Per affrontare il tema della cybersecurity occorre fin dall’inizio ricordare che la sicurezza informatica non è un prodotto ma un processo[1]. Solo così si potrà comprendere come, per raggiungere un livello adeguato di sicurezza, sarà necessario adottare delle normative e delle policy (approccio olistico alla cybersecurity), e non fare affidamento ad una soluzione tecnica che pure sarebbe pensata per portare sicurezza.

Le normative europee in campo di cybersecurity sono state di recente oggetto di intervento da parte della Network and Information Security Directive (Direttiva NIS), adottata dal Parlamento Europeo il 6 luglio 2016 e che è entrata in vigore ad agosto dello scorso anno, e dal General Data Protection Regulation (GDPR – Regolamento UE 2016/679) con cui la Commissione Europea intende rafforzare e unificare dal 2018 la protezione dei dati personali entro i confini dell’Unione. Un’analisi sommaria delle normative europee è ad oggi ancora prematura da svolgere, dal momento che gli Stati Europei sono ancora chiamati a lavorare nei prossimi mesi per dotarsi delle “strutture organizzative minime” previste dalle due normative (es. Documento di Strategia nazionale e privacy officer, su tutti). Ciò porterà ad un automatico allineamento delle normative nazionali in Europa per quanto riguarda la sicurezza informatica e ad avere procedure di tutela dei dati personali il più possibile dialoganti tra loro. Si vuole perseguire il duplice scopo di:

• assicurare un livello di tutela minima (in realtà molto elevato);
• consentire una maggior interazione tra le diverse realtà statuali intra-UE e anche nelle relazioni extra-UE, dal momento che tutte le imprese straniere che vorranno interagire con il sistema UE ne dovranno rispettare la (uniforme) normativa.

Uno dei punti critici che la dottrina sottolinea è il fatto che il livello di protezione che gli Stati europei sono chiamati ad assicurare nella cybersecurity e nella protezione dei dati personali è “lo stato dell’arte”. Si tratta senza dubbio di un obiettivo ambizioso, ma la portata del problema cybersecurity è tale che non può che essere affrontato con la massima priorità e con un approccio finalmente collaborativo tra tutte le istituzioni e i soggetti che compongono l’Unione europea, tali sono la varietà degli attori internazionali (pubblici e privati) e l’ampiezza delle possibili minacce alla sicurezza di dati, persone e imprese.

Nello scenario attuale permangono ancora significative differenze con gli Stati Uniti. Si tratta di differenze strutturali che si esplicano in standard di protezioni più bassi per il versante americano, ma sono anche sistemiche, come nel caso della incomprensibile difficoltà a comprendere quali siano le norme interne, i regolamenti e le competenze delle molteplici Agenzie statunitensi (16) che hanno in qualche modo a che fare con la cybersecurity[2].

Queste differenze, negli ultimi anni, stanno assumendo il peso di vere e proprie divergenze di vedute sul problema della cybersecurity. Manca, ad oggi, un serio tentativo di conciliazione che porti verso un concreto bilanciamento degli interessi in gioco, e questo perché ancora oggi gli USA mantengono uno straordinario primato tecnologico per quanto riguarda tutto ciò che ruota intorno alle reti di comunicazione globali che non intendono condividere con altri competitors economici (come la stessa UE), sia perché una grossa parte di questo primato è dovuto al peso specifico delle grandi multinazionali dell’IT che sono in larga parte Us-based. A partire dal caso Snowden è diventato evidente come la concentrazione di questi dati in poche mani private, unito alle capacità di intervento del Governo USA, esponga i dati sensibili dei cittadini e delle imprese europee a pericoli di spionaggio elettronico per i più diversi fini.

Le priorità di USA e UE sono difformi, così come difformi sono le percezioni delle alleanze a livello globale e dei problemi da risolvere con la massima priorità[3], e soltanto gli sviluppi dell’Amministrazione Trump potranno dire se queste divergenze si aggraveranno o troveranno una composizione. In un’ottica di sicurezza informatica è senz’altro fondamentale che le normative interne all’Unione europea vadano verso una maggior convergenza tra loro, in quanto solo in questo modo si potrà fare massa critica nei confronti degli Stati Uniti e bilanciare la loro ingerenza, rappresentando anche un riferimento credibile per tutti coloro che, al momento, stanno cercando anch’essi di ridurre la propria dipendenza dal controllo infrastrutturale statunitense (per citare a titolo di esempio, Brasile, Cina, Canada).

