Il mondo nelle mani degli hacker

Ransomware è un programma informatico malevolo. La sua pericolosità consiste nell’“infettare” smartphone, pc, tablet e smart tv che usiamo ogni giorno, bloccando l’accesso ai contenuti che ci sono dentro per poi chiedere un riscatto in cambio del loro rilascio. Sembra la trama di una spy story, e invece è una dinamica con cui istituzioni e imprese di vario livello stanno facendo i conti ormai da tempo anche in Italia.

Questi e altri argomenti, sempre più “caldi” da quando la Russia invadendo l’Ucraina lo scorso 24 febbraio ha elevato il livello di minaccia informatica nei confronti dell’Occidente, sono stati al centro del convegno tenutosi al Centro Studi Americani di Roma il 13 aprile dal titolo “Cybersecurity. Amministrazione pubblica e imprese sicure”, il secondo di tre eventi organizzati in partnership con Open Gate Italia e Paesi Edizioni.

Ai saluti iniziali del direttore del Centro Studi Americani Roberto Sgalla e a un’introduzione di Andrea Morbelli, head of public affairs di Open Gate Italia, è seguito l’intervento di Nunzia Ciardi, vice direttore generale dell’Agenzia per la Cybersicurezza Nazionale, che sul tema degli attacchi Ransomware ha sottolineato la necessità di uno scatto in avanti del nostro Paese. «In Italia abbiamo livelli di Ransomware tra i più alti a livello internazionale - ha dichiarato - Se in passato veniva chiesto un riscatto per rilasciare i dati che erano stati sottratti, la difesa più ovvia era limitarsi a creare un back up di questi dati». Oggi non è più così. Perché le strategie criminali sviluppate attorno all’uso di questo strumento di offesa si sono sempre più affinate. E perché la parte offesa, seppur in ritardo, ha maturato una maggiore coscienza dell’entità del problema.

Se però, come emerso nel corso della tavola rotonda moderata da Luciano Tirinnanzi, giornalista ed editore di Paesi Edizioni, in Italia su 100 soggetti che subiscono un attacco di questo tipo 80 finiscono per cedere al ricatto pagando, è evidente che il problema, anche se percepito meglio rispetto al passato, resta. E la sua risoluzione non è affatto semplice considerato che, come precisato sempre da Nunzia Ciardi, «un attacco Ransomware è difficilissimo da scoprire. Per il riscatto viene chiesto il pagamento in bitcoin sul Dark web, e tutto ciò rende l’attività investigativa molto complessa. L’errore di fondo sta nel fare gli investimenti in sicurezza solo dopo gli attacchi».

In questo quadro l’Agenzia per la Cybersicurezza Nazionale, nonostante gli sforzi mostrati nell’ultimo periodo che si stanno materializzando anche in nuove assunzioni per rendere più solida ed efficiente la struttura, è in ritardo rispetto alle agenzie di altri Paesi europei. E gli ultimi eventi, la pandemia prima e l’invasione russa dell’Ucraina poi, non hanno di certo giocato a suo favore. «Lo abbiamo visto con l’attacco all’infrastruttura digitale della Regione Lazio o al sito del Senato – ha confermato la Ciardi – In questa situazione compito dell’Agenzia è innalzare la resilienza cyber del Paese. La sicurezza assoluta non esiste in nessun campo, ma può essere raggiunto un livello accettabile. Rischi e benefici devono trovare un equilibrio. E l’Agenzia deve aiutare le aziende nel difendersi oltre a stimolare la ricerca di un’autonomia tecnologica per il Paese attraverso la collaborazione tra pubblico e privato».

Successivamente la parola è passata ai privati, che in questo processo di sviluppo tecnologico, come in altri, stanno trainando in avanti il Paese in attesa che dalla politica e dalle istituzioni arrivino indicazioni più definite. Cristiano Alboré, portfolio development director di Telsy, ha posto l’accento sul comportamento umano e sull’importanza di creare percorsi di educazione interni alle aziende per rafforzare la capacità di risposta del Sistema Paese. Emanuele Galtieri, ceo di Cy4Gate Elettronica il cui claim è Cyber Tranquillity, ha individuato nel superamento delle dicotomie tra pubblico e privato il momento in cui il Paese riuscirà finalmente a cambiare passo. Giuseppe Russo, security assurance manager di Amazon Web Services Italy, ha fornito una mappatura degli scenari globali, tracciando il posizionamento delle 26 regioni geografiche e delle 84 zone di disponibilità sparsi nel pianeta in cui sono dislocati i data center dove sono conservati i nostri dati.

La discussione è stata poi alimentata da riferimenti sul piano legale e rimandi al mondo della ricerca, altri due piani in cui si giocano il presente e il futuro della stabilità cibernetica di amministrazione pubblica e imprese del nostro Paese. Annita Sciacovelli, cybersecurity specialist e docente di Diritto Internazionale presso l’Università degli Studi di Bari e la UNINT di Roma, ha preso in riferimento il settore sanitario, «molto fragile dal punto di vista della cyber sicurezza. Nel 2017 un ospedale del Wisconsin, Stati Uniti, ha subìto l’hackeraggio di oltre 1 milione di cartelle cliniche. In Irlanda un anno fa è stato hackerato l’intero sistema sanitario con un danno di oltre 100 miliardi di euro». Lezioni di un passato recentissimo, di cui l’Italia non può non tenere conto.

Stefano Mele, partner dello studio legale Gianni & Origoni e presidente della Commissione sicurezza cibernetica del Comitato Atlantico Italiano, ha invece affrontato un altro tema su cui vengono riposte molte aspettative, ovvero i fondi del Pnrr destinati al settore. «Stiamo ancora costruendo la casa perché, soprattutto in un settore come questo, non si finisce mai di costruirla - ha affermato - In generale, serve un cambio di mentalità in base al quale l’attacco informatico deve essere visto non come un’eccezione ma come la regola. Bisogna capire che si può essere sempre sotto attacco. In quest’ottica, la richiesta di riscatto è un’urgenza sociale enorme. Stiamo creando un cloud che mitigherà i problemi delle pubbliche amministrazioni, ma non va dimenticato il mondo delle pmi che non hanno competenze e risorse per raggiungere gli obiettivi del perimetro di sicurezza. È compito dello Stato offrire delle soluzioni in più».

A conclusione dei lavori la palla è tornata alla politica con l’intervento di Federica Dieni, vice presidente del Copasir, la quale ha ribadito la necessità di «tendere all’autonomi strategica» nel settore. «È necessario farlo almeno a livello europeo e Nato - ha dichiarato - Il decreto Ucraina con gli articoli 28 e 29 ha affermato la possibilità di far rientrare il cloud all’interno della normativa Golden Power, e questo è fondamentale per preservare l’indipendenza strategica nazionale e dell’Ue. Al tempo stesso ha consentito di poter differenziare le funzioni di sicurezza e obbligare le Pa a diversificare. Bisogna capire che non si può mettere a gara l’offerta più vantaggiosa per la sicurezza della nostra pubblica amministrazione». Una corsa al ribasso sul piano dei costi e delle competenze in un fronte delicato come quello della cybersecurity è un altro degli errori che l’Italia non può assolutamente permettersi.