2 Novembre 2020
da Cyber Security - di Alessia Valentini
Come evolvere nella giusta direzione per concretizzare un approccio alla protezione degli assetti nazionali, al Perimetro Cyber e un appropriato assetto capacitivo di competenze.
L’ultima relazione al parlamento emessa ogni anno nel mese di febbraio dall’intelligence italiana, (Sistema per la sicurezza della Repubblica), fotografa tutti gli scenari della minaccia diretti al nostro territorio e ai nostri assetti, riscontrati sull’anno precedente e fornisce un quadro geopolitico di come la minaccia evolva in tutte le sue forme compresa quella Cyber.
Nel documento, accanto al quadro in evoluzione di paesi e crisi in termini di condizione politica economico finanziaria nel confronto e nella competizione fra Stati, alle spinte antisistema, al terrorismo, si affiancano attori statuali che si impongono per la “centralità acquisita dal tema della sovranità tecnologica e digitale e, corrispettivamente, della resilienza nel cosiddetto quinto dominio, rispetto ad un quadro che del dominio cyber attesta la natura di target elettivo e, ad un tempo, di veicolo di manovre ostili di tipo convenzionale”.
Dunque, tutto il quadro geopolitico letto dagli occhi dell’intelligence comprende anche il Cyberspazio (a cui è dedicato “Documento di sicurezza nazionale” a tergo della Relazione) e richiede una lettura multidimensionale di scala globale per supportare il governo italiano e le sue forze di difesa nelle decisioni attinenti agli sviluppi da intraprendere; perché se è vero che “le difficoltà dei sistemi di alleanza a trovare voce e postura univoca rispetto alle molte sfide che ne erodono la coesione”, è altrettanto vero che le direzioni di investimento devono consentire al Paese la garanzia di corretta postura di sicurezza per la difesa di tutto il territorio nazionale. Tali riflessioni e decisioni richiedono di estendere il ragionamento e gli investimenti in relazione al perimetro di sicurezza cibernetica, di cui ricordiamo l’uscita del decreto attuativo proprio qualche giorno fa dal titolo Regolamento in materia di perimetro di sicurezza nazionale cibernetica.
In materia Cyber in particolare la relazione dell’intelligence specifica come “In ragione dell’elevata disponibilità di tool offensivi e della loro estrema pervasività e persistenza, l’arma cibernetica si è confermata, anche nel 2019, strumento privilegiato per la conduzione di manovre ostili in danno di target, sia pubblici che privati, di rilevanza strategica per il nostro Paese”. Sono evidenziate campagne di spionaggio digitale, hacktivismo, e “campagne digitali di matrice statuale, il cui leggero calo rispetto al 2018 potrebbe essere ascritto anche alle aumentate capacità di offuscamento degli attori statuali. Sul fronte della minaccia ibrida caratterizzatasi, anche nel 2019, per il prevalente impiego di strumenti cyber per indebolire la tenuta dei sistemi democratici occidentali”. Su questo ambito la Relazione al Parlamento specifica come si stia “giocando a livello globale una partita strategica nella quale sicurezza cibernetica e sicurezza nazionale sono indissolubilmente legate, la mancanza di autonomia tecnologica, che caratterizza il mercato digitale italiano ed europeo in genere, ha determinato l’esigenza di prevedere meccanismi di tutela che facciano leva contestualmente su screening degli investimenti e screening tecnologico. Il nostro Paese ha dunque adottato un approccio basato su parametri oggettivi, individuando strumenti idonei a fronteggiare i rischi per la sicurezza nazionale.” Il riferimento riguarda il Golden Power esteso al 5G, all’istituzione del Perimetro di sicurezza nazionale Cibernetica e alla costituzione presso il DIS del CSIRT italiano (Computer Security Incident Response Team).
Per comprendere al meglio il legame fra i temi geopolitici, l’intelligence e la difesa e capire come prepararsi alle sfide future, Cyber Security ha intervistato la Professoressa Elisabetta Trenta ex ministro della Difesa italiana ed oggi Professore alla Link Campus University.
