Gestione del rischio nelle smart city: sfide e opportunità per gli amministratori

La gestione del rischio nelle smart city risponde a una esigenza epocale.

Per fare fronte all’assalto di miliardi di persone ed alle loro sempre differenti necessità, i nuovi agglomerati urbani, che assumeranno sempre più la forma di megalopoli tra loro interconnesse e mutuamente dipendenti, dovranno necessariamente fondare tutti i propri meccanismi di funzionamento sulle tecnologie informatiche e digitali.

E questo con particolare riferimento a sensori, dispositivi informatici e strumenti elettronici in grado di inviare e ricevere un numero incalcolabile di dati in maniera autonoma, elaborandoli in pochi millisecondi secondo logiche e traiettorie a volte incomprensibili agli stessi essere umani.

Si tratterà di sistemi complessi ed estremamente articolati, solamente lontani parenti delle originarie Città del passato (o anche del nostro presente), e chiamati, pertanto, ad affrontare sfide del tutto nuove e differenti, in cui un peso preponderante avranno aspetti virtuali ed intangibili, questioni etiche, morali e di sicurezza fino ad oggi praticamente sconosciuti alla maggior parte della classe dirigente e manageriale.

Emerge, pertanto, in maniera forte la necessità di adottare adeguati e differenti modelli di governance e gestione ma soprattutto l’urgenza di individuare, studiare ed affrontare in maniera sistematica e ad ampio spettro i rischi legati alla nuova fisionomia delle città ed a tutto ciò che l’adozione su larga scala di tecnologie emergenti può comportare in termini di sicurezza e salvaguardia della vita umana.

Le nuove città col cuore elettronico

Entro il 2030 il 70% della popolazione mondiale, per un totale di circa 2 miliardi di persone, vivrà stabilmente all’interno di contesti urbani: si tratta, in sostanza, di una delle più grandi rivoluzioni nello stile di vita dell’uomo, che deve essere necessariamente affrontata, gestita ed organizzata nella maniera più lineare ed indolore possibile.

Per avere un’idea di massima del fenomeno, basti pensare che, secondo il rapporto “World Urbanization Prospects” redatto dall’ONU, la Grande Delhi è pronta a balzare da 28 a 39 milioni di abitanti, scalzando Tokyo nella speciale classifica delle aree più popolate, e che le zone metropolitane in paesi in via di sviluppo quali Karachi, Lagos e Dacca supereranno realtà storiche come New York, Osaka e São Paulo.

Facile comprendere come le Città di tutto il mondo nei prossimi anni saranno, pertanto, interessate da un imponente flusso migratorio, assolutamente non gestibile secondo paradigmi, sistemi di riferimento e regole organizzative anche lontanamente paragonabili a quelli attuali.

In estrema sintesi, è possibile affermare che, per scongiurare quella che si preannuncia come una vera e propria calamità, gli amministratori siano chiamati a mettere in atto, in tempi ormai strettissimi, una serie di accorgimenti volti ad innovare radicalmente il concetto stesso di Città, conducendo non solo le grandi metropoli ma anche i centri di dimensioni più ridotte verso una nuova era, che dovrà inevitabilmente utilizzare in maniera preponderante le tecnologie informatiche, gli strumenti digitali ed avere un “cuore elettronico”, in grado di automatizzare e semplificare ogni aspetto della vita quotidiana di una moltitudine di individui.

Per tali motivazioni, l’ambiente urbano è destinato a divenire ancora più complesso, interconnesso e popolato da miliardi di sensori, dispositivi e macchine, arrivando a concretizzare, anche grazie alla cosiddetta IoT (Internet delle cose), il modello delle smart-city, che, mutuando la definizione fornita dall’ International Telecommunication Union (ITU), possono essere considerate come “città innovative che utilizzano le tecnologie dell’informazione e della comunicazione per migliorare la qualità della vita, l’efficienza dei servizi urbani e la competitività, garantendo al contempo che siano soddisfatte le esigenze delle generazioni presenti e future in relazione agli aspetti economici, sociali e ambientali“.

