Quella in cui stiamo muovendo i nostri passi incerti è l’età ibrida[1], in cui il rapporto uomo–macchina non sarà più una semplice co-abitazione, ma diventerà una vera e propria co-evoluzione. La civilizzazione umano-tecnologica in corso ha raggiunto infatti un livello tale da diventare anche un processo strategico che agisce su scala globale, che sta ridisegnando le mappe del potere economico e delle reciproche influenze tra le nazioni ed i continenti.
Assistiamo insomma alla nascita di un nuovo equilibrio geopolitico, in cui il ruolo di uno Stato nella competizione globale è ormai definito più dal livello di innovazione tecnologica che dalla potenza militare ed economica in quanto tali, perché queste ultime due variabili ormai dipendono dalla prima.
Cyberwarfare nell’epoca dell’asimmetria
L’età ibrida è l’epoca del conflitto asimmetrico, nel quale vengono impiegate prevalentemente strategie e tattiche non convenzionali, da parte di formazioni terroristiche o separatiste come di attori statali, che sempre più spesso si nascondono dietro proxy di diverso tipo. Cambia poco che questi siano hacker o milizie mercenarie, si tratta in ogni caso di intermediari con regole d’ingaggio aliene dalla dimensione “convenzionale”. La potenza della minaccia asimmetrica si esprime soprattutto nella possibilità di rivolgersi a obiettivi di natura civile piuttosto che militare, in un’inedita dimensione duale e senza rispetto alcuno per la tutela e conservazione delle regole del diritto umano. Questa mutazione della minaccia impone l’evoluzione dei concetti di difesa e sicurezza nazionale e quindi la trasformazione sia dello strumento militare che di tutti gli altri dispositivi preposti alla protezione del Paese e delle sue principali infrastrutture. L’obiettivo di questa transizione è adattarsi ai mutamenti dello scenario internazionale ed all’evoluzione della minaccia. La difesa dai possibili attacchi alle fragilità delle infrastrutture critiche interne, essenziali allo svolgimento regolare delle quotidiane attività umane, assume oggi la stessa importanza che nelle guerre del passato aveva la difesa dei confini del territorio nazionale, delle rotte di navigazione marittima e dello spazio areo. Nell’epoca della connettività è essenziale riconquistare la superiorità dei flussi informativi, riconquistando così capacità di operare, perché acquisire e distribuire l’informazione aumenta sia la capacità di proiezione che di resilienza sistemica. I nemici di una nazione possono operare sia dentro che fuori del singolo Paese, per cui le aree di competenza tra civile e militare, e quindi le operazioni, finiscono inevitabilmente col sovrapporsi.
Dalla guerra fredda al conflitto asimmetrico
La Guerra Fredda non è finita con il crollo del muro di Berlino. La fine del bipolarismo ha chiuso un’epoca, caratterizzata dall’elegante semplicità del mondo diviso in due blocchi, contrapposti per ideologia, economia ed interessi strategici.
USA ed URSS erano due superpotenze che avevano una capacità di proiezione globale. Potevano portarsi rapidamente in ogni angolo del Pianeta per sostenere i propri interessi finché lo ritenevano giusto, o conveniente.
Con la fine del bipolarismo lo scenario strategico si è evoluto, è diventato più fluido e mobile, più liquido, direbbe il sociologo Zygmunt Baumann. L’economia si è globalizzata e dematerializzata e la sovrapproduzione e saturazione dei mercati più avanzati ha innescato dinamiche di sviluppo di aree del mondo, soprattutto in Asia, che trent’anni fa erano arretrate ed oggi hanno raggiunto livelli tecnologici e di capacità produttiva impressionanti. Conseguenza di questa grande trasformazione è l’ascesa degli equilibri regionali a discapito della chiarezza di un più definito ed intelligibile ordine mondiale.
Questa metamorfosi del mondo, come la definì Ulrich Beck nel libro che non ebbe il tempo di completare, produce un’esplosione che manda all’aria le certezze su cui si fonda la società contemporanea, quelle che finora sono state le costanti antropologiche della nostra vita e della nostra concezione del vivere comune.
Il secondo elemento che ha contribuito a smantellare il vecchio ordine mondiale è il progresso tecnologico.