L’intervista
La geopolitica, l’intelligence e il Cyberspazio sono oggi intimamente legati tanto che la Cyberintelligence è una disciplina relativamente nuova e antica allo stesso tempo. Può spiegarci l’importanza di questa disciplina?
Per capire il legame fra i tre ambiti si deve partire dai significati delle parole. Esistono tante definizioni di geopolitica, ma riassumendo potremmo dire che è la disciplina che lega le caratteristiche di un luogo fisico e il rapporto fra spazio e politica di quel luogo. Con la parola “intelligence” si indica l’insieme degli organismi che si occupano di intelligence ed anche la “funzione” stessa cioè quell’insieme di operazioni grazie alle quali si fornisce ad un decisore la conoscenza attraverso collezione e acquisizione di dati con analisi delle informazioni fino ad arrivare alla conoscenza di uno spazio e di tutto quello che si muove in quello spazio. Lo spazio è quello fisico e geopolitico, per il quale, si acquisiscono informazioni con vari strumenti e tecniche ed anche tecnologie. Il Cyberspazio è invece oggi il quinto dominio della conflittualità, uno spazio virtuale creato dall’uomo che sta diventando sempre più importante di pari passo alla progressiva pervasività delle telecomunicazioni. Con il cyberspazio crescono le interconnessioni a tutti i livelli: politiche finanziarie, economiche. Il Cyberspazio si caratterizza per non avere confini (in teoria), in sostanza non ha connotazione geografica. In relazione a questo “non luogo” si parla di cybergeopolitica e di cyberdiplomacy, ma lo spazio in cui ci si muove è virtuale anche se produce conseguenze sul mondo reale. Anche nell’intelligence le informazioni acquisite riguardano minacce non più solo fisiche, bensì minacce più pericolose perché provengono dal cyberspazio e si pongono fuori dai confini fisici.
Che ruolo può giocare l’Italia nello scacchiere mondiale su questi temi?
In Italia è necessario sviluppare la disciplina della Cyber intelligence e l’uso di strumenti digitali adatti per fare questo lavoro di raccolta e analisi di informazioni in campo digitale, sviluppando competenze avanzate, molto spesso espresse non solo da analisti con esperienza, ma più spesso da giovani e meno “istituzionalizzate” figure. Questo percorso impone un cambio di mentalità e di organizzazione a livello istituzionale di un Paese che vuole crescere nel comparto sicurezza. Per l’Italia esser in grado di svolgere cyberintelligence e cyberdefence è strategico, in relazione alla protezione del sistema paese, alla protezione dell’economia e del sistema aziendale ma anche per la sicurezza dello Stato, dato che le minacce cyber attraverso disinformazione e fake news, arrivano anche a manipolare le masse e i governi.
Quali sono le minacce da contrastare?
Chi attacca costruisce situazioni semi reali credibili: ad esempio le operazioni di disinformazione sul Covid hanno una finalità di influenza geopolitica per provocare destabilizzazione, per cambiare gli equilibri fra governi e addirittura tentare di modificare l’assetto delle alleanze. La disinformazione è la minaccia più pericolosa per gli stati democratici ma naturalmente anche le operazioni di Cyber warfare sono insidiose e possono provocare seri danni con l’aggravante della difficoltà nella attribuzione (cioè la precisa serie di evidenze che indica come mandante un certo Stato Nazione n.d.r.). Ecco perché la cyberintelligence è sempre più importante: per raccogliere informazioni, riconoscere la minaccia e intercettarla prima che arrivi a compimento.
Come intervenire concretamente?
Perché questo comparto possa lavorare pienamente è necessario e opportuno ragionare sulla sua riorganizzazione che deve partire dalle competenze e dalla conoscenza più pervasiva possibile dei pericoli. Troppo spesso il punto di ingresso della minaccia, di un attacco è indirizzato al comune utente e in questo senso la cultura della sicurezza dovrebbe essere maggiormente perseguita mediante formazione e cyber awareness. Proprio per questi motivi mi sono battuta durante il mio mandato istituzionale perché nella Nato fossero inserirete le spese nell’ambito del 2%, perché anche attraverso un attacco ad una rete civile si possono creare danni paragonabili a quelli che si possono avere con un attacco armato. Si pensi ad un attacco alle sale di controllo degli aeroporti, ad un ospedale (come il recente caso tedesco che ha provocato la morte di una persona ) o gli attacchi “cigno nero” che possono interessare i sistemi elettrici. L’idea alla base era che anche gli investimenti per assicurare la resilienza cibernetica a livello nazionale devono essere comprese nel 2% del Pil che i paesi della Nato hanno deciso di riservare alle spese per la difesa.