Le nuove fonti di rischio nelle smart city

E’ del tutto evidente, però, che, nel contesto appena descritto, in cui le “Smart City” utilizzano tecnologie e strumenti innovativi con l’obiettivo di migliorare la gestione dei flussi urbani e consentire risposte in tempo reale a problematiche sempre più impellenti e complesse, emergano nuove fonti di rischio per l’incolumità dei cittadini, che devono essere opportunamente analizzate, affrontate e mitigate.

Il primo fondamentale problema che deve essere improcrastinabilmente trattato riguarda un aspetto spesso trascurato ma che, nel mondo ipertecnologico del prossimo futuro, potrebbe diventare assolutamente discriminante per la sicurezza e l’incolumità degli individui e delle collettività e che riguarda le mutazioni fisiologiche cui saranno sottoposti i software e i dispositivi elettronici nei prossimi decenni: dovendo gestire un numero estremamente elevato di dati ed informazioni, che possiamo collocare in ordini di grandezza totalmente diversi rispetto a quelli attualmente gestiti (si pensi ad esempio alla differenza intercorrente tra un nanogrammo ed una tonnellata), i nuovi sistemi informatici dovranno divenire da un lato sempre più “autonomi”, ossia sganciati dall’interazione con esseri umani, e dall’altro sempre più “imprevedibili”, nel senso che sarà estremamente complesso ripercorrere a posteriori il processo effettivamente seguito da un sistema informatico per giungere ad un determinato output partendo dalle variabili iniziali.

Al fine di esplicitare meglio i concetti appena esposti è possibile fare riferimento ad alcuni esempi di applicazioni elettroniche che già si stanno affacciando nella nostra vita e che a breve potrebbero divenire parte integrante del quotidiano di tutti noi, quali le automobili a guida autonoma, in sperimentazione da diversi anni in alcune nazioni, e le cosiddette reti neurali, su cui si basa l’intelligenza artificiale.

Le auto a guida autonoma: questioni etiche e di cyber security

Le “self driving car”, sulle quali ormai il dibattito è aperto ed articolato non solo tra gli addetti ai lavori, ci offrono una visione estremamente nitida e facilmente intellegibile delle potenzialità, dei limiti e dei rischi intrinsecamente connessi al “passaggio di consegne” nelle postazioni di comando tra l’uomo e i dispositivi elettronici.

Se, infatti, il primo problema che ci si è posti nel momento in cui le prime autovetture sono state portate in strada, ma ancor prima quando sono state congegniate, è stato quello della capacità degli strumenti informatici di saper emulare i comportamenti umani in scenari estremamente complessi e repentinamente cangianti come quelli che si presentano alla guida di un’ autovettura, ben presto ci si è resi conto che le criticità più profonde fossero di natura estremamente diversa e travalicassero gli ambiti tecnici per toccare sfere se possibili ancora più complesse quali l’etica, la morale ma anche la cyber security e l’incolumità stessa del “guidatore” (o meglio del soggetto trasportato) rispetto alle decisioni del proprio mezzo di locomozione intelligente.

Proviamo a fare chiarezza attraverso alcuni semplici quesiti: nel caso in cui un veicolo a guida autonoma si dovesse trovare difronte ad una situazione di emergenza in cui non sia più possibile evitare un incidente, su quali basi dovrebbe decidere quale sia la migliore soluzione?

Ancora più in dettaglio, cosa dovrebbe fare se si dovesse trovare a decidere se sterzare a destra, travolgendo un gruppo di persone, continuare per la propria traiettoria, investendo magari uno scuolabus, o virare a sinistra, infrangendosi contro un muro e, pertanto, sacrificando i propri passeggeri?

Sono, invero, situazioni che, con presupposti differenti, avvengono da decenni quasi tutti i giorni sulle strade di tutto il mondo e che al momento sono totalmente gestite dalla capacità di reazione degli esseri umani ma che assumeranno un significato drammaticamente diverso in un futuro ormai imminente.

Il problema di fondo, come si può facilmente intuire, non è connesso semplicemente alla quantificazione del rischio e del possibile danno, che di fatto può essere un aspetto valutato anche da giudici e da compagnie assicurative attraverso tecniche già oggi utilizzate e “mature” (esistono già prassi e procedure, per esempio, calcolare il danno economico derivante da un decesso per incidente stradale o sul lavoro), ma è al contrario relativo al completo ed inevitabile affidamento di decisioni strategiche (in questo caso “vitali”) a strumenti che non conosciamo, che qualcun altro ha costruito per noi e che, in ultima istanza, potrebbero assumere comportamenti anomali perché difettosi o perché vittime di attacchi esterni.