Dottrina ed orizzonte strategico
Perno della dottrina “net-centrica” è un’infrastruttura di tipo seamless, senza soluzione di continuità. La condivisione informativa acquista valore strategico e le dorsali di comunicazione tradizionale entrano a far parte di una più strutturata rete globale. Il conseguimento di una maggiore complessità infrastrutturale richiede tecnologia in grado di supportare una mole di informazioni superiore, incrementando la banda a disposizione degli utenti, per veicolare la maggior mole di dati nel minor tempo possibile, ed implementare il protocollo di comunicazione IPv6, per garantire priorità informativa con opportuni standard di sicurezza. Il ruolo strategico che l’infrastruttura IT ha raggiunto rende necessario nei sistemi stessi prevenire attacchi e ingerenze esterne; la difesa cyber diventa quindi una dei punti chiave della sicurezza nazionale. Per essere condotta, la cyberwarfare necessita di tecnologie capaci di alterare o penetrare i sistemi di comunicazione ostili, o target. La fragilità del Paese non è data tanto dai punti deboli dello strumento militare, quanto da quelli delle infrastrutture critiche civili.
La prima fragilità nel settore civile attiene la produzione ed il trasporto dell’energia elettrica, interrompendo la quale si interrompe la quasi totalità delle attività umane, dalla produzione al consumo. In secondo luogo, viene la fragilità delle infrastrutture che assicurano la continuità delle supply chain, attraverso la rete dei trasporti e delle mobilità (porti, aeroporti, ferrovie, autostrade, ma anche pipeline ed impianti di trasporto degli idrocarburi). Poi c’è la fragilità delle infrastrutture di telecomunicazione, dai satelliti alle infrastrutture fisiche di ripetizione e trasporto dell’informazione; in primo luogo, dalla rete di cavi e server che permettono la connessione. Infine, c’è la protezione del dato, particolarmente critico in relazione all’infrastruttura finanziaria, ma anche in relazione al know how industriale ed al patrimonio informativo in senso più ampio.
Fermiamo la cyber-war, prima che sia troppo tardi: la soglia da non attraversare
Proteggere infrastrutture critiche e dati
È compito dello Stato proteggere sia le infrastrutture che i dati dei cittadini e delle imprese. Concettualmente la problematica è stata osservata sempre con ottica privatistica, ma il dato privato è parte di un bene comune, e di un bene pubblico, perché l’insieme dei dati è un patrimonio della nazione ed è un’infrastruttura immateriale su cui si basa la ricchezza del Paese. Lo Stato deve farsi carico della difesa di questo patrimonio, come si fa carico di garantire la sicurezza dei cittadini dalle minacce fisiche e materiali. I dati sono ospitati in data center e il traffico si muove da un data center all’altro. La vulnerabilità del dato da proteggere è nel livello applicativo come nella conservazione e trasporto dell’informazione. Proteggere i dati significa garantire la sicurezza e la coesione sociale e comporta innanzitutto garantire l’integrità di servizi di Cloud, perché le società private fornitrici di servizi possono avere vita precaria sul mercato, e portare nelle proprie disgrazie i dati degli utenti. Per proteggerli lo Stato deve rendere fisico ciò che è troppo virtuale, cioè monitorare i servizi di cloud dei provider privati (non nei contenuti, coperti da privacy, ma il dato fisico, che deve poter essere spostato o copiato in sicurezza, quindi protetto adeguatamente), e ospitarli in un grande cloud nazionale, per garantire continuità ed integrità, e la compatibilità con gli standard futuri, anche tra 50 anni. Ovviamente un’attenzione particolare deve essere data al data center della PA, per incrementare la sicurezza di tutti i dati pubblici, sia per le amministrazioni centrali dello Stato che per quelle periferiche.
