Cosa fare dopo il decreto del Presidente del Consiglio che assegna all’intelligence la responsabilità del coordinamento sulla sicurezza informatica nazionale? Mi sembra una buona domanda.
Definita l’architettura nazionale informatica dal punto di vista normativo, con il recente decreto Gentiloni, e qualche tempo fa anche dal punto di vista tecnologico, con il framework nazionale sulla Cyber Security, adesso occorre porre mano all’aratro.
In un settore in cui le tecnologie vnno rapidamente e costantemente aggiornate, la circostanza che il nostro Paese, attuando una tardiva direttiva europea, solo nel 2013 abbia stabilito le prime regole, senza prevedere alcun investimento per un piano e una strategia sulla sicurezza informatica, potrebbe trasformarsi in qualche modo in un vantaggio.
Un altro passo avanti è stato compiuto con il finanziamento nel 2015 di 150 milioni nel settore, cifra minima rispetto alle effettive necessità, ma pur sempre un segnale nella direzione giusta.
Parte della somma è stata meritoriamente assegnata alla Polizia Postale, mentre la restante quota è stata collocata attualmente al Dipartimento delle Informazioni per la Sicurezza. Prima di tutto occorre avere la dimensione dell’urgenza del rischio.
La Commissione Difesa della Camera dei Deputati dovrebbe essere alle fasi finali di una ricognizione sul settore e le questioni critiche non sono certamente poche.
Pochi anni fa un imprenditore israeliano della sicurezza informatica ha definito il nostro Paese “un paradiso per gli hacker”. In uno scenario internazionale in cui non ci sono nazioni amiche ma comunque sempre concorrenti sul piano economico.
Vanno tutelati i dati della pubblica amministrazione, delle aziende e dei cittadini ma in particolare le infrastrutture critiche (per esempio aeroporti, treni, centrali elettriche, reti idriche e via dicendo) che una volta violate mettono in ginocchio un’intera comunità.
Occorre ribadire che il rischio è urgente. Gli attacchi com’è noto sono quotidiani e crescenti, finora non clamorosi come quello che subì dieci anni fa l’Estonia, dove si realizzò la Web War One che fece comprendere al mondo gli effetti devastanti e concreti dei danni provocati attraverso la Rete.
Proviamo a fare un primo, sommario elenco delle cose da fare:
- Rendere al più presto pienamente operativo il decreto della settimana scorsa assegnando tutte le competenze al DIS. Le procedure possono durare settimane ma anche mesi. E ogni giorno è importante.
- Allineare e potenziare le attività dei tre CERT, soprattutto aumentando pienamente le risorse umane di queste importanti centrali operative
- Cominciare ad attuare concretamente e in modo programmato il framework nazionale sulla Cyber Security
- Avviare una campagna di comunicazione istituzionale sul rischio informatico, inserendola anche come priorità nel Piano Nazionale per l’Educazione alla Sicurezza rivolto alle scuole
- Coinvolgere le grandi aziende così come le PMI. Confindustria e Camere di Commercio possono essere utili alleati.
- Definire obiettivi immediati, coinvolgendo CERT, Polizia Postale, Università, CNR, imprese e altri soggetti sensibili nella definizione degli obiettivi immediati. In tale quadro, secondo me, anche l’Istituto Italiano di Tecnologia potrebbe svolgere un ruolo in questa direzione.
- Spendere subito i circa 100 milioni disponibili in funzione degli obiettivi definiti, tra i quali il potenziamento delle industrie nazionali dell’high Tech.
Ho cercato di mettere in fila una serie di temi abbastanza ovvi ma, appunto per questo, da analizzare in modo organico per realizzarli al più presto.
Ma questi interventi rischiano di produrre poco se non si realizza un’iniziativa di sistema, un progetto strutturale, coraggioso ma necessario. Mi riferisco alla proposta del generale Luigi Ramponi che propone di spostare un quindicesimo dell’attuale bilancio della difesa sulla sicurezza informatica. Si tratterebbe di un milione e mezzo di euro che, se spesi rapidamente e bene, qualcosa di veramente utile per la comunità nazionale si potrebbe davvero fare.
Ribadiamo che la minaccia cibernetica è quella che può mettere in ginocchio il Paese e può rappresentare il danno più grave, nella consapevolezza che la protezione del cyberspazio nazionale è la precondizione indispensabile per la prosperità economica del Paese.
Non a caso, da qualche anno, i Servizi hanno individuato nel Cyber una priorità, non solo evidenziandone la centralità nelle ultime due Relazioni al Parlamento con un approfondimento sistematico, ma anche procedendo ad assumere, anche attraverso l’università, profili professionali altamente qualificati sull’informativa. Un percorso che continua e va ulteriormente rafforzato appunto alla luce delle nuove competenze.
Di grande utilità è poi la diffusione di una cultura nazionale della sicurezza informatica, utilizzando appunto il Piano Nazionale sull’Educazione alla Sicurezza, sottoscritto sei mesi fa tra il DIS e il Ministero della Pubblica Istruzione.
Infine, è importante fare conoscere sia agli studenti che alle aziende i corsi e i Master universitari sulla sicurezza informatica che si stanno svolgendo in Italia.
Tre quindi sono le direttrici su cui orientate da domani mattina le attività: utilizzare, ampliare e ottimizzare le risorse economiche pubbliche e private; procedere alla formazione e all’impiego di esperti; promuovere la diffusione della cultura della sicurezza informatica nella società.
Su come realizzare questi obiettivi si può trovare subito un’intesa, anche perché la minaccia è evidente e tanti provvedimenti e iniziative si sono realizzate.
Così come per le squadre di calcio per tenere il campo occorreva “l’amalgama” adesso per la sicurezza informatica va messa in pratica “la volontà politica”.