Non da ultimo, le complessive normative europee che sono state messe in campo negli ultimi mesi in tema di cybersecurity sono state disegnate anche per rispondere al problema della perdita di posti di lavoro che l’uso crescente della tecnologia per le attività produttive comporta. A fronte di posti di lavoro che si perdono man mano che avanza il processo di tecnologizzazione delle aziende, nuovi se ne creano attraverso lo strumento della politica legislativa (in questo caso europea). Si tratta di numeri non risolutivi, ma la direzione è senz’altro positiva tenuto conto che sono posti di lavoro ad elevata professionalizzazione e specializzazione (es. privacy officer), che costituiscono soltanto la prima di una serie di professioni legate alla crescita del mondo digitale connesso con la realtà che alcuni chiamano «mondo ibrido», altri «interrealtà»[4].

Governare il processo inarrestabile dell’«interrealtà» costituisce uno dei principali compiti del legislatore del futuro, che non avrà (necessariamente) le competenze tecniche per prendere parte a questi fenomeni, ma che dovrà comunque prendersi lo spazio per regolarli. Sarà chiamato a farlo sempre più in sinergia con il mondo dell’economia e in un contesto in cui sarà fondamentale importante disporre di informazioni precise e il più possibile riservate[5], sia in campo pubblico che in campo privato (si pensi alla protezione del know-how industriale, che rappresenta il 1° target degli attacchi informatici verso i Paesi occidentali).

In tutto questo la cybersecurity riveste un ruolo fondamentale, dal momento che il mondo dell’«interrealtà» verso cui stiamo andando dovrà innanzitutto avere requisiti di sicurezza tali da essere percepito come affidabile e positivo, pena una riduzione delle connessioni tra persone e Stati e il formarsi di nuovi “muri”, anche solo percepiti e rappresentati.

[1]Cfr. Cyber Crime Conference 2017 organizzata da Tecna Editore, Roma 11 aprile 2017

[2]Cfr. Stefano Mele, “I principi strategici delle politiche di cybersecurity”, disponibile sul sito: https://www.sicurezzanazionale.gov.it/sisr.nsf/approfondimenti/principi-strategici-delle-politiche-di-cyber-security.html (link consultato in data 12/06/17).

[3]Si pensi, ad titolo d’esempio, al caso del Medio Oriente, rapporti con la Russia, fino ad arrivare al clima e alla COP21.

[4]Cfr. Giuseppe Riva, “Interrealtà: reti fisiche e digitali e post-verità”, il Mulino 02/2017.

[5]La riforma degli apparati di informazione e sicurezza della Repubblica, varata nel 2007, va in questa direzione di avvicinare il sistema italiano al modello di un moderno sistema di “intelligence democratica”, vicina ai riferimenti europei (in primo luogo il modello non-ministeriale britannico), senza perdere le caratteristiche positive proprie dell’esperienza italiana.

* Gabriele Suffia è praticante avvocato attualmente iscritto al master di Geopolitica e sicurezza globale dell’Università La Sapienza di Roma, è cultore della materia presso la cattedra di Informatica giuridica dell’Università degli Studi di Milano e socio fondatore del Circolo ACLI Geopolitico a Milano.

L'articolo Cybersecurity: quali normative per affrontare la sfida del futuro? proviene da MondoDem.

Questa esperienza francese ci ha insegnato due cose: la prima è che piani coordinati e pianificati per influenzare le tornate elettorali delle democrazie occidentali esistono, e sono riconducibili con buona sicurezza agli ambienti dell’estrema destra americana ed europea e probabilmente perfino al governo russo. La seconda è che non funzionano. O, quantomeno, funzionano poco. E se quindi oggi Marine Le Pen può dire di avere ottenuto un terzo dei voti dei francesi forse le ragioni sono altre.

