CYBER-SECURITY

LUCIANO PILOTTI, ESP-UNIVERSITÀ STATALE DI MILANO

Falle infrastrutturali e “ibridazione dei dati” tra scarsità culturali, formative e di investimento

Le vicende di questi giorni sui temi della cybersecurity e di accesso fraudolento a dati sensibili evidenziano la grande povertà culturale e infrastrutturale dei nostri sistemi di banche dati e la scarsità di difese dal digital crime penetration. Partiamo da un primo punto essenziale da comprendere e relativo alle caratteristiche della “materia prima” che sono i dati e che questi – come tutte le materie prime e seconde – si comprano e si vendono su mercati “in chiaro” e su mercati “in nero” come il deep & dark web. Mercati che in assenza di meccanismi di difesa dalle intrusioni, scarsità tecnico-culturale e di digital test penetration oltre a scarsità regolatoria si sono fatti sempre più “ibridi” e dunque penetrabili. Serve allora maggiore chiarezza sulla natura di questi dati comprendendo a fondo la forma del loro digital packaged e dei processi che li rendono fruibili: qualità, come vengono usati, da chi e perché. Prendendo contezza che i mercati dei dati esistono e che vanno regolati come per gli altri mercati, ma in questo caso con maggiore attenzione e cultura della sicurezza con investimenti anti-intrusione essendo i dati – “proprio perché l’oro del futuro“- materia sensibile, proteggendoli e con loro la privacy sanzionando eventuali abusi. Un secondo punto da sottolineare allora riguarda il confine tra pubblico e privato e come delineare il contatto tra componenti pubbliche e private del dato e come tracciarlo perché da questo dipenderà il costo di transazione e transizione da uno stato “pubblico” ad uno “privato”.

Se guardiamo al dato italiano scopriamo – sulla base di fonti accreditate – che oltre il 90% delle banche dati pubbliche sono insicure, ma anche quelle private sono altamente insicure seppure con un gradiente inferiore che possiamo collocare attorno al 60%.

Quindi significa che queste banche dati sono esposte a intrusioni per le falle che lasciano aperte e dove si infilano i delinquenti o hacker di turno, siano questi white collar o blue collar. A segnalare – come ha fatto la Procura di Milano – il vero problema, ossia il basso tasso di cultura della sicurezza. Negli ultimi dieci anni, l’Italia ha visto un aumento significativo delle intrusioni informatiche sia nel settore pubblico che privato. Secondo il Rapporto Clusit 2024, nel 2023 sono stati registrati 310 attacchi gravi in Italia, un aumento del 65% rispetto al 2022. Questo rappresenta l’11% degli attacchi gravi globali. Nel 2020, il Ministero dell’Interno ha registrato 49.546 reati informatici, un aumento del 21,3% rispetto all’anno precedente e un incremento del 297% rispetto al 2011. Inoltre, dal 2011 ad oggi, si sono verificati oltre 15.000 incidenti informatici, con oltre la metà di questi avvenuti negli ultimi quattro anni e mezzo.

La domanda conseguente allora è perché siamo a questo punto di grave insufficienza culturale e procedurale della sicurezza informatica e digitale? Non basta dunque guardare al lato sanzionatorio – anzi può essere fuorviante semplicemente inasprire le pene alla ricerca di “consenso facile” e di breve termine – se non si associa ai necessari investimenti (formativi e di infrastruttura) che devono essere intrapresi e rapidamente per provare almeno a minimizzare i danni da ritardo digitale, culturale e infrastrutturale. Cercando un allineamento alle migliori pratiche internazionali considerando che gli investimenti sul dark web sono ormai realizzati da enormi risorse dai Deep State (Russia, Cina?) per sviluppare un’arma sempre più ibrida di condizionamento delle strategie globali e che viaggiano con un parallelismo complementare a cannoni, missili, carri-armati, aerei e droni e di cui Telegram è certo uno dei canali recenti più noti. Ma non vi sono estranei né Google, nè Instagram o Amazon, detenendo il controllo su immense catene montuose di dati riservati e personali che certo “rilasciano” – direttamente o indirettamente – nei mercati legali e con derive frizionali anche in quelli illegali vista la loro altissima “liquidità ubiquitaria”. Dunque darsi una strategia di sicurezza, di infrastruttura e di controllo certo è costoso ma va fatto, soprattutto sapendo che “sanzioni a costo nullo” possono essere costosissime ex-post e non solo (o non tanto) per il digital crime, ma per le vittime e per il sistema nel suo complesso come effetti di distorsione competitiva, scarsa trasparenza, violazioni identitarie, costi procedurali e transattivi.

Nel caso di questi giorni sollevato dalla Procura di Milano – e probabilmente semplice punta di un iceberg – certamente lo stato dei controlli ha evidenziato falle enormi tanto da essere penetrato da intrusioni semplici e banali per centinaia di migliaia di volte senza adeguati alert, perché di fatto in presenza di “porte spalancate” delle banche dati che sono state “forate” con troppa facilità e dunque evidenziando la enorme sottovalutazione del problema che richiede interventi rapidi e di scala significativa in assenza di deterrenza di pene comunque significative. Un terzo punto nodale riguarda la tipologia dei controlli sulle banche dati pubbliche e la forma di “esternalizzazione” che le caratterizza.

Infatti, siamo in presenza di attività di controllo e manutenzione delle reti che hanno natura esterna essendo affidata ad operatori “private services non in-house”. L’Agenzia Nazionale per la Cybersecurity dovrebbe infatti sviluppare un server centrale pubblico dove convogliare investimenti sulla sicurezza, fondamentale anche per l’azione di indagine penale e per le intercettazioni. Ad ulteriore segnale della enorme sottovalutazione del problema di sicurezza mancando totalmente di un core concettuale strategico fondamentale e cioè di “infrastruttura critica” che deve essere di esclusiva competenza pubblica dovendo maneggiare dati estremamente sensibili come quelli sanitari, economici, patrimoniali, finanziari, di giustizia e dunque connessi strettamente alla protezione delle nostre libertà fondamentali.

Un quarto tema attiene alla qualità e affidabilità del personale dedicato a questi servizi di sicurezza, siano essi pubblici o privati per i quali probabilmente non è più sufficiente una selezione solo sulle competenze se non anche accompagnate da formazione alle virtù e da adeguati salari. La formazione ed educazione degli user è altrettanto rilevante, ma per questo spetta a noi diventare più consapevoli.

Un problema generato dunque da scarsa consapevolezza culturale e conseguentemente da ritardo digitale che andranno rapidamente allineati sia per le violazioni della sicurezza nazionale, sia per quelle al normale funzionamento dei mercati oltre che alla protezione della sicurezza personale dei dati e della privacy di milioni di persone coinvolte e delle loro(nostre) libertà.