I sondaggi sulla criminalità informatica non ci dicono cosa dobbiamo sapere

Per anni, funzionari governativi, articoli di notizie e società di sicurezza hanno messo in guardia sui pericoli e sull'impatto del crimine informatico. Patrick Peterson, capo ricercatore sulla sicurezza presso Cisco, ha stimato che le perdite ammontano a $ 560 milioni nel 2009. Killian Strauss dell'Organizzazione per la sicurezza e la cooperazione in Europa le ha stimate a $ 100 miliardi all'anno. E nel marzo 2009, Edward Amoroso, chief security officer di AT&T, ha presentato una testimonianza scritta al Comitato del Senato degli Stati Uniti per il commercio, la scienza e i trasporti stimando che il crimine informatico stava generando entrate illecite di circa 1 trilione di dollari all'anno.

Per alcuni ricercatori, quei numeri così diversi suggeriscono che i metodi attuali per calcolare le perdite dei crimini informatici sono così scarsi che in realtà non abbiamo idea di quanto sia grave il problema. E senza buoni dati, dicono, non c'è modo di combatterlo in modo intelligente.

Come può essere? dice Cormac Herley , uno dei principali ricercatori di Microsoft Research, la sua voce si alza per l'incredulità. Come si possono avere stime dello stesso problema che vanno su tre ordini di grandezza?

In effetti, dice Herley, quando ha visto questi numeri ha sentito che non avevano senso. Non solo sono dappertutto sulla mappa, ma alcuni sembrano anche incredibilmente alti. Ad esempio, afferma, le entrate del crimine informatico di $ 1 trilione significano $ 5.000 per ogni adulto statunitense che trascorre del tempo online.

I dati errati hanno conseguenze. Senza numeri, non possiamo prendere una buona politica o decisioni di investimento valide, afferma Herley. Non solo, ma non riusciamo a capire da dove provengano le minacce chiave. I criminali stanno guadagnando la maggior parte dei loro soldi dal key logging? Attacchi di phishing altamente mirati (spear phishing)? Attacchi di forza bruta alle password delle persone? È angosciante, dice.

Herley ha intrapreso uno studio sui metodi utilizzati per calcolare questi numeri e li ha trovati molto carenti. La maggior parte delle statistiche proviene da sondaggi in cui agli intervistati viene chiesto di segnalare se sono stati vittime di un crimine e quanto hanno perso. I sondaggi sono difficili, dice Herley. La sua ricerca ha rivelato una serie di ragioni per cui le indagini sul crimine informatico sono particolarmente difficili.

Gli scienziati hanno metodi piuttosto buoni per rilevare, ad esempio, le intenzioni degli elettori. In tal caso, ti concentri sull'ottenere un buon campione rappresentativo. Le imprecisioni contano, ma alcune in un modo o nell'altro non faranno molta differenza.

Il crimine informatico è tutta un'altra storia. Per prima cosa, i sondaggi sulla criminalità informatica stanno cercando di misurare un numero: quanti soldi sono stati persi. In tal caso, le risposte individuali possono fare un'enorme differenza. Un sondaggio di voto non è sconvolgente se qualcuno che ha effettivamente intenzione di votare democratico dichiara l'intenzione di votare repubblicano. Ma se un intervistato che ha perso $ 50.000 a causa del crimine informatico afferma di aver perso $ 500.000, tutti i calcoli basati su tali informazioni risulteranno completamente sballati.

Ci sono altri problemi. Qualsiasi elettore registrato ha informazioni utili da segnalare. Ma non tutti hanno una storia utile da raccontare sul crimine informatico, il che significa che un piccolo numero di risposte può fare un'enorme differenza. Ad esempio, in un sondaggio del 2006 condotto da Gartner Research, 128 persone su 4.000 hanno affermato di essere state vittime. Herley calcola che il 59% delle perdite provenga dall'1% più alto degli intervistati che sono stati vittime, in questo caso, una sola persona. Ritiene che tali preoccupazioni rendano impossibile fidarsi dei dati provenienti dalla maggior parte delle indagini sulla criminalità informatica.

Comprendere l'impatto di qualsiasi crimine è problematico, afferma Julie Ryan , professore capo nella gestione della sicurezza delle informazioni presso la George Washington University. Tuttavia, afferma Ryan, il crimine informatico presenta problemi particolari perché la maggior parte delle persone non è ben attrezzata per rispondere a domande tecniche al riguardo. Ad esempio, i singoli intervistati potrebbero non essere sicuri di essere stati vittime di un attacco di phishing o, in effetti, se di conseguenza è stato loro sottratto qualcosa. Quindi qui abbiamo un problema, dice Ryan. Potenziale crimine che è potenzialmente non rilevabile, aggravato da uno spazio di destinazione che è per lo più ignorante.

Ad aggravare il problema, è difficile ottenere informazioni imparziali, dice Ryan. Le grandi aziende potrebbero essere riluttanti ad ammettere di essere vittime di crimini informatici, poiché tale ammissione potrebbe far perdere loro clienti. D'altro canto, le società di sicurezza, che spesso conducono sondaggi sul crimine informatico, traggono vantaggio quando le persone prendono sul serio il crimine informatico.

Herley vuole che le aziende e le organizzazioni che conducono sondaggi pubblichino molte più informazioni, rendendo più facile per i ricercatori valutare i loro metodi. Ad esempio, potrebbero pubblicare cifre mediane per il crimine informatico, che non sono così probabili come cifre mediocri o medie che vengano distorte se alcune persone esagerano o si sbagliano.

Herley suggerisce anche che le affermazioni di grandi perdite ricevano un attento esame. Rischi un errore catastrofico, dice.

nascondere