Come anticipato in precedenza, lo scenario appena descritto rappresenta, in maniera iconica, il trasferimento, che sarà sempre più accentuato fino a diventare irreversibile, delle capacità decisionali dall’uomo alle macchine con tutte le conseguenze che possono derivare.

Evitando di entrare in dettagli squisitamente tecnici che trascendono dalla presente trattazione, proviamo a porci qualche altro quesito: saremmo disposti a salire su un’ automobile che potrebbe decidere di schiantarsi perché, secondo i propri parametri, in talune specifiche situazioni, il male minore è rappresentato dall’autodistruzione propria e dei suoi passeggeri? Allo stesso modo, riteniamo accettabile che qualcuno (ossia un programmatore informatico) sia gravato dalla responsabilità di decidere preventivamente quale decisione una macchina deve assumere in circostanze ben definite secondo regole che non conosciamo o potremmo non condividere? Si tratta, in questo caso, di aspetti tecnici, normativi, morali o etici?

Proviamo, però, a ripensare a tutti gli esempi ed agli interrogativi che finora ci siamo posti, collocandoli nella situazione in cui la macchina chiamata a prendere le decisioni nei momenti sopra elencati fosse stata manipolata da attaccanti esterni che, per qualsiasi ragione, volessero alterare il naturale corso degli eventi. In termini ancora più semplici, cosa succederebbe se la vettura fosse infettata da virus informatici come oggi accade per i computer, i notebook o gli smartphone?

E’ del tutto evidente come nascano categorie di rischi totalmente differenti che devono essere analizzati, studiati e gestiti attraverso modelli e tecniche differenti che trasportano anche il “Risk Management” ed i suoi professionisti in una nuova era, in cui è necessario ragionare “quadrimensionalmente”, aggiungendo anche le variabili dell’autonomia e dell’estrema complessità dei sistemi digitali agli elementi finora presi in considerazione nella quantificazione e qualificazione delle minacce, delle vulnerabilità e delle conseguenti probabilità di intersecazione.

Le reti neurali artificiali

Come accennato in precedenza, un altro aspetto particolarmente significativo per comprendere i rischi connessi ai nuovi scenari che diventeranno estremamente attuali nell’era delle smart-city è quello delle reti neurali artificiali, il cui studio oggi è alla base della costruzione dell’intelligenza artificiale del futuro.

Per comprendere immediatamente le possibilità applicative di una rete neurale artificiale, che dal punto di vista tecnico si descrive come un modello matematico adattivo il cui scopo è quello di simulare il funzionamento delle omonime reti neurali biologiche all’interno di un sistema informatico, è possibile far riferimento ai processi di riconoscimento facciale o vocale già in uso nei nostri smartphone, ai sistemi radar di nuova generazione, che possono anche individuare la natura e le caratteristiche degli oggetti intercettati, e a tutto ciò che, in generale, avvicina il modello di funzionamento dei dispositivi elettronici ai meccanismi di interazione della mente umana.

Si tratta, naturalmente, di tecnologie che dovranno sempre più evolversi e diffondersi nell’era delle città intelligenti ma che pongono inquietanti interrogativi relativi soprattutto alla difficoltà, se non proprio impossibilità, di spiegare il loro comportamento nel linguaggio simbolico umano, tanto che nel gergo tecnico sono spesso indicate come “black box“, i cui i risultati vanno accettati “così come sono“, quasi fossero un dogma di fede.

In altre parole, a differenza di un sistema informatico tradizionale, dove si può esaminare in itinere il percorso che conduce alla generazione dell’output, nel contesto delle rete neurali non risulta possibile spiegare il processo sotteso alla generazione del risultato.

E’ del tutto evidente come, ancora una volta, il percorso di generazione di dispositivi intelligenti capaci di gestire situazioni estremamente complesse, come quelle in cui milioni di persone devono convivere in uno spazio relativamente ristretto, stia introducendo nuove fattispecie di vulnerabilità che, se non adeguatamente affrontate, rischiano di travolgere l’intero sistema provocando conseguenze al momento difficilmente preventivabili.

