Come l'UE può imporre una sicurezza email più forte

Sintesi esecutiva: L'articolo esamina come l'UE possa colmare proattivamente le lacune nella sicurezza email sfruttando la Direttiva NIS2 per imporre standard solidi e armonizzati come DMARC, DKIM e SPF in tutti gli Stati membri. Agendo ora, l'UE non solo protegge il proprio ecosistema digitale, ma stabilisce anche un punto di riferimento globale per le migliori pratiche di cybersecurity.

• La Direttiva NIS2 rappresenta un'opportunità cruciale per l'UE di imporre l'adozione universale dei protocolli di sicurezza email (DMARC, DKIM, SPF), affrontando vulnerabilità di lunga data e armonizzando gli standard in tutti gli Stati membri.
• Le recenti iniziative dei principali provider (Google, Yahoo!) e gli standard di settore (PCI DSS 4.0.1) hanno reso più comuni le migliori pratiche di autenticazione email, ma i requisiti esistenti rimangono insufficienti, evidenziando la necessità di obblighi più severi e applicabili a livello europeo.
• Un'azione coordinata dell'UE, guidata da organismi come ENISA e il Gruppo di Cooperazione NIS, può favorire l'implementazione di una solida sicurezza email, colmare le lacune normative e posizionare l'UE come leader globale nelle migliori pratiche di cybersecurity.

In quanto spina dorsale digitale della comunicazione moderna, l'email rimane una vulnerabilità critica per le organizzazioni in tutta Europa, spesso sfruttata a causa di misure di sicurezza obsolete o incoerenti. La futura Direttiva NIS2 dell'UE, che si basa sull'eredità del GDPR, rappresenta un'opportunità cruciale per imporre standard di sicurezza email più forti e armonizzati in tutti gli Stati membri.

Richiedendo l'adozione di protocolli come DMARC, DKIM e SPF, e sfruttando l'influenza regolamentare dell'UE, il blocco non solo può proteggere il proprio ecosistema digitale, ma anche stabilire un precedente globale per le migliori pratiche di cybersecurity. Con alcuni Stati membri già all'avanguardia, il momento è propizio per un approccio unito a livello europeo che colmi le lacune e garantisca una protezione solida per tutti.

La Direttiva Network Information Systems 2 (NIS2) è la successora della Direttiva Network Information Systems (NIS) che nel 2016 divenne la prima legislazione a livello europeo sulla cybersecurity, richiedendo agli Stati membri dell'Unione Europea (UE) di recepire una moltitudine di requisiti nel diritto nazionale e di collaborare con i fornitori di servizi essenziali e digitali per migliorare la cybersecurity. La NIS2 include condizioni più severe su quali sanzioni amministrative devono essere possibili. La sicurezza email è uno dei numerosi requisiti espliciti coperti dalla direttiva.

Essendo uno dei più grandi blocchi commerciali al mondo, l'UE ha la capacità di guidare un ecosistema più sicuro per i consumatori. Abbiamo assistito a questo impulso con il Regolamento Generale sulla Protezione dei Dati (GDPR) e la Direttiva ePrivacy (ePD), che hanno portato a significativi miglioramenti nella privacy e nella protezione dei dati, oltre a una rapida attenzione da parte del pubblico generale.

Inoltre, quando l'UE adotta standard normativi più severi, spesso stabilisce un precedente globale, influenzando politiche e pratiche oltre i propri confini. Un buon esempio sono le direttive che si applicano extraterritorialmente, interessando qualsiasi organizzazione che faccia affari con l'UE o tratti dati personali dei cittadini europei. Sebbene il GDPR sia una normativa specifica dell'UE, molte aziende americane, riconoscendo la complessità di mantenere politiche sui dati separate, hanno scelto di applicare gli standard del GDPR universalmente a tutti gli utenti, non solo ai cittadini europei.

Questo approccio non solo semplifica la conformità, ma eleva anche la protezione dei dati a livello globale e ha un ritorno sull'investimento positivo. Allo stesso modo, se l'UE applica standard di cybersecurity più severi, come quelli delineati nella Direttiva NIS2, è probabile che le aziende al di fuori dell'UE adottino questi standard più elevati per garantire operazioni fluide e conformità, creando un effetto “a cascata” che migliora le pratiche di sicurezza a livello globale. Evitando al contempo le sfide legate alla non conformità, come sanzioni pecuniarie e altre penalità non finanziarie.