Quest’ultima affermazione può sembrare ardita, forse azzardata, e in parte lo è. Ma cerchiamo di analizzarla meglio. Prima di tutto è necessario dire che l’esistenza di una rete di siti internet di dubbia origine e proprietà a cui è legata una altrettanto dubbia rete di account social (soprattutto twitter) che ne spargono i contenuti è conclamata ormai da tempo. Una fitta rete composta da centinaia di siti web in diverse lingue che si ispirano tutti allo stesso tipo di teorie cospirative, che attingono alle stesse fonti e che spesso si linkano a vicenda gli articoli è difficilmente casuale. Se poi aggiungiamo la presenza di gruppi di utenti reali e centinaia di bot che in modo coordinato fanno girare e amplificano nello stesso periodo di tempo le stesse informazioni, slogan e articoli la presenza di una organizzazione reale e “senziente” appare piuttosto certa. Appare evidente ormai anche il ruolo avuto da compagnie di comunicazione come Cambridge Analytica sia nella campagna in favore della Brexit, sia in quella per l’elezione di Donald Trump. Infine, sia gli hack avvenuti a danno di singoli candidati come Hillary Clinton e Emmanuel Macron sia quelli che hanno colpito agenzie governative americane come il recente Vault 7 hanno in comune almeno due elementi: l’enorme mole di informazioni rese pubbliche nello stesso momento e la conseguente impossibilità di verificarle in tempi rapidi. Questi elementi però hanno uno scopo preciso: da una parte sfruttare la “fretta” giornalistica di pubblicare una notizia, e pubblicarla prima di chiunque altro. La necessità di verifica si scontra perciò con l’alto livello di competitività e la sempre maggiore necessità di immediatezza presenti nell’industria giornalistica. Dall’altra parte questi elementi sfruttano la crescente “gossipizzazione” dell’industria mediatica, come spiegato bene in questo pezzo.

C’è però una differenza abbastanza chiara che emerge dalla vicenda dell’hack avvenuto a danno dello staff di Emmanuel Macron che si può riassumere in una parola: sfacciataggine. In passato tempistiche e modalità degli hack che colpivano un candidato o un governo erano almeno all’apparenza casuali, solo remotamente legati a certe vicende elettorali. La Clinton non fu colpita dalla pubblicazione delle sue mail private a ridosso dell’elezione presidenziale ma molto prima, durante le primarie, mentre Vault 7 è stato pubblicato addirittura dopo l’elezione di Trump. Ovviamente già allora si riscontrarono elementi comuni: in primis, il fatto che si vada a colpire solo un candidato e non gli altri, e spesso il fatto che se ne sia parlato molto in anticipo rispetto all’appuntamento elettorale ha favorito la ripetizione massiccia di rivelazioni più o meno esatte (come quelle sulle famose mail della Clinton), elemento che certamente ha un ruolo nel solidificare alcune convinzioni.

Nel caso del #MacronLeaks, però, tempistiche e modalità sono risultate talmente ovvie da essere forse controproducenti. 9 giga di informazioni relative alla campagna di un solo candidato – già peraltro nel mirino di altre notizie false negli ultimi mesi – rilasciate a poche ore dall’inizio del periodo di silenzio elettorale imposto dalla legge francese durante il quale Macron e il suo staff non avrebbero potuto difendersi a mezzo stampa. Una mole di informazioni inverificabili all’interno delle quali avrebbe potuto essere stati aggiunti documenti più o meno contraffatti le cui dimensioni chiaramente miravano a sfruttare le caratteristiche sopradescritte dell’industria mediatica. In passato gli hack avevano avuto come obiettivo principale “dichiarato” quello dell’assoluta trasparenza, mentre il messaggio politico rimaneva solo implicito, per quanto chiaro, a favore di questo o quel candidato. Nel caso del MacronLeaks questo equilibrio è cambiato: il messaggio principale era uno solo, e senza veli particolari: “Domani non votate Macron, votate Le Pen”.

