Il mio intervento al convegno sulla minaccia cibernetica

L’incubo orwelliano della sorveglianza globale si è materializzato in questi giorni con il caso dell’amministrazione Obama (programma Prism), che non solo spierebbero i cellulari, ma anche la Rete, con la motivazione della guerra al terrorismo.
Fino a che punto i diritti delle persone possono essere limitati in nome della sicurezza nazionale?
“Non potete avere il 100% di sicurezza e di privacy” dichiara Obama.
Una sorveglianza globale rischia di trasformare un Paese in una nazione di “sospetti”. E di solito i sospetti sono i cittadini non americani.
Ma anche da noi il tema del diritto all’informazione e i diritti alla persona non sono da meno di questo dilemma americano.
La grande Rete è uno specchio del mondo in cui viviamo, ne riflette gli slanci (vedi primavera araba) ma anche le miserie. La Rete si presenta come un’estensione delle relazioni sociali, con profondissime potenzialità elaborative mai conosciute nella storia dell’umanità. Non è un mondo parallelo, ma un’estensione del mondo relazionale e informazionale della nostra società; rappresenta sicuramente il più grande spazio pubblico che l’umanità abbia mai conosciuto. Uno spazio in cui, quotidianamente, milioni di persone si scambiano messaggi, producono e ricevono conoscenza, costruiscono .
Ma nello stesso tempo le nuove tecnologie pongono di fatto seri problemi di difesa degli interessi dei privati e dello Stato.
Se, infatti, da un lato la Rete ha accresciuto il diritto di informazione e di sapere dei cittadini, dall’altro ha posto sovente a rischio la privacy, il diritto all’identità personale e il diritto all’oblio di non poche persone.
Troviamo quotidianamente da parte di testate giornalistiche e blog la pubblicazione online di documenti relativi a procedimenti giudiziari, intercettazioni, coperte dal segreto istruttorio, che possono seriamente compromettere il corretto svolgimento del processo e il diritto delle persone in esso coinvolte al rispetto della propria dignità e della propria riservatezza.
Ma d’altra parte esiste il cyber terrorismo, e quindi l’esigenza del controllo relativa alla sicurezza nazionale non può essere un tema messo tra parentesi
Ed è proprio questo che noi oggi dobbiamo affrontare a proposito del Il DPCM 24 gennaio 2013
Da diverso tempo ormai si parla, grazie anche a evidenti riscontri investigativi, di cyber terroristi che utilizzano le ICT come supporto della loro organizzazione e come strumento di comunicazione riservato. Le nuove forme di antagonismo aggressivo sono in grado di minacciare le nazioni più avanzate tecnologicamente. Una modalità terroristica che punta sulla guerra dell’informazione e individua nei sistemi informatici
Al riguardo, il nuovo Rapporto sulla sicurezza ICT 2013 dell’associazione italiana degli esperti di sicurezza informatica CLUSIT contiene dati allarmanti. Il quadro che emerge dal rapporto delinea uno stato della sicurezza informatica molto grave, ogni giorno si verificano centinaia di migliaia di attacchi informatici con migliaia di successi per i cyber criminali e non si hanno a disposizione mezzi, persone e strutture per contrastarli in tempo reale. La finestra media tra quando una azienda viene attaccata e quando se ne accorge è di 18 mesi. Assinform stima che il 40% degli attacchi richiede almeno quattro giorni per essere risolto, nel 90% dei casi l’attacco ha successo a causa dell’errata configurazione del sistema di sicurezza e per l’assenza di competenze specifiche. Molte aziende, tra l’altro, non denunciano neanche le violazioni informatiche. Al riguardo, il Garante privacy con un recente provvedimento ha imposto alle società telefoniche e agli internet service provider di avvisare il Garante e gli utenti quando i dati trattati per fornire servizi subiscono violazioni a seguito di attacchi informatici o di altri eventi o calamità naturali. L’eventuale mancata segnalazione viene sanzionata a livello amministrativo e costa cara.
Il DPCM 24 gennaio 2013 rappresenta una prima risposta che impegna il Governo a realizzare ogni iniziativa per delineare, nel rispetto delle responsabilità già individuate dalla legge, un’architettura istituzionale che garantisca coerenza d’azione per ridurre i rischi e le vulnerabilità dello spazio cibernetico, accrescere le capacità di individuazione della minaccia e di prevenzione dei rischi e aumentare e rendere più celere ed efficace le risposte nelle situazioni di crisi.
L’architettura delineata dal DPCM risponde alle direttive previste dalla legge n. 133/2012, che pone in carico al sistema per la sicurezza nazionale e all’intelligence il ruolo di catalizzatore della protezione cibernetica del Paese e dovrà assicurare il pieno raccordo, in particolare, con le funzioni del Ministero dello sviluppo economico e dell’Agenzia per l’Italia digitale, nonché con l’attività e le strutture di difesa dello spazio cibernetico del Ministero della difesa, con quelle del Ministero dell’interno, dedicate alla prevenzione e al contrasto del crimine informatico e alla difesa civile, e con quelle della protezione civile.
Ma tutto questo può funzionare se si accompagna ad una adeguata formazione del personale. Non basta, infatti, predisporre le più idonee e sofisticate misure di sicurezza informatiche, occorre formare adeguatamente il personale.
E in questo ambito, poiché la sicurezza dei dati e dei sistemi rappresenta il complesso delle misure organizzative, logistiche, logiche e procedurali che vengono poste in essere per proteggere adeguatamente i sistemi informatici, la figura dell’ingegnere gestionale è in possesso di competenze e di una visione di insieme capace di cogliere le interdipendenze tra scelte tecnologiche, organizzative e gestionali, assicurando la loro coerenza con la strategia aziendale e con il contesto in cui l’organizzazione opera.
A questo proposito si aprono nuove prospettive occupazionali, sul tema della cibersecurity proprio per l’ingegnere gestionale, grazie alla sua formazione multidisciplinare, nell’ambito dei sistemi di gestione e dei servizi per le grandi infrastrutture, per i cantieri e i luoghi di lavoro, per gli enti locali, per enti pubblici e privati, per le industrie, per la sicurezza informatica, logica e delle telecomunicazioni e per ricoprire  il ruolo di “security manager”.
D’altre parte, a proposito della formazione, Kevin Mittnick, uno dei più grandi hacker della storia, nel suo libro “L’arte dell’inganno”, racconta come, ricorrendo alle tecniche della c.d. ingegneria sociale*, fosse facile violare i sistemi informatici. Mittnick dimostra quanto siamo vulnerabili, tutti, governo, imprese e ciascuno di noi individualmente, alle intrusioni degli ingegneri sociali. In questa epoca attenta alla sicurezza investiamo enormi somme in strumenti pensati per proteggere le nostre reti informatiche e i nostri dati, ma l’esperienza di Mittnick ci mostra quanto sia facile ingannare chi dispone dell’accesso alle informazioni e grazie a lui aggirare tutto questo sbarramento tecnologico.
Appare, per tali motivi, fondamentale perseguire un’opera di formazione e sensibilizzazione rispetto ai rischi che circondano il mondo della sicurezza informatica. Ovviamente, la sicurezza assoluta è una pura illusione. Gli uomini sono circondati dal rischio per tutta la durata della loro esistenza, ma la libertà ha bisogno della sicurezza. Perché è sempre libertà dall’asservimento e dalla violenza. Per questo il catastrofismo è solo l’altra faccia della paura.

ARTICOLO CALABRIA ORA
La minaccia cibernetica Calabria Ora 9 giugno
INTERVISTA VIDEO