L'email è per impostazione predefinita insicura, non richiedendo autenticazione, autorizzazione o persino crittografia in transito. Tutti questi aspetti hanno dovuto essere sviluppati e aggiunti successivamente. Chiunque abbia dovuto configurare un servizio che invia email si sarà imbattuto in DomainKeys Identified Mail (DKIM) e Sender Policy Framework (SPF), due meccanismi che aiutano ad autorizzare e autenticare l'invio di email. DKIM in particolare fornisce una solida autorizzazione e autenticazione crittografica delle email.

Tuttavia, cosa succede se non si può verificare se l'email “supera” DKIM o SPF? Questa decisione veniva lasciata al destinatario. Questo è lo scopo principale di Domain-based Message Authentication, Reporting, and Conformance (DMARC). Sviluppato per fornire ai proprietari di domini un meccanismo per dichiarare esplicitamente che i destinatari delle email dovrebbero rifiutare qualsiasi email non autorizzata né tramite DKIM né tramite SPF. Questo segnala che hanno configurato correttamente tutti i servizi autorizzati a inviare per loro conto.

La tua email è sicura?

Conosci il tuo attuale stato DMARC? Verifica ora gratuitamente.

Il supporto per DMARC, DKIM e SPF da parte di tutte le componenti dell'ecosistema email, sia mittenti che destinatari, è stato forte in alcuni settori ma disomogeneo; solo all'inizio del 2024 sono diventati obblighi di fatto del settore, in parte grazie ai nuovi requisiti per i mittenti di massa di Google e Yahoo! e alle migliori pratiche raccomandate dal Payment Card Industry Data Security Standard (PCI DSS 4.0.1).

L'impatto dei nuovi requisiti è stato enorme: dopo soli sei mesi, Google ha riportato una riduzione del 65% delle email non autenticate, il 50% in più di mittenti di massa che seguono queste migliori pratiche e 265 miliardi di messaggi non autenticati in meno.

Ciononostante, la soglia fissata da Google e Yahoo! è ancora relativamente bassa, richiedendo solo una debole policy DMARC di “none” – che non istruisce il destinatario a rifiutare le email non autorizzate. Le organizzazioni non sono ancora state costrette a inventariare e configurare correttamente tutti i propri sistemi di invio email, e gli utenti di provider email meno rigorosi rispetto a Google o Yahoo! sono più vulnerabili agli attacchi di impersonificazione di quanto dovrebbero. Allo stesso modo, attualmente il PCI DSS 4.0.1 incoraggia l'uso di DMARC, DKIM e SPF per tutte le organizzazioni che gestiscono dati di carte di credito.

L'applicazione di DMARC in cui le organizzazioni raggiungono una policy di p=reject richiederà una considerevole cooperazione e regolamentazione a livello globale, e l'UE, attraverso la Direttiva NIS2, è ben attrezzata per guidare questo sforzo, almeno per le organizzazioni che hanno un impatto sproporzionato sulla società europea.

L'Articolo 21 obbliga gli Stati membri a garantire che le entità essenziali e importanti:

“adottino misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi di rete e informativi che tali entità utilizzano per le loro operazioni o per la fornitura dei loro servizi, e per prevenire o ridurre al minimo l'impatto degli incidenti sui destinatari dei loro servizi e su altri servizi.

Tenendo conto dello stato dell'arte e, ove applicabile, delle pertinenti norme europee e internazionali, nonché del costo di attuazione, le misure di cui al primo comma garantiscono un livello di sicurezza dei sistemi di rete e informativi adeguato ai rischi esistenti. Nella valutazione della proporzionalità di tali misure, si tiene debitamente conto del grado di esposizione dell'entità ai rischi, delle dimensioni dell'entità e della probabilità di accadimento di incidenti e della loro gravità, compreso il loro impatto sociale ed economico.”

Direttiva NIS 2 – Unione Europea

Sebbene la direttiva originale non menzioni esplicitamente la sicurezza email, l'allegato di un Atto di Esecuzione che estende la Direttiva lo fa, richiedendo alle entità pertinenti di:

“adottare un piano di attuazione per l'implementazione di standard di comunicazione email moderni, concordati a livello internazionale e interoperabili, per proteggere le comunicazioni email al fine di mitigare le vulnerabilità legate alle minacce correlate alle email e stabilire misure per accelerare tale implementazione;

sviluppare e mantenere un inventario completo, accurato, aggiornato e coerente delle proprie risorse. Devono registrare le modifiche alle voci dell'inventario in modo tracciabile.”