Il concetto di “fiducia”

Proviamo, ad esempio, ad immaginare un sistema di sensori “intelligenti” in grado di prevedere con una percentuale “accettabile” di accuratezza il verificarsi di un particolare fenomeno metereologico e di avvertire la cittadinanza attraverso una rete di allarmi di emergenza che invitano ad evacuare immediatamente la città.

Cosa succederebbe nei casi di falso positivo (ossia se gli allarmi partissero senza alcun motivo) o di falso negativo (se cioè il sistema non si attivasse a fronte di una calamità in arrivo)? Se, ancora, ipotizziamo che la predetta architettura intelligente possa anche abilitare o disabilitare a cascata altre infrastrutture digitali che, a loro, volta potrebbero essere deputate a controllare altri aspetti fondamentali per la sicurezza di una città (ad esempio l’accensione o lo spegnimento della pubblica illuminazione o l’apertura/chiusura di una diga), è davvero immediato comprendere come il cattivo funzionamento di un singolo elemento possa generare disastri di enorme portata.

Invero, quello che potrebbe apparire come un esempio quasi fantascientifico si è concretizzato nella città di Dallas, in Texas, quando durante la notte del 7 aprile 2017 (esattamente alle 11.40 di sera) 156 sirene di emergenza, normalmente utilizzate per segnalare condizioni meteorologiche di estrema gravità hanno iniziato inspiegabilmente a suonare, continuando per ben 1 ora e 40 minuti nonostante tutti i tentativi delle autorità di arrestarle e spargendo il panico in tutta la popolazione.

Ma ancora più preoccupante è il fatto che, nel caso in cui un problema si verificasse, potrebbe non essere possibile, a causa dei comportamenti potenzialmente imprevedibili di elementi quali le reti neurali, risalire a quali anomalie abbiano effettivamente innescato l’intero processo, con la conseguente generazione di una inaccettabile situazione di confusione, insicurezza e perdita di fiducia.

A tale proposito, riportando quanto afferma il Vice Presidente del colosso internazionale “Thales” specializzato nell’aerospaziale, nella difesa, nella sicurezza e nel trasporto terrestre, Richard Moulds, “è essenziale poter credere a ciò che i dispositivi utilizzati nelle nostre città stiano dicendo e controllare ciò che fanno. Dobbiamo essere sicuri che stiamo parlando con la cosa giusta, che questa funzioni correttamente, che possiamo credere alle cose che ci dice, che farà ciò che gli diciamo, e che nessun altro possa interferire sul suo corretto funzionamento”.

Invero, in un mondo fortemente regolato dalla tecnologia e basato sull’utilizzo spinto di sistemi di elaborazione digitale, il concetto di fiducia (o “Trusting” in lingua inglese) assume un significato profondo ed ancora più complesso rispetto a quanto siamo oggi abituati.

In ogni momento della propria esperienza quotidiana, infatti, gli esseri umani saranno chiamati a utilizzare informazioni pervenute da strumenti elettronici, ad affidarsi alle loro decisioni ma anche ad accettare incondizionatamente le loro azioni, intraprese in maniera sempre più autonoma, per risolvere problematiche ed esigenze di qualsiasi natura.

Non si avrà, in sostanza, l’opportunità di analizzare in tempo reale, ma a volte nemmeno “in differita”, i miliardi di dati sottesi ad ogni interazione con i sistemi tecnologici: semplicemente sarà necessario fidarsi della corretta implementazione e configurazione dei dispositivi utilizzati anche e soprattutto in situazioni in cui è in gioco la nostra stessa sicurezza personale.

Allo stesso modo, però, anche gli oggetti intelligenti dovranno fidarsi reciprocamente tra loro in quanto dovranno scambiarsi un flusso informativo pressoché costante lungo tutto il proprio ciclo vitale e non potranno assolutamente interrompere le interlocuzioni con il resto dell’ecosistema urbano per non compromettere la continuità di servizi vitali per l’incolumità di tutti i cittadini.

