I recenti eventi bellici coinvolgono direttamente la Russia e l’Ucraina e, indirettamente, riguardano l’intero pianeta a causa delle inevitabili conseguenze politiche, economiche e sociali. Emerge la rilevanza della cyber war, ovvero l’uso di computer e di reti per attaccare o difendersi nel cyber spazio.
La cyber war è tipica della terza rivoluzione industriale (o postindustriale), come la guerra elettronica lo è stata della seconda. Possiede aspetti tecnico-operativi sia offensivi, sia difensivi e viene utilizzata tanto in tempo di pace quanto nel corso di conflitti armati.
Paesi alla conquista del cyber spazio, ecco lo scacchiere geopolitico
La cyber war
Dal punto di vista offensivo, l’attacco cibernetico può utilizzare diverse tecniche e tattiche e proporsi diversi obiettivi, tra i quali:
- L’intercettazione di dati
- l’inabilitazione delle reti e degli equipaggiamenti informatici nemici
- l’attacco alle infrastrutture critiche (elettricità, gasdotti e oleodotti, rete delle telecomunicazioni commerciali e finanziarie, trasporti, eccetera).
Le modalità di attuazione degli attacchi vanno dal superamento dei sistemi protettivi e dall’entrata nelle reti informative e nelle banche dati, con finalità varie (dall’acquisizione di informazioni al vandalismo di hacker individuali), all’attacco massiccio condotto da unità specializzate, alla diffusione di virus informatici o di worm per neutralizzare reti, sistemi d’arma o di comando, di controllo e di comunicazione.
Molti preferiscono parlare di cyber warfare per esprimere meglio un concetto equivalente al “campo di battaglia digitale”, un nuovo scenario nel quale la guerra fra Stati si sposta dal piano reale a quello virtuale. Usare il termine “virtuale” non deve però trarre in inganno. Nel mondo odierno praticamente tutti gli elementi della nostra vita dipendono da una qualche forma di strumento digitale: dai trasporti alla produzione dell’energia, dalla sanità alla comunicazione, dal lavoro allo svago.
Attaccare le nostre infrastrutture digitali impedendo che funzionino correttamente significa attaccare le nostre infrastrutture reali, in modo non dissimile a un attacco terroristico. Non stupisce quindi che la guerra si stia trasferendo sempre più su questo nuovo piano, creando scenari del tutto nuovi che richiedono conoscenze precise e misure adeguate alla minaccia.
Potremo dire che la guerra riflette i cambiamenti storici, le sue trasformazioni culturali e tecnologiche. La nuova frontiera dei conflitti fra stati è appunto la cyber warfare. Il campo di battaglia è diventato la rete, mentre i soldati si sono trasformati in hacker.
La nuova figura degli hacker
La diffusione di documenti secretati operata da Edward Snowden, l’attacco alle centrali nucleari iraniane, le intromissioni russe nella campagna presidenziale americana del 2016: questi eventi ci mostrano una nuova figura di hacker, che agisce per conto di potenze straniere, che lavora in sincrono con altri e che ha come obiettivo, non più il guadagno personale, ma l’indebolimento di un intero apparato statale.
La cyber warfare
Ha un dominio che include sia la difesa del cyberspazio sia le offensive che possono essere in questo perpetrate. Nello specifico per cyber warfare si intende:
- Attacco a infrastrutture: si tratta di attacchi contro il sistema informatico che gestisce infrastrutture critiche per il funzionamento di uno Stato, come i sistemi idrici, energetici, sanitari, dei trasporti e militari
- Attacco ad apparecchiature: questo tipo di attacco, più militare in senso classico, ha l’obiettivo di compromettere il funzionamento di sistemi di comunicazione militari come satelliti o computer
- Guerriglia web: in questo caso l’attacco consiste in rapidi atti vandalici contro server e pagine web, creando più scompiglio che veri e propri danni informatici
- Cyberspionaggio: proprio come lo spionaggio classico, questa attività cerca di rubare informazioni sensibili, siano esse di carattere militare che aziendale, avendo spesso come obiettivo grandi compagnie nazionali
- Propaganda: questo tipo di attacco è più nascosto e subdolo. Il suo obiettivo è quello di infondere dubbi nella popolazione e creare malcontento attraverso la divulgazione di messaggi politici e fake news, soprattutto attraverso i social.
Naturalmente per approfondire la conoscenza di questa nuova realtà è necessario acquisire ulteriori nozioni in materie strettamente collegate che consentono un approccio interdisciplinare di carattere generale.
Innanzitutto, rivestono importanza fondamentale la cyber security e l’idea del cyber risk, al fine di comprendere come è possibile difendersi da attacchi informatici oppure prevenirli.
