Singapore amplia il perimetro della cybersicurezza: cosa cambia per le infrastrutture critiche

Rilevamento delle minacce su più segmenti della rete

I proprietari delle CII dovranno collaborare con la Cyber Security Agency of Singapore, l'autorità nazionale per la cybersicurezza, per implementare sistemi di rilevamento delle minacce sviluppati localmente su tutti i segmenti di rete pertinenti. L'obiettivo è aumentare la visibilità e individuare attività malevole non soltanto all'interno del sistema formalmente classificato come CII, ma anche nelle parti connesse dell'ambiente operativo.

L'estensione è importante perché un aggressore può sfruttare un sistema meno protetto come punto d'ingresso verso un'infrastruttura critica. Singapore ha osservato che gli attori delle minacce prendono sempre più spesso di mira sistemi non CII proprio per questo motivo.

La cybersicurezza diventa una responsabilità dell'intero consiglio

La revisione sposta la responsabilità oltre il reparto IT o il singolo dirigente incaricato. L'intero consiglio di amministrazione e il senior management dovranno supervisionare il rischio informatico e la capacità di recupero dell'organizzazione.

I consigli dovranno mantenere un quadro documentato di resilienza informatica che definisca:

• la tolleranza dell'organizzazione al rischio cyber;
• le misure per mitigare e gestire tale rischio;
• eventuali strumenti di trasferimento del rischio; e
• le priorità e le capacità di ripristino.

Il quadro dovrà essere riesaminato almeno una volta all'anno.

In questo modo la resilienza informatica diventa un compito ricorrente di governance, non un adempimento da completare una sola volta. Ai consiglieri viene inoltre assegnato un ruolo più chiaro nel decidere quale livello di rischio l'organizzazione sia disposta ad accettare e come mantenere operativi i servizi dopo un incidente grave.

Più controlli sui sistemi interconnessi

I proprietari delle CII dovranno sorvegliare i sistemi che si collegano, comunicano o forniscono supporto all'infrastruttura critica. Le nuove disposizioni richiedono anche un'architettura di rete più solida, una gestione rafforzata del monitoraggio e del rilevamento e piani completi di esercitazione per rispondere agli incidenti in modo coordinato.

Sul piano pratico, gli operatori dovranno mappare in modo più completo le proprie dipendenze. Anche i sistemi esterni alla designazione formale di CII potrebbero richiedere controlli più stringenti se offrono un percorso verso i servizi critici o possono compromettere il ripristino dopo un attacco.

Cyber Trust Mark di livello 5 per i sistemi di supporto

Entro la fine del 2027, i proprietari delle CII dovranno ottenere la certificazione Cyber Trust Mark (CTM) di livello 5 per i sistemi non CII sotto il loro controllo che supportano le attività o i servizi aziendali. Il requisito estende quindi l'assicurazione di sicurezza oltre i sistemi formalmente classificati come infrastrutture critiche.

Il livello 5 è il più alto dei cinque livelli del framework Cyber Trust di Singapore. Il programma aggiornato comprende ambiti come la cybersicurezza tradizionale, la sicurezza cloud, la sicurezza delle tecnologie operative e la sicurezza dell'intelligenza artificiale.

L'obiettivo è ridurre il divario tra un sistema CII altamente protetto e l'infrastruttura aziendale circostante, che potrebbe condividere credenziali, strumenti di amministrazione, reti o procedure di ripristino.

Perché Singapore sta inasprendo le regole

L'intelligenza artificiale riduce i tempi per reagire

Secondo la CSA, il codice aggiornato è pensato per affrontare le minacce degli APT e gli attacchi potenziati dall'intelligenza artificiale. L'AI può aiutare gli aggressori ad agire con maggiore velocità, portata e sofisticazione, aumentando la pressione sulle organizzazioni affinché rilevino prima le attività sospette e reagiscano sull'intero ambiente operativo, anziché affidarsi soltanto a difese perimetrali.

La risposta normativa non consiste quindi nell'aggiungere un singolo strumento tecnico. Singapore combina rilevamento, governance, certificazione ed esercitazioni per consentire agli operatori di identificare le minacce, prendere decisioni rapidamente e ripristinare i servizi critici se la prevenzione dovesse fallire.

Il caso UNC3886 ha evidenziato il valore strategico delle telecomunicazioni

Nel 2025 la campagna attribuita a UNC3886 ha colpito i quattro principali operatori di telecomunicazioni di Singapore. Le autorità hanno descritto l'attività come una campagna deliberata, mirata e ben pianificata condotta da un attore dotato di capacità avanzate.

La CSA ha identificato UNC3886 come un gruppo APT sponsorizzato da uno Stato, capace di usare tecniche sofisticate, tra cui approcci living off the land e vulnerabilità zero-day, contro obiettivi strategici di alto valore come le infrastrutture critiche.

Singapore ha risposto con Operation CYBER GUARDIAN, un'operazione coordinata che ha coinvolto agenzie pubbliche e società di telecomunicazioni. Le autorità hanno dichiarato di aver contenuto l'incidente senza interruzioni dei servizi telefonici e senza trovare prove di una compromissione dei dati dei clienti.

L'assenza di un'interruzione dei servizi non rende l'episodio meno significativo per gli altri settori. Al contrario, mostra perché telecomunicazioni, energia, sanità, finanza, trasporti e altri servizi essenziali siano considerati obiettivi strategici, e perché Singapore stia estendendo i controlli ai sistemi e ai fornitori che circondano le CII.

Cloud e fornitori terzi: il prossimo livello di controllo

Singapore prevede di introdurre nella seconda metà del 2026 un Cybersecurity Code of Practice for Cloud Services separato e giuridicamente vincolante. Il codice dovrebbe disciplinare l'implementazione, il funzionamento e la gestione sicura dei sistemi CII ospitati in ambienti cloud.

La CSA ha collaborato con AWS, Google Cloud e Microsoft Azure alla definizione di indicazioni specifiche per ciascun provider, relative alle configurazioni appropriate e all'impiego delle funzionalità di sicurezza native del cloud.

Le scadenze di certificazione riguardano anche la filiera della cybersicurezza:

• gli auditor delle CII dovranno raggiungere il CTM di livello 5 entro la fine del 2026;
• i fornitori autorizzati di penetration test e di servizi di monitoraggio per i centri operativi di sicurezza dovranno raggiungere il CTM di livello 3 entro la fine del 2026;
• i proprietari delle CII dovranno ottenere il CTM di livello 5 per i sistemi di supporto pertinenti entro la fine del 2027.

Il principio di fondo è chiaro: la sicurezza di un operatore critico dipende non solo dai suoi controlli interni, ma anche dalle organizzazioni che ne verificano, monitorano, testano e ospitano i sistemi.

Cosa non è ancora definito

I requisiti aggiornati per le CII sono stati pubblicati dalla CSA, ma gli obblighi dettagliati del codice separato dedicato al cloud sono ancora in fase di elaborazione. Le informazioni disponibili indicano la tempistica prevista e l'ambito generale delle nuove regole, mentre non sono stati ancora specificati integralmente i requisiti per provider cloud, subappaltatori e accordi di responsabilità condivisa.

Per gli operatori CII, la priorità immediata è quindi valutare l'intera catena delle dipendenze: infrastrutture formalmente designate, sistemi connessi, carichi di lavoro cloud, ambienti di ripristino, fornitori e servizi di sicurezza esternalizzati.

La direzione della politica di Singapore è già evidente: il confine da proteggere non è più soltanto il sistema che porta l'etichetta CII, ma l'intero ecosistema operativo.