Le smart city come sistema complesso

Da quanto abbiamo finora analizzato, emerge abbastanza chiaramente come le città, e le smart-city in particolare, debbano essere, a tutti gli effetti considerate, come dei “sistemi complessi”, in cui singoli elementi possono mutuamente influenzarsi creando un’entità profondamente diversa (e ben più articolata) rispetto alla semplice sommatoria di parti individuali, che deve essere, pertanto, studiata attraverso tecniche “olistiche”, finalizzate ad analizzare i cosiddetti “comportamenti emergenti”.

In tale contesto, fondamentale importanza riveste lo studio del “rischio sistemico”, che, utilizzato soprattutto in ambito finanziario, può essere definito come la probabilità che l’impatto di un danno arrecato a singoli componenti particolarmente critici o fortemente interconnessi si ripercuota su tutti i membri di un intero sistema, arrivando a travolgerlo.

Partendo da considerazioni di questo tipo, la classificazione e la protezione delle infrastrutture critiche che possono causare danni anche irreversibili alle città è divenuta da diversi anni una preoccupazione primaria sia negli Stati Uniti, che nel 2009 ha istituito un piano nazionale di protezione dell’infrastruttura (NIPP), aggiornato con cadenza annuale, sia nell’Unione Europea, che con la direttiva 114/08 ha avviato una strategia finalizzata a mettere in sicurezza i sistemi ritenuti maggiormente critici.

Estremamente interessanti sono i dati emergenti dall’analisi comparata dei documenti sopra citati, che permettono di estrapolare alcune delle aree di rischio sistemico maggiormente sensibili per le smart-city:

I “rischi non tecnici” legati alla gestione delle tecnologie

Un elemento fortemente peculiare delle nuove smart city è rappresentato, come abbiamo visto in precedenza, dal forte utilizzo di tecnologie emergenti basate soprattutto sulla produzione di grandi quantità di dati, sull’elaborazione di informazioni eterogenee e provenienti da fonti tra loro indipendenti e sulla diffusione in tempo reale di istruzioni, comandi o interlocuzioni digitali tra componenti elettronici, sensori e dispositivi informatici.

Tale situazione contribuisce, dal punto di vista dell’analisi del rischio, ad introdurre una nuova fondamentale problematica, connessa alla capacità di governo e gestione di tali sistemi che non possono assolutamente essere considerati come componenti di “utility” ortogonali rispetto al core-business di una città moderna ma devono essere trattati come elementi focali dell’intera filiera amministrativa.

Si tratta, invero, di una tematica di non poco conto se si considera che, secondo uno studio congiunto condotto dalla Sungkyunkwan University di Seoul e dalla Albany University dello Stato di New York, b mentre solo il 15% dei fallimenti è ascrivibile a difficoltà di ordine tecnico o implementativo.

Formazione, competenze e best practice

Un aspetto particolarmente sensibile che spesso viene sottovalutato o comunque non inquadrato nella giusta ottica è quello relativo alle competenze trasversali, multidisciplinari ed orientate anche alla gestione del rischio e della sicurezza che i nuovi manager cittadini devono inderogabilmente acquisire per poter governare le nuove metropoli intelligenti che, come abbiamo avuto modo di vedere, saranno sempre meno assimilabili alle originarie città da cui si sono evolute.

E’ fondamentale, pertanto, che gli organi politici ed amministrativi siano pienamente consapevoli delle sfide che una smart city è chiamata ad affrontare quotidianamente per garantire ai propri abitanti non solo servizi qualitativamente elevati ma anche standard di sicurezza per proteggerli da calamità naturali, malfunzionamenti dei sistemi, errori umani ed attacchi deliberati.

L’introduzione ad un livello estremamente spinto di dispositivi, sensori e moduli elettronici “intelligenti” richiede, imprescindibilmente, il rispetto di “best practice” e “misure minime” che devono divenire parte integrante di appalti pubblici, metodologie di collaudo e framework di audit e monitoraggio continuo.

Non è sufficiente che un sistema risponda funzionalmente ai requisiti richiesti (che, per esempio, le luci pubbliche si accendano e spengano negli orari prestabiliti) ma è fondamentale che fornisca adeguate garanzie di integrità, solidità ed “immunità” rispetto ad attacchi esterni.

