L’Insostenibile incertezza della sicurezza (informatica)

di Pasquale Russo, Direttore Generale Link Campus University

Tutti noi arriveremo a comprendere che quando si entra in Rete bisogna indossare la “cybersecurity”, come si indossa il casco in moto e la cintura in automobile.

Secondo il Digital in 2018 Global Overview (a cui si riferiscono tutti i dati) nel 2015 gli utenti collegati ad Internet erano 3,14 miliardi, nel 2018 hanno superato i 4 miliardi e saranno superiori ai 5 entro il 2020.

La maggioranza di questi nuovi utenti vivrà in Cina, India e nel Continente Africano, in quanto i paesi occidentali sono ormai saturi. Anche in Italia, che non è certo tra le nazioni più sviluppate, il 73% degli abitanti è connesso alla Rete, circa 43 milioni.

La complessità già nota della Rete nel futuro sarà molto accresciuta da due fattori:

1. la quasi totalità di questi utenti saranno utenti connessi tramite dispositivi mobili;
2. degli oltre 5 miliardi molti avranno più dispositivi connessi alla Rete tipo IoT e il totale dei dispositivi connessi probabilmente raggiungerà i 38 miliardi mentre oggi sono 13,5 miliardi.

Cosa significherà la cybersecurity in questo spazio digitale è tutto da sperimentare!

Si consideri che statisticamente negli otre 13 miliardi di dispositivi connessi alla Rete oltre 400 milioni di questi sono infetti e disponibili come cellule “zombie” per gli attacchi dei criminali informatici. In Italia viene calcolato un dispositivo infetto ogni 28.

Nel 2020, mantenendo la stessa proporzione, avremo oltre 1,2 miliardi di IoT zombie!

Un’armata senza paragoni nella storia dell’Umanità a disposizione della criminalità informatica e non.

Immaginate cosa potrebbe fare questo miliardo di dispositivi nel cyberspace che sempre più diventa il luogo della relazione fra le persone, del business fra le imprese, dello scambio tra i Paesi, della cura e della ricerca tra le organizzazioni scientifiche.

La NATO nel 2016 decise di avviare un programma di difesa militarizzando il cyberspace e allo stesso modo  la UE ha avviato un programma comune di tutela, ma la dichiarazione di Taormina del G7 del 2017 sottolinea come ogni Nazione abbia il dovere di difendere i propri cittadini e il proprio sistema sociale, quindi è necessario che l’Italia completi la strategia di lungo termine che ha avviato e darsi i traguardi  temporali per garantire un cyberspace stabile e sicuro a tutti noi.

Ma chi ci attacca? Tutti e nessuno. Attaccano gli Stati che competono nei processi di ridefinizione della geopolitica mondiale cercando di destabilizzarsi a vicenda, attaccano i criminali finanziari, attaccano i terroristi e i radicalizzati, attaccano gli hacktivisti che vogliono protestare contro il sistema. Tutti possono essere attaccanti, ma tutti noi possiamo essere i difensori.

Indossare la cybersecurity come si indossa il casco in moto vuole rappresentare l’idea che la sicurezza informatica va assunta come cultura, come comportamento sicuro a cominciare dai bambini delle elementari i quali già smanettano con cellulari potenti come PC e via via sino ad un programma di formazione nelle scuole superiori e nelle università istituendo lauree di base mirate a coprire il gap di competenze che oggi affligge il mercato italiano.

Secondo Gartner nel 2021 mancheranno 3,5 milioni di posti per esperti di sicurezza informatica a livello mondiale, in Italia non saranno coperti oltre 30.000 posizioni.

Purtroppo il sistema formativo nazionale oggi non rilascia neanche un laureato in sicurezza informatica se non a livello magistrale, così la formazione degli esperti è spesso affidata alla propria passione personale e comunque fuori dal circuito istituzionale, ed è questo un problema che va risolto.

Ma non sarà comunque possibile avere 30.000 esperti in tre anni, quindi va avviato un programma di riconversione delle competenzenelle aziende e nelle PA centrali e locali.

In un cyberspace abitato da 5 miliardi di utenti e 38 miliardi di oggetti, sarà davvero difficile pensare che soltanto le competenze umane potranno contrastare la criminalità di qualsiasi tipo.

Sarà obbligatorio addestrare AI(Intelligenze Artificiali) a proteggere i sistemi, ovvero addestrare AI a scoprire le falle dei sistemi, ma sarà anche necessario proteggere le AI affinché non vengano hackerate e reindirizzate contro chi le ha create, qualcosa in più potra essere fatto verificando l’origine della richiesta e la reputazione del mittente tramite una blockchainallo scopo. Stiamo entrando in uno spazio dove tecnologie per sicurezza informatica, tecnologie di intelligenza artificiale e blockchain tendono ad integrarsi per produrre un unicum e il linguaggio Julia(appena varato dal MIT) aiuterà visualizzare gli attacchi analizzando in tempo reale i big data e vedremo meglio quello che succede.

Questo farà entrare nel dominio della sicurezza informatica una molteplicità di conoscenze e sarà sempre più necessario che si formino team di esperti al di fuori delle competenze tradizionali con capacità di analisi psicologica e sociologica legate al cyberspace e che provino in ambienti – laboratori esperienze di simulazione di possibili attacchi così da assumere una resilienza comportamentale.

Ma un piano di resilienza tecnico-politico dovrebbero averlo tutti gli Stati, perché un attacco ad una infrastruttura critica (ferrovia, energia elettrica, ecc.) potrà davvero destabilizzare uno Stato e viste le interconnessioni oggi presenti riverberarsi nell’intero ecosistema digitale. Una blockchain per i cittadini italiani e che vivono sul territorio italiano, sarebbe già un buon inizio.

Carl von Clausewitz nel “Vom Kriege” (Della Guerra) sviluppò il concetto di “Schwerpunkt“, cioè di Centro di Gravità che rappresenta il punto dove indirizzare l’attacco per ottenere il massimo risultato per la distruzione del nemico.

Su questo concetto sono impostati tutti i modelli di conflitto odierni, ma mentre nel cyberspazio i criminali informatici sanno quali sono i centri di gravità da colpire nelle società organizzate, non è possibile per noi oggi possibile capire nella molteplicità di milioni di cyber criminali quali sono i loro centro di gravità quindi dove colpire.

Per questo ogni persona o azienda non deve pensare che la sua sicurezza informatica tocchi agli altri, ma è necessario che tutti imparino ad indossare il casco e pretendere però dallo Stato che le strade siano senza buche.