Può raccontarci il ruolo che la Difesa Italiana ha e avrà secondo l’impostazione delineata dal nuovo decreto sul perimetro di sicurezza cibernetica, ovvero, potranno le FFAA, anche nel dominio Cyberspazio, fornire quel contributo al ruolo primario di difesa dei “confini” o delle infrastrutture critiche nazionali?
La difesa italiana è un esempio di protezione delle reti: ha esperienza nel farlo ed ha una organizzazione per farlo. Nel NSC (Nucleo Sicurezza Cibernetica n.d.r.) la difesa si è posta spesso come modello a cui guardare per l’organizzazione di un modello nazionale. Il progetto c5isr che avevo delegato al Sottosegretario Angelo Tofalo ne è un esempio. Un esempio che procede e che ha trovato compimento nel COR perché le buone idee non si fermano. Anche la relazione più stretta con la Cyberchallgence nazionale che avevamo avviato a Chiavari e che poi è proseguita quest’anno con il Reparto Trasmissioni dell’esercito è un esempio di questo tipo. Volevo che si stringesse il legame e anche questa era una iniziativa che io ritengo strategica per selezionare il personale di cui si ha bisogno. Credo si dovrebbe fare un o sforzo ulteriore nella Difesa per inserire queste figure di personale che hanno delle caratteristiche tecniche molto peculiari e che dovrebbero avere un addestramento differenziato. Ma per questo obiettivo è necessario effettuare qualche cambiamento nella direzione di crescita di certe competenze strategiche.
L’Italia non deve essere vulnerabile perché la vulnerabilità di un paese incide sulla vulnerabilità dell’alleanza atlantica e della sua capacità di protezione. Quindi ogni paese deve avere la migliore difesa possibile. Dobbiamo anche considerare il tema tecnologico. Nel campo cyber dovremmo lavorare con prodotti e tecnologie italiani perché dovrebbero essere tecnologie proprietarie e su cui poter investire. In questa direzione va lo sforzo per realizzare il CVCN nazionale che dovrà verificare le condizioni di sicurezza e l’assenza di vulnerabilità di prodotti, apparati, e sistemi destinati ad essere utilizzati per il funzionamento di reti, servizi e infrastrutture strategiche, di ogni operatore di servizi essenziali di interesse nazionale.
Secondo la sua esperienza cosa sarebbe ancora ulteriormente necessario prevedere a livello di Cybersecurity e Cyber intelligence nella Difesa italiana per permettere alle nostre FFAA un sempre maggiore contributo a livello nazionale e internazionale?
È molto semplice: Mancano i soldi. Le richieste che formulai erano 11,1 milioni di euro nel 2020, 28 milioni di euro nel 2021-2023 e ulteriori negli anni seguenti per circa 525 milioni in sedici anni (Rif. Documento programmatico pluriennale per la Difesa per il triennio 2019-2021 ). Dopo tute le dichiarazioni sulla Cybersecurity ottenni 1 milione aggiuntivo per il triennio 2019-21. Si parla di poche risorse se paragonato con la Francia che ha investito 1,6 miliardi di euro per il periodo 2019-2025, o con l’Inghilterra che investe mediante l’anno circa 800 milioni di sterline. Facciamo molti discorsi bellissimi ma le aspirazioni cadono su budget non appropriati. Sarebbe necessario un maggior investimento dello Stato nelle imprese anche per generare nuove capacità e per dare un certo ottimismo verso la ripresa. Le spese per la sicurezza in Italia costituiscono una nota dolente e dovremmo investire di più anche in formazione e mezzi per la formazione per accrescere la cultura alla sicurezza, combattendo corruzione e concussione che a livello internazionale non aiutano la nostra reputazione.