Da una ricerca effettuata dalla società statunitense “IOActive Labs”, che rappresenta un punto di riferimento nel campo della cybersecurity, è emerso come città quali Washington D.C., New York, Seattle, San Francisco, Londra, Lione e Melbourne siano stati installati in pochi mesi dalla stessa multinazionale, vincitrice di differenti appalti pubblici, circa 200.000 sensori di controllo del traffico vulnerabili e insicuri, i cui dati avrebbero potuto essere facilmente intercettati fino a 1.500 metri di distanza perché, incredibilmente, non erano state crittografate le informazioni inviate e ricevute.

In particolare, secondo le analisi condotte, sfruttando tale bug, che sarebbe stato facilmente evitato attraverso appropriati test di sicurezza, un malintenzionato avrebbe potuto alterare il funzionamento dei semafori, modificare i segnali di limite di velocità elettronici o gestire a proprio piacimento i flussi d ingresso sulle autostrade.

Sfortunatamente, secondo il rapporto della “IOActive Labs” non si tratterebbe di un caso isolato in quanto “la maggior parte dei venditori di prodotti sta rilasciando hardware, software senza alcuna sicurezza e i governi lo stanno accettando senza alcun test“.

Cyber attacchi su infrastrutture critiche

Quanto appena illustrato, invero, assume un significato ancora più profondo ed allarmante se si pensa che il numero di attacchi informatici su sistemi di infrastrutture critiche è in continuo aumento e che, secondo quanto riportato dal Dipartimento della Sicurezza Nazionale (DHS) degli Stati Uniti, la maggior parte delle intrusioni hanno un esito positivo, con la preoccupante conseguenza che ad oggi non sia possibile sapere quali informazioni critiche per la sicurezza e l’incolumità pubbliche siano in mano a terroristi e criminali e possano, pertanto, essere utilizzate per preparare attacchi dagli esiti potenzialmente catastrofici.

Solo pochi mesi fa, ad esempio, dopo che una serie di eventi anomali aveva condotto ad una indagine internazionale, si è scoperto che nel 2012 alcuni hacker cinesi avevano violato i sistemi di un’azienda canadese che fornisce software finalizzati a permettere di compagnie di oleodotti e gasdotti e agli operatori della rete elettrica di accedere da remoto a valvole, interruttori e sistemi di sicurezza, riuscendo a recuperare, ed a rivendere, piani dettagliati su oltre la metà degli oleodotti e dei gasdotti nel Nord America.

Nel 2014, inoltre, i ricercatori di “Black Hat Europe” hanno dimostrato come sia possibile oscurare interi quartieri in diverse nazioni del mondo, che condividono le medesime tecnologie, manipolando i contatori elettronici e sfruttando (come nel caso dei sensori per il controllo del traffico illustrato in precedenza) problemi di crittografia nel protocollo di comunicazione utilizzato per interconnettere le linee elettriche.

Ancora più preoccupante è la notizia diffusa dai servizi di sicurezza degli Stati Uniti che, dopo la diffusione di una serie di voci incontrollate sull’argomento, hanno confermato come “un sistema malevolo altamente sofisticato” sia riuscito a penetrare nei server di una azienda di trasporti pubblici informatizzati, carpendo dati di natura altamente critica e riservata, semplicemente “indovinando” la password di un sistema connesso a Internet.

Conclusioni

E’ ormai un fenomeno incontrovertibile la profonda trasformazione che sta interessando le città di tutto il mondo, chiamate a diventare, in un intervallo di tempo molto ristretto, centri aggregatori e propulsivi in cui si concentrerà, al termine di un fenomeno senza precedenti nella storia dell’umanità, la maggior parte della popolazione di tutto il mondo.

A fronte di quanto abbiamo fin qui esaminato, anche per il Risk Management, pertanto, si apre una nuova era, in cui sarà fondamentale esplicitare anche le minacce derivanti dalla nuova “collocazione gerarchica” dei dispositivi e dei “cervelli” elettronici che, come già sta iniziando a divenire evidente con i veicoli a guida autonoma, saranno anche investiti dell’onere di assumere decisioni e adottare contromisure fino ad oggi riservate all’essere umano, travalicando completamente l’ormai labile confine tra l’essere strumenti al servizio dei propri ideatori ed il divenire, in senso lato, “conducenti” (ma in alcuni casi anche veri e propri deus ex machina), in grado di incidere “coscientemente” e direttamente sulla sicurezza e sulla salvaguardia di un insieme sempre più vasto di persone.