I dati devono essere fisicamente custoditi all’interno del territorio nazionale, devono avere sistemi di criptazione a chiave proprietaria, secondo algoritmi sviluppati da aziende nazionali. Per incrementare la sicurezza è necessario creare una rete intranet chiusa della PA, a cominciare dai Ministeri CISR (comitato interministeriale sicurezza della Repubblica), che sono gli organi di maggior rilievo dello Stato, ponendo un sistema di protezione controllato dall’amministrazione sul perimetro di accesso al WEB esterno. Per quanto attiene la protezione delle infrastrutture critiche, inserite nell’elenco dei soggetti inclusi nel perimetro di sicurezza nazionale cibernetica approvato dal CISR e dal Presidente del Consiglio dei Ministri, è stato opportunamente previsto un allargamento dell’ambito di applicazione della normativa sul “perimetro” ai soggetti, pubblici e privati che (attraverso reti, sistemi informativi e servizi informatici) esercitano 223 funzioni essenziali dello Stato, ed erogano servizi essenziali per il mantenimento di attività civili, sociali o economiche strategiche. Tutti questi soggetti saranno tenuti ad applicare le misure di sicurezza previste e a notificare allo CSIRT italiano gli eventi incidenti che si dovessero verificare.
Connettività, AI, deterrenza
Fermo restando il regime di libero mercato, che nessuno mette in discussione, è necessario che il backbone delle reti sia di proprietà di azienda/e a capitale controllato da entità (pubbliche o private) italiane. Occorre sviluppare un ecosistema politico-industriale che condivida la priorità e la necessità strategica dei Landing Point (punti di atterraggi dei cavi sottomarini, in special modo quelli afferenti ai consorzi a cui partecipa Telecom Italia Sparkle). In questo settore il dinamismo e la concorrenza di soggetti stranieri, in primo luogo francesi, sono assolutamente evidenti. Chi controlla le rotte dei dati assume un rilievo fondamentale dal punto di vista geo-politico, nel presente e nel futuro.
Il trasporto dei dati è già oggi molto remunerativo, ma sarà l’oro nero del futuro.
La seconda chiave della competizione globale del futuro è lo sviluppo dell’intelligenza artificiale. “Quando si pensa al futuro dell’AI, Karl Marx continua a esser un riferimento più competente di Steven Spielberg” (cit. Yuval Noah Harari, 21 lezioni per il XXI secolo, Saggi Bompiani 2018, p. 360.) Insieme a Big Data, tecnologie quantistiche, tecnologie spaziali ed ipersoniche, e tecnologie del potenziamento umano, l’AI è considerata dal rapporto NATO 2030 una delle principali Emerging Distruptive Technolgies, (EDT), cioè delle tecnologie emergenti destabilizzanti per lo scenario di sicurezza dell’alleanza. Su questi fronti il mantenimento della superiorità tecnologica dell’Occidente è di cruciale importanza.
Investire fortemente nel settore può creare inoltre forti ricadute anche nella dimensione economica, oltre che nel settore della Difesa e dell’intelligence. Per raggiungere realmente obiettivi avanzati in questo campo è necessario un forte, agile ed efficace partenariato pubblico privato, con dirette relazioni con il mondo accademico. Questa è la premessa strutturale che permetterà di fare un vero cambio di passo e potenziare realmente la componente intelligence, sia in termini difensivi che offensivi. L’effetto “deterrence” assumerà un valore sempre maggiore in proiezione futura, assimilabil a quello che è stato il nucleare nel secolo passato. Per conseguire importanti avanzamenti nelle capacità dell’industria nazionale del settore serve une politica pubblica di lungo respiro, con programmi di procurement ed acquisizione, nel settore militare come in quello civile, che permetta di investire in ricerca e sviluppo di prodotti, che sono sistemi d’arma e come tali vanno acquisiti, del più alto standard possibile.