Il cyber risk
Il rischio informatico può essere definito come il rischio di danni economici (rischi diretti) e di reputazione (rischi indiretti) derivanti dall’uso della tecnologia. Il riferimento è dunque sia ai rischi impliciti nella tecnologia (i cosiddetti rischi di natura endogena) sia a quelli derivanti dall’automazione, attraverso l’uso della tecnologia, di processi operativi aziendali (i cosiddetti rischi di natura esogena).
I rischi di natura endogena sono:
- Naturali: incendi, calamità naturali, inondazioni, terremoti
- Finanziari: variazione dei prezzi e dei costi, inflazione
- Strategici: concorrenza, progressi scientifici, innovazioni tecnologiche
- Errori umani: modifica e cancellazione dei dati, manomissione volontaria dei dati.
I rischi di natura esogena, o di natura operativa sono i rischi connessi alle strutture informatiche che compongono i sistemi. Tra questi:
- Danneggiamento di hardware e software
- Errori nell’esecuzione delle operazioni nei sistemi
- Malfunzionamento dei sistemi
- Programmi indesiderati.
Tali rischi possono verificarsi a causa dei cosiddetti programmi virus destinati ad alterare od impedire il funzionamento dei sistemi informatici.
Ma vi sono anche le truffe informatiche, la pedopornografia, il cyber bullismo, i ricatti a sfondo sessuale derivanti da video chat on line ed è solo grazie a una piena consapevolezza del concetto di sicurezza informatica che ci si può mettere al riparo da sgradevoli sorprese.
La necessità di contromisure
Ogni giorno vengono compiuti migliaia di attacchi informatici attraverso le tecniche più varie e termini come malware, ransomware, trojan horse, account cracking, phishing, 0-day vulnerability sono diventati parte del vocabolario anche per i non esperti.
Per evitare attacchi informatici, o almeno per limitarne le conseguenze, è necessario adottare delle contromisure: i calcolatori e le reti di telecomunicazione necessitano di protezione anche se la sicurezza assoluta non è concretamente realizzabile.
Il modo per proteggersi è imparare a riconoscere le origini del rischio. Gli strumenti di difesa informatica sono molteplici, si pensi antivirus, antispyware, blocco popup, firewall ma, tuttavia, non sempre si rivelano efficaci perché esistono codici malevoli in grado di aggirare facilmente le difese, anche con l’inconsapevole complicità degli stessi utenti.
La Cyber security che verrà: l’evoluzione normativa in Italia e Ue
Gli interventi normativi
Negli ultimi tempi, in materia di cyber security, il nostro Paese ha concentrato la propria attenzione anche dal profilo normativo e quindi diventa fondamentale conoscere i principali interventi del legislatore in materia.
Le pubbliche amministrazioni, dal punto di vista sicurezza, possono essere considerate come organizzazioni fortemente regolate, in considerazione del fatto che la loro attività si svolge nell’ambito e nei limiti di norme che hanno valore di legge. Il problema è che fino a poco tempo fa erano state scarse le norme giuridiche che si erano occupate di cyber security, mentre negli ultimi tempi si è assistito da un proliferare di normative sia comunitarie che nazionali.
Si pensi ad esempio alla direttiva sulla protezione cibernetica e la sicurezza informatica nazionale emanata con decreto del presidente del Consiglio dei ministri 17/2017 e che si è posta l’obiettivo di aggiornare la precedente direttiva del 24 gennaio 2013 e di conseguenza anche la relativa architettura di sicurezza cibernetica nazionale e di protezione delle infrastrutture critiche.
L’esigenza di nuovi provvedimenti e di nuove strategie è nata originariamente dall’emanazione della direttiva 2016/1148 del Parlamento europeo, recepita in Italia con il decreto legislativo 65/2018 e in seguito abrogata e sostituita dalla direttiva Ue 2022/2555 (Direttiva NIS2) relativa a misure per un livello comune elevato di cibersicurezza nell’Ue recante modifica del regolamento Ue 910/2014 (detto regolamento eIDAS) e della direttiva UE 2018/1972.
Questa nuova direttiva stabilisce il quadro di riferimento per le misure di gestione dei rischi di cibersicurezza e gli obblighi di segnalazione in una serie di settori che comprende, tra l’altro, l’energia, i trasporti, la salute e le infrastrutture digitali.
In particolare, stabilisce norme minime e meccanismi per la cooperazione tra le autorità competenti di ciascuno Stato membro, aggiornando l’elenco dei settori e delle attività soggetti agli obblighi in materia di cibersicurezza, e prevedendo mezzi di ricorso e sanzioni per garantirne l’applicazione.
