Tra guerre di rete e cybersecurity. Intervista a Carola Frediani

Carola Frediani è giornalista ed esperta di sicurezza informatica. È autrice di Guerre di rete e di #Cybercrime. Attacchi globali, conseguenze locali. Cura una newsletter di notizie cyber: ci si iscrive qui.

Nel 2016 la NATO ha riconosciuto formalmente il cyberspazio come “quinto dominio” di battaglia, ed entro il 2023 l’Organizzazione dovrebbe dotarsi di un centro militare cibernetico pienamente operativo. Tuttavia, l’impressione è che ancora si faccia fatica a considerare le “guerre di rete” come un fenomeno reale. Quanto sono diffuse, invece?
Che oggi intrusioni e attacchi informatici siano all’ordine del giorno, e abbiano la capacità di avere un forte impatto su individui, aziende, organizzazioni e Stati è ormai un dato di fatto accettato da tutti, e a tutti i livelli. Quello su cui ancora si fatica è riuscire a distinguere i diversi fenomeni; a elaborare delle strategie di risposta efficaci e coordinate (ad esempio fra Stati o fra aziende e Stato); a investire davvero nella prevenzione, mitigazione e gestione del rischio, perché finché non arriva un danno il fenomeno viene costantemente sottovalutato; a progettare sistemi, servizi, app, prodotti con la sicurezza come una priorità e fin dalla fase progettuale (perché spesso non c’è un incentivo economico a farlo, anzi viene visto come un costo o un peso che rallenta l’operatività e il business). 

Il problema è che abbiamo di fronte uno scenario stratificato e mutevole. Abbiamo avuto diversi casi di attacchi sponsorizzati da Stati che hanno avuto come obiettivo infrastrutture critiche, centrali elettriche, sistemi industriali, e se non si è andati oltre è solo per una sorta di auto-limitazione degli stessi attaccanti; oppure attacchi di matrice statale che hanno danneggiato il funzionamento di infrastrutture critiche come effetto collaterale (Wannacry). Abbiamo visto cyberattacchi legati a veri e propri conflitti sul campo (ad esempio in Ucraina), che si sono propagati fuori da quei confini danneggiando di conseguenza moltissime organizzazioni (NotPetya). Abbiamo un cyberspionaggio industriale ed economico che persiste da anni, e che viene usato come leva competitiva da parte di alcuni Stati. C’è un cyberspionaggio ad personam, che colpisce dissidenti, giornalisti, avvocati, politici. Abbiamo una cybercriminalità sempre più organizzata che mira a fare soldi, si muove con logiche di business, si diversifica e specializza, e muta in continuazione i propri target. E a volte questa cybercriminalità ha una relazione dubbia e ambigua con le politiche cyber di alcuni Stati. 

In tutto questo c’è ora un ampio dibattito su come reagire ad attacchi considerati di matrice statale. C’è una forte pressione da parte di alcuni ambienti per rispondere ad attacchi informatici anche con azioni fisiche, militari, il che potrebbe facilmente portare ad escalation. Inoltre se non si trova il modo di avere un sistema condiviso, coordinato e trasparente di attribuzione di attacchi di tipo statale, il rischio è che una simile decisione si presti a essere abusata mancando la possibilità di un controllo democratico.

Quanto è diventato importante per gli Stati investire nella cybersicurezza? Qual è la situazione in Italia?
Gli Stati devono investire soprattutto nella prevenzione, nella difesa, nella messa in sicurezza e in cultura digitale. Devono introdurre leggi e incentivi per progettare e mettere sul mercato prodotti sicuri e in grado di proteggere la privacy. Purtroppo questo genere di investimenti sono ancora carenti e laddove ce ne sono si orientano verso tecnologie di attacco e controllo.

In Italia nel settore privato la spesa in ambito sicurezza/privacy è aumentata negli ultimi anni, ci sono stime che parlano di un mercato di oltre 1 miliardo nel 2018, anche se trainata da grandi imprese e adeguamento al GDPR, il Regolamento europeo sulla privacy; eppure più di 4 aziende su 10 dicono che non sarebbero in grado di identificare un attacco sofisticato (rapporto EY).

Per quanto riguarda il settore pubblico, ci sono stati molti sforzi nell’ammodernare e riprogettare i vari enti statali che si occupano di sicurezza, le loro relazioni e funzionamento, cui non mi pare sia seguito però un adeguato investimento economico.