Contro gli hacker servono una scuola e un vero piano di formazione

L'attacco alla Ulss 6 di Padova è una triste conferma di quanto scrivevo appena due settimane orsono a proposito della sanità in generale. Inutile ripetersi, piuttosto si possono fare alcune considerazioni su come il susseguirsi di incidenti stia producendo un positivo effetto collaterale che speriamo si traduca in pratica: mai come in questi ultimi tempi sono stati annuncianti tanti progetti destinati a formare professionisti di settore.

Solo la scorsa settimana sono arrivati a poche ore di distanza prima l'annuncio della Regione Lazio che entro sei mesi avvierà la Scuola di Alta Formazione sulla Cyber Security, poi quello del lecchese Istituto Superiore Badoni pronto ad attivare il primo corso pluriennale in cybersecurity. Per quanto lentamente, il sistema sembra muoversi, forse ancora faticosamente, di certo in ordine sparso, ma in assenza di un coordinamento centrale che sia realmente operativo, ben vengano le iniziative locali.

Come ho scritto e detto in altre sedi, per preparare un professionista del settore ci vuole molto tempo e se mai si inizia gli anni necessari diventeranno rapidamente decenni. In questa vicenda però ci sono due aspetti sui quali sarebbe necessario riflettere. Il primo è di carattere generale. Sappiamo bene che il fattore umano è nella maggior parte dei casi l'elemento che i criminali cyber sfruttano per portare a compimento un attacco. A questo proposito non è la formazione di specialisti che può fare la differenza, bensì un piano nazionale per ogni scuola di ordine e grado che introduca l'argomento della consapevolezza cyber come materia obbligatoria.

Purtroppo da questo siamo ancora molto lontani e, al di là di annunci che si ripetono da mesi se non anni, siamo ancora ai blocchi di partenza. Il secondo riguarda specificatamente il tema delle iniziative professionalizzanti. Mi riferisco ai programmi e ai docenti. In altra sede ho scritto come l'ambito della sicurezza di dati e tecnologie stia assumendo proporzioni tali che il "tuttologo" non è più ammissibile. Di sicuro è indispensabile un certo eclettismo, ma un professionista in grado di occuparsi con pari competenze di analisi dei malware e protezione dei dati dovrebbe essere un epigono di Pico della Mirandola o Leonardo da Vinci.

A tal proposito qualunque iniziativa formativa dovrà compiere un notevole sforzo per creare dei programmi di studio da un lato equilibrati, ma dall'altro non troppo generalisti, magari partendo da una prima distinzione tra i professionisti con orientamento gestionale e quelli con competenze tecnologiche. L'altra questione riguarda i docenti. E' un dato di fatto che le persone con competenze in materia sono poche, di queste una minoranza ha le capacità richieste a un insegnante, e, infine, del gruppo ristretto di chi potrebbe solo una piccola percentuale vorrebbe. Dunque chi andrà in aula a forgiare un nuova generazione di specialisti in cyber security? Non è forse il caso di iniziare a pensare ad un piano di formazione per i formatori?