Mentre ai sensi della precedente direttiva NIS la responsabilità di determinare quali soggetti soddisfacessero i criteri per essere considerati operatori di servizi essenziali spettava agli Stati membri, la nuova direttiva NIS 2 introduce la regola della soglia di dimensione. Ciò significa che tutti i soggetti di medie e grandi dimensioni che operano nei settori o forniscono i servizi contemplati dalla direttiva dovrebbero rientrare nel suo ambito di applicazione.
Poi abbiamo avuto il decreto Legge 105/2019 convertito successivamente nella legge 133/2019 che è stato adottato al fine di assicurare, in particolare, un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, nonché degli enti e degli operatori nazionali, pubblici e privati, attraverso l’istituzione di un perimetro di sicurezza nazionale cibernetica e la previsione di misure volte a garantire i necessari standard di sicurezza rivolti a minimizzare i rischi.
Successivamente, il decreto Legge 162/ 2019, recante proroga di termini e ulteriori disposizioni in materia di Pa, ha apportato all’articolo 27 alcune modifiche all’articolo 1 del decreto Legge 105/2019 in materia di sicurezza nazionale cibernetica, con particolare riguardo alle procedure e alle modalità per la definizione dei soggetti inclusi nel perimetro di sicurezza nazionale cibernetica.
I decreti attuativi
In attuazione di tali disposizioni, il governo ha adottato il decreto del presidente del Consiglio dei ministri 131/2020 che provvede a:
- definire le modalità e i criteri procedurali di individuazione dei soggetti (amministrazioni pubbliche, enti e operatori pubblici e privati) inclusi nel perimetro di sicurezza nazionale cibernetica e che, pertanto, sono tenuti al rispetto delle misure e degli obblighi previsti dal decreto Legge 105/2019
- definire i criteri con i quali i soggetti inclusi nel perimetro predispongono e aggiornano l’elenco delle reti, dei sistemi informativi e dei servizi informatici di rispettiva pertinenza, comprensivo della relativa architettura e componentistica.
In attuazione del decreto Legge 105/2019 sono stati definiti, inoltre, i seguenti provvedimenti:
- il decreto del presidente della Repubblica 54/2021, che ha definito le procedure e modalità di valutazione delle acquisizioni da parte dei soggetti inclusi nel perimetro di sicurezza cibernetica, di oggetti di fornitura le procedure delle attività di verifica e ispezione (comma 6, articolo 1 del decreto Legge 105/2019)
- il decreto del presidente della Repubblica 81/2021 che definisce le modalità per la notifica nel caso di incidenti riguardanti beni ITC (comma 2, lettera b, articolo1 del decreto legge 105/2019).
- Il decreto del presidente del Consiglio dei ministri del 15 giugno 2021 che individua le categorie di beni, sistemi e servizi ICT destinati ad essere impiegati nel perimetro di sicurezza nazionale cibernetica (comma 6, lettera a, articolo 1 del decreto Legge 105/2019)
- Il decreto del presidente del Consiglio dei ministri 92/2022 in materia di accreditamento dei laboratori di prova e di raccordi tra Centro di valutazione e Certificazione nazionale, i laboratori di prova accreditati e i Centri di valutazione del ministero dell’Interno e del ministero della Difesa (ai sensi dell’articolo 1, comma 7, lettera b, del decreto Legge 105/2019).
La legislazione vigente prevede l’adozione anche di un decreto del presidente del Consiglio dei ministri per definire le procedure di notifica degli incidenti aventi impatto su reti, sistemi informativi e servizi informatici (comma 3, articolo 1 del decreto Legge 105/2019).
Il decreto Legge 82/2021 recante “Disposizioni urgenti in materia di cybersicurezza, definizione dell’architettura nazionale di cybersicurezza e istituzione dell’Agenzia per la cybersicurezza nazionale” convertito con modificazioni nella legge 121/2021 completa la strategia di cyber-resilienza nazionale, avviata con la disciplina sul perimetro cibernetico, e accresce, attraverso la promozione della cultura della sicurezza cibernetica, la consapevolezza del settore pubblico, privato e della società civile sui rischi e le minacce cyber.
Infine (ma solo per il momento), il 18 maggio 2022 il Comitato Interministeriale per la Cybersicurezza, presieduto dal presidente del Consiglio dei ministri ha approvato la Strategia nazionale di cybersicurezza (2022-2026) e l’annesso Piano di implementazione.