Agenzia nazionale per la cybersecurity
Il Piano Nazionale di Ripresa e Resilienza, che per un suo terzo ha un impatto digitale, contiene una specifica misura sulla cybersicurezza, prevede la nascita dell’Agenzia per la cybersicurezza nazionale, e quindi giustifica la Decretazione di urgenza. Questo perché è necessaria un’azione sistemica che garantisca che il denaro speso per gli investimenti previsti dal PNRR, che necessitano di implementazione digitale, contribuisca ad innalzare il livello complessivo di resilienza cyber del Paese. La nascita della nuova Agenzia, normata dal DL 14 giugno 2021 N. 82, ha come finalità la promozione della cultura della sicurezza cibernetica, la consapevolezza del settore pubblico, provato e della società civile sui rischi e le minacce cyber (art.5). Questa nuova Agenzia pubblica eserciterà le funzioni di Autorità nazionale in materia di cybersecurity e avrà il compito di sviluppare capacità nazionali di prevenzione, monitoraggio, rilevamento e mitigazione, per far fronte ad incidenti di sicurezza ed attacchi informatici, anche attraverso il Computer Security Incident Response Team (CSIRT) italiano e l’avvio operativo del Centro di valutazione e certificazione nazionale. Dovrà inoltre contribuire all’innalzamento della sicurezza dei sistemi di ICT dei soggetti inclusi nel perimetro di sicurezza nazionale cibernetica, della PA, degli operatori di servizi essenziali (OSE) e dei fornitori di servizi digitali (FSD). L’Agenzia dovrà inoltre supportare lo sviluppo di competenze industriali, tecnologiche e scientifiche, promuovendo progetti specifici, ed assumere le funzioni di interlocutore unico nazionale per i soggetti, pubblici e privati, per le misure attuative della strategia nazionale di cybersicurezza (cfr. direttiva NIS). In qualità di Centro nazionale di coordinamento italiano l’Agenzia si interfaccerà con il Centro europeo di competenza per la cybersicurezza nell’ambito industriale, tecnologico, della ricerca e della protezione encryption del dato, concorrendo ad aumentare l’autonomia strategica europea nel settore.
Agenzia per la cyber security, una svolta per l’Italia digitale: ma ora lavorare sulle competenze
Partnership pubblico/privato e rapporto con la Difesa e le Agenzie di intelligence
Gli obiettivi della nuova Agenzia potranno essere perseguiti, costruendo appositi strumenti di cooperazione (fondazioni o società) con l’industria, che contribuisce così alla costruzione dello scudo cyber del Paese nell’ambito della progettualità internazionale, della formazione e dello sviluppo delle tecnologie. Andrà quindi istituzionalizzato il dialogo tra la struttura ed il comparto industriale, in modo che gli operatori in possesso delle dovute certificazioni possano essere coinvolti “in automatico”, come avviene per i gruppi di lavoro istituiti presso il NIAG della NATO. Potrebbe inoltre essere utile dedicare alle aziende del cybersicurezza una Zona Economica Speciale, consentita e prevista dalla UE, per spingerle con vantaggi fiscali ad insediarsi in distretti o parchi tecnologici sul modello del campus Ber’Sheva in Israele.
Per la prima volta nell’ordinamento italiano il Decreto introduce il concetto di “risposta” e di “reazione” agli attacchi cyber. (art. 7, comma 1, lettera n; art. 9, comma 1, lettera b; art. 10, comma 4) aprendo alla possibilità di portare a compimento operazioni di contro-offensiva cyber, che hanno l’obiettivo di colpire le properties e le capabilities del soggetto ostile, che ha portato un attacco cibernetico al nostro Paese, o che sta per compierlo.
Andranno meglio definite, con atti successivi, le regole di ingaggio di tali operazioni ed a chi viene assegnato il compito di compierle. Va meglio definito il rapporto con FF.AA, FF.PP ed Agenzie di intelligence, al fine di avere chiarezza dei compiti ed una massa di manovra consistente che si occupi di difesa proattiva. Andranno dunque distinte le azioni relative all’ambito “Cyber Defense”, che dovranno essere prerogativa delle strutture preposte delle Forze Armate, da quelle relative all’ambito “Cyber Intelligence”, compito specifico delle Agenzie di Sicurezza Nazionale AISE ed AISI. Infine, affinché l’Italia possa offrire concretamente soluzioni tecniche per portare azioni di deterrenza e reazione in dote all’Alleanza Atlantica (chiarito che l’attacco cyber implica la possibilità di invocare l’articolo 5 del trattato), bisognerà definire se e come i soggetti privati industriali possono operare per fornire ai soggetti istituzionalmente preposti alle iniziative di deterrenza, prodotti o servizi pensati e progettati per tale scopo. L’obiettivo di far conseguire alle industrie nazionali la capacità di produrre sistemi d’arma cyber di alto livello è perseguibile sviluppando programmi finanziati e gestiti con modalità analoghe a quelle del procurement militare.
- https://www.amazon.it/ibrida-potere-tecnologia-competizione-globale/dp/8875783799 ↑