Ed è forse questa “sfacciataggine” che ha reso il messaggio più debole, unita al rifiuto dei media francesi di cadere nella dinamica in cui invece erano sempre caduti i media americani, favorendo una “contro-reazione” che ha infine portato l’intera vicenda a esaurirsi, almeno per ora, solamente in rete. C’è chi specula anche sul fatto che questa volta lo staff di Macron fosse preparato all’eventualità dopo l’esperienza di Hillary Clinton, e avesse attuato innovative contromisure. Ma forse l’elemento di cui più bisogna tenere conto è il fatto che questa volta non si trattava, come nel caso delle elezioni americane o del referendum sulla Brexit, di una corsa giocata intorno a una distanza di 2-3 punti percentuali. Specialmente dopo l’ultimo dibattito Macron aveva oltre 20 punti di distacco su Marine Le Pen e proprio per questo il MacronLeaks è apparso a molti più un tentativo disperato più che una sofisticata azione di cyber warfare.

Questa vicenda, e le sue differenze col passato, servono forse a darci soprattutto l’idea del fenomeno delle cosiddette “fake-news” in politica e della reale dimensione del problema. Come ha ammesso anche Carole Cadwalladr, autrice dell’inchiesta sul ruolo avuto da Cambridge Analytica nella campagna per la Brexit, perfino le più sofisticate tecniche di condizionamento dell’opinione hanno effetto solo su un numero relativamente ristretto di elettori, commisurabile, nel caso della Gran Bretagna, in qualche centinaio di migliaia. Un nulla quando hai 20 punti di vantaggio ma certamente potenzialmente determinanti quando la partita di gioca su meno di un milione di indecisi. Ma è proprio questo il punto: se l’uscita dall’Unione Europea o l’elezione di un presidente come Donald Trump sono arrivati a doversi giocare sul filo delle centinaia di migliaia di voti forse il problema va ben oltre le fake news e i condizionamenti esterni, ma ha a che fare con fattori molto più strutturali a un sistema giunto a sentirsi sull’orlo dell’abisso ormai a ogni tornata elettorale.

Insomma, parlare di fake-news e condizionamenti esterni è giusto, perché il problema esiste e non farlo vuol dire mettere la testa sotto la sabbia. Ma forse imbrigliare internet in leggi e regolamenti che ne limitano la libertà di utilizzo in nome delle fake-news è altrettanto irresponsabile. Così come lo è pensare che tutti i mali delle democrazie occidentali siano appuntabili a qualche decina di bot su Twitter.

L'articolo Il flop dei MacronLeaks e la bolla delle Fake News proviene da MondoDem.

Se l’economia è uno dei settori che ha risentito maggiormente dell’avvento della società dell’informazione, anche il settore della difesa ne è stato profondamente influenzato. Nato in ambienti militari come mezzo di comunicazione in caso di emergenza, internet è entrato in maniera organica nella dottrina militare statunitense già negli anni ’90 con la cosiddetta “Revolution in Military Affairs”, che ha teorizzato e sistematizzato l’informatizzazione dello strumento militare, ormai net-centrico nella fase di raccolta ed elaborazione dei dati sensibili, nonché razionale e discrezionale nell’attività di “targeting”.

Fatta questa premessa, non possiamo non notare come in campo strategico il contesto attuale sia comunque caratterizzato da un’enorme sproporzione tecnologica e dottrinale tra i paesi NATO (e in particolare gli Stati Uniti) e quelli che possono essere considerati i loro principali avversari di portata strategica, cioè Russia e Cina. Infatti, al netto delle politiche di ammodernamento attualmente in corso a Mosca e a Pechino, nonché della capacità di esprimere una volontà politica tale da sostenere un intervento militare prolungato di tipo convenzionale, il divario tra Occidente ed Oriente rimane talmente grande da poter essere efficacemente colmato solamente attraverso modalità di ingaggio non convenzionali, che si esplichino spesso in maniera preventiva e su una moltitudine di piani, da quello militare a quello politico, passando per la dimensione informatica e comunicativa.

È pertanto in questo quadro di riferimento che andrebbe inserito e interpretato, almeno da un punto di vista puramente strategico, l’attuale dibattito sugli effetti politici di quelle che vengono ritenute, da più fonti, vere e proprie campagne di disinformazione sul web e che tanto sembrano preoccupare le cancellerie occidentali, specialmente dopo il per certi versi sorprendente risultato delle recentissime elezioni presidenziali negli Stati Uniti.