Commissione Europea

Sebbene non specificato esplicitamente nel testo sopra, “proteggere le comunicazioni email per mitigare le vulnerabilità” può essere affrontato al meglio adottando gli strumenti disponibili, tra cui DMARC, DKIM e SPF. DMARC in particolare rappresenta le migliori misure di cybersecurity proattive e ragionevoli che offrono protezione alla tua organizzazione e sono in linea con le migliori pratiche.

Oltre al Transport Layer Security (TLS), il protocollo è alla base della crittografia in transito per quasi tutte le comunicazioni internet, incluse le email; nessun altro standard o meccanismo offre la stessa facilità di implementazione e impatto. SPF, sebbene anch'esso ampiamente utilizzato, è un meccanismo molto più debole rispetto a DKIM. S/MIME è molto meno diffuso a causa della complessità della sua implementazione. Forse Mail Transfer Agent Strict Transport Security (MTA-STS) potrebbe essere un ulteriore candidato, ma risulta ancora complicato in alcune circostanze.

Sono stati compiuti alcuni progressi, con diversi Stati membri dell'UE che già impongono obblighi per DMARC e DKIM, solitamente almeno per gli enti pubblici, talvolta estendendo il requisito ad alcuni settori delle infrastrutture critiche.

• Cechia dal 2021 richiede a enti pubblici ed entità essenziali e importanti di implementare DMARC e DKIM
• Danimarca dal 2022 richiede agli enti governativi di implementare DMARC e DKIM
• Estonia dal 2023 richiede agli enti pubblici di implementare DMARC, oltre a MTA-STS o DANE
• Irlanda dal 2022 richiede agli enti di servizio pubblico di implementare DMARC e DKIM.
• Paesi Bassi dal 2018 richiede agli enti pubblici di implementare DMARC e DKIM
• Polonia dal 2023 richiede al settore pubblico e ad alcuni attori del settore privato di implementare DMARC e DKIM
• L'ex Stato membro Regno Unito richiede DMARC per i servizi digitali governativi dal 2016

Gli altri 21 Stati membri non hanno obblighi nazionali, e solo pochi hanno prodotto qualche tipo di linea guida o raccomandazione per i propri enti pubblici o aziende.

L'UE, con i suoi 27 Stati membri, può essere più efficace quando tutti sono uniti, riducendo eventuali barriere di attrito nel confrontare le normative attuali da paese a paese. In realtà, sono già stati fatti progressi da parte di un Gruppo di Cooperazione NIS incaricato di fornire indicazioni alle autorità competenti degli Stati membri in relazione al recepimento e all'attuazione della direttiva.

Già nel 2017, CERT-EU, il Cybersecurity Emergency Response Team dell'UE stessa, ha pubblicato una propria linea guida raccomandando l'uso di DMARC. CERT-EU è membro della rete europea dei CSIRT che supporta il Gruppo di Cooperazione NIS ed è stata istituita dalla direttiva NIS originale. ENISA, l'Agenzia dell'Unione Europea per la Cybersecurity, è anch'essa membro del Gruppo di Cooperazione NIS ed è incaricata di assistere gli Stati membri nell'attuazione coerente della politica e del diritto dell'Unione in materia di cybersecurity in modo coerente in relazione alla Direttiva NIS. In questa direzione, ENISA e il Gruppo di Cooperazione NIS hanno già prodotto diverse linee guida a beneficio di tutti gli europei, tra cui per le elezioni, le reti 5G, i registri dei nomi di dominio, la segnalazione degli incidenti e la divulgazione delle vulnerabilità.

Sono necessari ulteriori progressi e, sebbene l'email sia insicura per impostazione predefinita, abbiamo tutti gli strumenti necessari, sia tecnici che normativi, per renderla sicura, almeno in Europa. Ciò che manca è un'azione decisiva a livello europeo e nazionale. Quindi, potrebbe ENISA contribuire a promuovere l'adozione di normative sulla sicurezza email? In breve, sì, se ENISA spingesse il Gruppo di Cooperazione NIS a fornire indicazioni chiare e pratiche per soddisfare i requisiti legali sulla sicurezza email, questo potrebbe creare un ambiente di collaborazione tra gli Stati membri in grado di garantire una sicurezza email più forte per tutti i cittadini dell'UE. Lavorando insieme, l'UE potrebbe essere il primo organismo membro a dare l'esempio e a preparare il terreno affinché il resto del mondo segua.