includere il cambiamento climatico rappresenta un punto di svolta essenziale nella gestione della sicurezza delle informazioni.

Oltre alla protezione contro gli attacchi cyber e gli errori operativi, le organizzazioni ora devono affrontare una serie sempre più ampia di minacce ambientali, destinate a crescere in frequenza e intensità.

Resilienza e adattabilità diventano così i “pillar” essenziali per sviluppare le strategie di sicurezza del futuro, assicurando che le pratiche aziendali siano non solo efficaci ma anche sostenibili nel lungo periodo. In ultima analisi, si prevede che le organizzazioni non solo reagiscano ai pericoli attuali, ma anche che prevedano e si preparino in modo proattivo per le sfide emergenti.

Occorre rivalutare e attualizzare il paradigma della Security Convergence. Ma questo è un argomento che merita un’autonoma riflessione.

[1]La presenza di linee di faglia tettoniche in prossimità della sede dell’organizzazione è un fattore da considerare ma che non presenta alcun legame, per quello ad oggi noto, con il tema del cambiamento climatico.

[2] Come ad esempio i sistemi di rilevazione fumi VESDA Very Early Smoke Detection Apparatusche utilizza una rete di tubazioni di campionamento che aspira continuamente l’aria dalla zona da proteggere e la invia al rilevatore e permette quindi di rilevare la presenza di fumo già in una fase iniziale.

[3] Sprinkler pre-azione:

[4] Si tratta di sistemi CRAC/CRAH Computer Room Air Conditioning/Handling.

[5] Considerare che l’accumulo di umidità che può danneggiare le apparecchiature e l’eccessiva secchezza può causare scariche elettrostatiche.