Infatti secondo numerosi osservatori, per altro trasversali allo spettro politico, tale risultato non sarebbe stato possibile se prima non fosse stato preceduto da quella che viene considerata una vera e propria campagna di disinformazione, non solo montata ad arte dal candidato poi risultato vincitore, ma apparentemente alimentata da una serie di rivelazioni che sarebbero state addirittura estratte grazie all’operato di ambienti informatici clandestini vicini ai servizi segreti russi. Queste informazioni, dal grado di effettiva sensibilità oggettivamente molto variabile, ma comunque politicamente imbarazzanti, sarebbero state messe successivamente a disposizione dei media attraverso portali online solamente in apparenza neutri, al fine di creare un clima ostile all’affermazione del candidato inizialmente dato per vincente e maggiormente suscettibile di continuare quel progetto economico e politico che – bene o male – va avanti dalla fine della guerra fredda e che, di fatto, è spesso risultato ostile agli interessi di un Paese come la Russia.

Ovviamente, l’apparente capacità russa di creare e diffondere contenuti dal grande potenziale virale, sia offline che online, sarebbe ben poca cosa se non facesse leva su una debolezza intrinseca dell’Occidente di oggi, sempre più impoverito da una globalizzazione economica che ha spostato in Asia il proprio centro di gravità e sempre più impaurito di fronte ad un fenomeno migratorio visto come incontrollato e incontrollabile. È quindi in questo scenario di profonda inquietudine che agisce la narrativa cosiddetta “populista”, la quale, servendosi anche degli strumenti tipici della “disinformatia”, mira a orientare il dibattito pubblico e a offrire una realtà delle cose il più aderente possibile a quello che viene ritenuto essere l’idem sentire dell’opinione pubblica, in opposizione a quella che, a torto o ragione, viene ormai percepita come una élite colta, ricca e cosmopolita, ormai distaccata dalla realtà.

Il tema della disinformazione appare tra l’altro strettamente legato a quello della sicurezza informatica ed entrambe le questioni, alla luce degli ultimi accadimenti, risultano peraltro estremamente attuali. Se è vero, come sembra, che l’apparentemente stato confusionale delle nostre opinioni pubbliche può essere imputato anche a cause non strettamente oggettive, ma frutto di una manipolazione artatamente condotta dall’esterno, risulta allora di primaria importanza poter difendere i propri assetti politici ed economici dall’azione malevola di agenti ostili ai nostri interessi.

Poiché ormai la dimensione cyber costituisce a tutti gli effetti la “quinta dimensione” dei moderni conflitti armati (dopo terra, mare, aria e spazio), i principali Paesi del mondo stanno dedicando sempre più risorse, sia umane che economiche, a uno sviluppo tecnologico e dottrinario che consenta di incrementare le proprie capacità di attacco e difesa in ambiente informatico.

Di fronte all’evenienza che paesi stranieri dalle agende politiche potenzialmente confliggenti con le nostre possano, di fatto influenza in maniera determinante l’esito delle prossime tornate elettorali europee, diventa quindi di particolare attualità l’esigenza di razionalizzare e modernizzare l’impianto di cybersecurity del nostro paese, ovviamente in linea con le migliori pratiche dei nostri alleati, attuando possibilmente, a livello nazionale, quella centralizzazione delle attività di coordinamento e controllo che da più parti viene auspicata come necessaria a garantire la sicurezza e la competitività del nostro sistema politico ed economico nazionale, specialmente in una fase storica che sta vedendo la rapida affermazione dell’interconnessione totale tra gli oggetti del vivere quotidiano (IoT – Internet of Things).

Tutto ciò pone ovviamente degli interrogativi in particolare a un paese come il nostro, peraltro perennemente in bilico tra una solida e incrollabile fede nell’alleanza euro-atlantica e la necessità di differenziare le proprie relazioni politiche ed economiche, spesso guardando a est, per compensare un quadro continentale e/o atlantico non sempre particolarmente benevolo.

L'articolo Notizie False e Guerra Ibrida proviene da MondoDem.