Da non dimenticare che, il 27 dicembre 2022, oltre alla direttiva NIS2 sono stati pubblicati sulla Gazzetta ufficiale europea importanti provvedimenti comunitari: un regolamento (noto come Dora) per incrementare le misure di sicurezza a favore della resilienza e della sicurezza informatica del settore finanziario. Una direttiva a esso collegata che serve ad armonizzare il quadro normativo e la direttiva (nota come Cer) relativa alla resilienza dei soggetti critici.
Il crimine informatico
Naturalmente, come già si è avuto modo di vedere, azioni informatiche che cagionano danni ad infrastrutture, sistemi informatici, dati, informazioni si sostanziano nella maggior parte dei casi in veri e propri reati informatici disciplinati dal nostro Codice penale e da leggi speciali ed è naturalmente opportuno conoscere la tipologia e disciplina dei principali reati in materia.
In genere per crimine informatico si intende un qualunque comportamento criminoso, nel quale il computer è coinvolto come mezzo o come oggetto dell’azione delittuosa, ma in tale categoria rientrano anche quegli illeciti in cui il computer si interpone tra l’autore del crimine e la vittima o comunque rappresenta lo strumento principale per compiere una determinata azione criminosa.
È possibile, inoltre, distinguere tra reati eventualmente e necessariamente informatici:
- I reati eventualmente informatici sono quelli nei quali le tecnologie informatiche hanno solo ampliato le modalità di realizzazione di un reato già esistente, un esempio può essere rappresentato dal furto o dall’appropriazione indebita di fondi realizzati utilizzando le tecnologie informatiche
- I reati necessariamente informatici invece sono quelli che hanno comportato la nascita di figure criminose completamente nuove, un esempio è dato dal delitto di accesso abusivo ad un sistema informatico o telematico (articolo 615- ter Codice penale).
Altri studiosi distinguono tra computer fraud e computer abused. Le computer fraud comprendono al proprio interno tutti i comportamenti manipolativi con scopi fraudolenti, mentre le computer abused integrano tutte le condotte che prevedono degli usi impropri delle tecnologie al fine di ottenere vantaggi.
Il trattato del Consiglio d’Europa sulla criminalità informatica definisce il cyber crime come quei “reati contro la riservatezza, l’integrità e la disponibilità di dati e sistemi informatici”, si pensi ad esempio agli accessi illegali, alle intercettazioni illegali, eccetera.
Si suole distinguere i crimini informatici in tre categorie:
- Attacchi criminali propriamente intesi che hanno come obiettivo comune la violazione di un sistema informatico al fine di ottenere un guadagno economico. Tra questi rientrano la frode informatica, che si ha quando chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico e telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno. (articolo 640-ter Codice penale)
- Attacchi non propriamente criminali che sono gli attacchi a scopo pubblicitario, ossia quelli che mediante la pubblica violazione di un sistema informatico, mirano a creare disagio al fine di richiamare l’attenzione della stampa e quindi suscitare un’eco mediatica
- Attacchi basati su sistemi legali che fanno leva sulla debolezza del sistema giudiziario, il loro obiettivo è quello di screditare dal punto di vista legale alcune apparenti sicurezze informatiche.
Sicurezza delle comunicazioni mobili: la soluzione per proteggere l’azienda dal cyber spionaggio
Il cyber spionaggio
Talvolta come si è già avuto modo di anticipare la cyber warfare comprende anche azioni di cyber spionaggio per cui è importante conoscere le principali nozioni di intelligence e come è organizzato il nostro paese in questo settore molto delicato.
L’intelligence è lo strumento di cui lo Stato si serve per raccogliere, custodire e diffondere ai soggetti interessati, siano essi pubblici o privati, le informazioni rilevanti per la tutela della sicurezza delle Istituzioni, dei cittadini e delle imprese. Svolge un ruolo fondamentale e imprescindibile per il quale si serve di professionalità provenienti da ambienti diversi che agiscono secondo peculiari procedure volte a salvaguardare la riservatezza degli operatori e delle loro attività.
Nel nostro Paese tale compito, con la legge 124/2007, è stato affidato al dipartimento delle Informazioni per la sicurezza (DIS), il cui direttore generale è nominato direttamente dal Presidente del Consiglio dei ministri, e alle due agenzie operative che si occupano delle dimensioni interna (Aisi) ed esterna (Aise) della sicurezza nazionale.
Dal punto di vista della funzione, l’intelligence può essere descritta come processo informativo definito da un ciclo di azioni articolato su tre fasi e finalizzato agli obiettivi generali individuati dalle autorità di governo:
- Acquisizione della notizia, attraverso la ricerca, la raccolta e la valutazione dei dati acquisibili da un’ampia gamma di fonti, che vanno dal singolo individuo all’uso di sofisticate apparecchiature elettroniche. In questa fase particolare rilievo assumono le fonti aperte, come i mezzi di comunicazione di massa e la rete.
