Chiudiamo con questo articolo la nostra mini-inchiesta sullo stato dell’arte della nostra cybersicurezza. Il nostro Paese è in grado di difendersi dagli attacchi cibernetici più che probabili e già in essere?
Pur nel generale disordine organizzativo, la Difesa, fin dal primo apparire della minaccia cibernetica, non ha perso tempo, realizzando un primo centro di difesa digitale all’interno del “C4I DIFESA”, il centro interforze di gestione di tutte le risorse di comando, controllo, comunicazione e informatica. Questa piccola organizzazione denominata CIRT (Computer Incident Response Team), si è subito dimostrata capace di sventare ogni giorno una media di 50 o 100 attacchi hacker di varia gravità. Non è stata però in grado di operare con continuità, né ha potuto avvalersi di spiccate capacità di analisi della minaccia.
A seguito della prima crisi ucraina nel 2014 la Difesa ha quindi proceduto a rinforzare tale assetto, affiancandogli un nuovo elemento di organizzazione denominato CIOC (Comando Interforze per le Operazioni Cibernetiche), che tuttavia non ha colmato completamente le lacune, soprattutto nell’ottica di conseguire sinergie fra tutti gli attori in causa.
La costituzione, il 9 marzo del 2020, dell’attuale Comando per le Operazioni in Rete (COR), ha comportato l’accorpamento di tutte le competenze dei precedenti elementi organizzativi, conseguendo brillantemente quell’unicità di comando, di visione e di azione indispensabile per operare in un dominio complesso come quello cibernetico.
È importante sottolineare come in questo dominio, che appare immateriale, un’eventuale intrusione non desiderata nello spazio cibernetico di una organizzazione produca pesanti danni materiali alle sue infrastrutture. Difendere lo spazio cibernetico implica, dunque, la salvaguardia di funzioni essenziali per garantire la sicurezza e il benessere della popolazione.
Nel contesto militare si aggiunge la necessità di colpire le info-strutture dell’avversario, ovviamente nel rispetto del diritto internazionale, del quadro giuridico nazionale e dalle regole di ingaggio stabilite dall’autorità politica.
Gli attacchi cibernetici assumono quindi la connotazione di un vero e proprio conflitto, la cyber warfare. E, se è vero che non si vincono i conflitti restando rintanati in una sia pur munitissima linea Maginot, bensì contrattaccando, appare chiaro che anche in questo dominio andrebbero applicati gli stessi concetti di deterrenza/dissuasione insiti nelle capacità militari tradizionali, volti a scoraggiare azioni escalatorie, a supporto di soluzioni pacifiche delle controversie internazionali. Ed oggi, in determinati scenari di crisi o di conflitto, oltre a esercitare questa dissuasione, il comparto cyber della Difesa è in grado di agire anche offensivamente.
Va sottolineato, a questo riguardo, come negli ultimi anni sia stato costante l’impegno dalla Difesa per efficientare e potenziare le capacità di risposta a un attacco cibernetico, perseguendo con lungimiranza l’indispensabile requisito dell’unicità di comando.
Non è stato un percorso facile né indolore, intralciato da interessi di parte e da gelosie tra le diverse FFAA, ma alla fine la componente militare è oggi all’avanguardia nel settore e può fornire un contributo straordinario alla creazione di una struttura nazionale accentrata, di vertice civile/militare, in linea con gli indirizzi dell’Unione Europea e della NATO, come del resto è già attuato in Francia.
La Difesa dovrebbe dunque essere trainante di questo processo di integrazione a livello nazionale, ma non è andata così e non sta andando così.
Forse la monoliticità dà fastidio a quella pletora di aziende più o meno capaci, che si muovono nel settore informatico a favore di questa o quella amministrazione, o forse sarà per le gelosie delle amministrazioni civili, che intendono scongiurare ogni intrusione dei militari nel loro orticello, fatto sta che finora si sta andando avanti in ordine sparso.
Di fatto la recente costituzione della Agenzia di Cybersicurezza Nazionale (ACN) ha ignorato la Difesa, non solo escludendo gli elementi organizzativi militari dalla propria struttura, ma evitando anche ogni forma di integrazione civile/militare.
Paradossalmente nel nuovo assetto nazionale, che vede l’ACN protagonista, la Difesa non ha un ruolo diretto in quella che potrebbe/dovrebbe essere una più completa squadra nazionale, a connotazione interagenzia, una specie di DIA cyber, disponendo di preziose capacità e forze, che, fin da subito, potrebbero contribuire a difendere il Paese, senza tanti protagonismi. Il rischio, tutt’altro che improbabile, è che si dia vita ad una agenzia-salarificio – che raggiungerà a regime (nel 2037, sic!) un organico di 800 persone, in buona parte costituito da burocrati, amministrativi e legali, senza specifica esperienza nel settore.
Tale agenzia dovrà necessariamente avvalersi della consulenza delle solite ditte che fino ad oggi hanno prosperato nella non-integrazione. Aspettiamoci perciò una pioggia di direttive più o meno inapplicabili e una dispersione di risorse, anche di quelle provenienti dal PNRR, secondo i perniciosi concetti di frammentazione dei centri di potere cui si è già accennato.
Ad oggi, il nucleo iniziale di formazione attorno al quale costituire l’Agenzia è stato identificato nella Polizia di Stato e già circolano voci che ‘non ci saranno stellette nell‘ACN’, benché sia stato più volte dichiarato che la struttura ricalcherà quella francese, che invece inquadra diverse migliaia di esperti, molti dei quali “con le stellette”.
Perché nella costituenda ACN non si è tenuto conto di una gamba militare, come auspicato in ambito europeo e come è logico, visto che parliamo di una forma di guerra, seppure immateriale, ma con effetti materiali disastrosi?
L’auspicio è che i vertici della Difesa si facciano valere in sede decisionale. Sarebbe un peccato disperdere le preziose risorse organizzative e specialistiche già maturate in ambito militare e presentarsi in Europa come fanalino di coda.