- Gestione dell’informazione, in cui attraverso l’analisi si trasforma l’elemento informativo grezzo in un articolato contributo conoscitivo. Questa fase rappresenta il passaggio distintivo dell’intelligence
- Comunicazione all’autorità di governo sia di semplici informazioni, sia di rapporti, analisi e punti di situazione, utili per le decisioni da assumere o per le attività da intraprendere.
L’estensione del concetto di sicurezza nazionale fa sì che vengano oggi inclusi, tra i destinatari dei prodotti di intelligence, anche amministrazioni ed enti pubblici.
In considerazione delle nuove sfide, della sempre maggiore complessità e della rapidità di evoluzione del contesto interno ed esterno in cui l’intelligence si muove, si identificano oggi diverse tipologie di raccolta ed elaborazione delle informazioni.
La regolamentazione internazionale
Non per ultimo la cyber warfare pone problemi di regolamentazione in ambito internazionale e può estendersi ad una vera e propria forma di guerra spaziale con il coinvolgimento di satelliti spia per cui vanno approfondite anche tematiche di diritto internazionale dello spazio ancora poco conosciute.
Nuovi settori dell’attività scientifica si sono affermati, allargando il quadro delle discipline tradizionalmente spaziali. Alle cosiddette scienze dello spazio si sono affiancate nuove discipline come le scienze della terra. Esse rivestono oggi particolare importanza proprio per capire i meccanismi che regolano l’evoluzione del nostro pianeta e la conservazione delle risorse naturali.
Nel campo dell’osservazione della terra, nella comunità giuridica mondiale si è aperto un ampio dibattito sul problema del diritto, da parte di ciascun Paese, di potere osservare il territorio altrui per poi farne un uso commerciale o strategico. Questo dibattito è avvenuto soprattutto perché i Paesi industrializzati sono in grado di esercitare un ruolo attivo nello svolgimento del telerilevamento, mentre i Paesi in via di sviluppo sono costretti ad assistere passivamente.
Diventa sempre più importante quindi la regolamentazione del diritto dello spazio, sia per evitare che i Paesi in via di sviluppo non possano accedere alle risorse spaziali, sia per porre dei chiari limiti alla nuova Space Race a cui si sta assistendo in questo periodo storico.
Le fonti normative del diritto dello spazio sono quelle tipiche del diritto internazionale. Queste fonti comprendono dunque consuetudini, trattati e dichiarazioni di principi. L’allargamento del diritto internazionale allo spazio non è differente da quanto già avvenuto per il mare e l’aria.
Un primo passo per il riconoscimento dell’importanza dello spazio e delle sue risorse è stata la nascita del Comitato delle Nazioni unite sugli usi pacifici dello spazio extra-atmosferico (Copuos). A quel tempo, le complesse questioni da risolvere erano complicate dall’intensa rivalità tra le due superpotenze nel contesto della Guerra fredda.
Si sono poi succedute nel tempo diversi accordi e/o convenzioni internazionali come la Dichiarazione di intenti da parte dell’Assemblea generale delle Nazioni unite che prende il nome di Declaration of Legal Principles Governing the Activities of States in the Exploration and Use of Outer Space, adottata il 13 dicembre 1963 e che contiene nove principi fondamentali riguardanti l’esplorazione dello spazio.
A questa si aggiunge il Trattato sui principi che governano le attività degli Stati in materia di esplorazione e utilizzazione dello spazio extra-atmosferico compresa la Luna e gli altri corpi celesti, anche detto Trattato sullo spazio extra-atmosferico (Treaty on Principles Governing the Activities of States in the Exploration and Use of Outer Space, Including the Moon and Other Celestial Bodies o Outer space Treaty). Inoltre, va citato l’Accordo sul salvataggio e recupero degli astronauti e degli oggetti spaziali (Agreement on the Rescue of Astronauts, the Return of Astronauts and the Return of Objects Launched into Outer Space) firmato il 19 dicembre 1967.
Si aggiungono, in ordine cronologico, la Convenzione per la responsabilità internazionale su danni causati da oggetti spaziali (Convention on International Liability for Damage Caused by Space Objects) firmata nel 1972, la Convenzione sull’immatricolazione degli oggetti lanciati nello spazio (Convention on Registration of Objects Launched into Outer Space) stipulata a New York nel 1974 e, infine, l’Accordo sulle attività degli Stati sulla Luna (Agreement Governing the Activities of States on the Moon and Other Celestial Bodies) stipulato a New York il 18 dicembre 1979.
