Sono stato invitato in audizione alla Camera dei Deputati per il provvedimento che prevede, tra l’altro, l’istituzione dell’Agenzia Nazionale per la sicurezza cyber.
Da una parte il grazie a chi coraggiosamente mi ha voluto ascoltare, dall’altra il dolore che un tema tanto cruciale lo abbia dovuto liquidare in sette minuti.
Qui di seguito il testo del mio intervento che per la prima volta (sono abituato a parlare a braccio) ho dovuto scrivere cronometrando il tempo necessario per poterlo esporre.
Non è facile condensare in 7 minuti il contributo di chi ha cominciato ad occuparsi di computer crime nel 1987 e di cyberdefense nel 1995. L’unico disperato tentativo è quello di leggere un testo dopo averne cronometrato la durata.
La norma, forse per ridotta conoscenza dello scenario, è stata redatta senza tener conto del vero obiettivo da perseguire. La creazione di un burosauro è destinata a produrre conflitti tra le articolazioni già esistenti che non riesce necessariamente ad armonizzare, innesca ingessate dinamiche amministrative, genera un pericoloso senso di falsa sicurezza.
Questo approccio all’emergenza cibernetica confligge con il buon senso e dimentica le esperienze straniere dove i Governi hanno preferito un cyber-czar o un ristretto manipolo di veri conoscitori della materia per assumere rapidamente le decisioni e muovere le pedine già operative per affrontare attacchi digitali, gestire la controffensiva, ripristinare la situazione quo ante e – nei periodi di apparente quiete – coordinare tutte le iniziative per innalzare il livello di preparazione e la capacità reattiva di chi gestisce le infrastrutture critiche e delle organizzazioni pubbliche e private che erogano servizi essenziali.
La previsione di un direttore generale e di un suo vice raddoppia le possibilità di accontentare i promotori dei candidati. La loro scelta da una parte esclude che quel ruolo venga rivestito da un giovane brillante e competente che magari ha un grado o una posizione non apicale (ve lo dice chi da tenente colonnello ha catturato gli hacker entrati nei sistemi di Pentagono e NASA) e privilegia alti dignitari di una generazione lontana da queste tematiche, dall’altra apre a chiunque provenga dall’esterno della Pubblica Amministrazione.
Se è vero che il 95% dei sistemi informatici non è sicuro, come dice il ministro Colao, è giusto tenere fuori da questa partita chi nella PA o alla Presidenza del Consiglio per anni ha avuto e continua ad avere responsabilità in area cyber perché probabilmente non ha le debite competenze tecniche ed organizzative oppure non ha saputo fare il proprio mestiere.
Ma non vorrete farmi credere che siete convinti che nell’industria, nelle banche o nelle imprese la situazione sia migliore? Pensate alle umiliazioni subite da Leonardo , ENEL , INPS , Vodafone e TIM, Ho.mobile, Unicredit , SAIPEM , CINECA, SNAI, Geox, Luxottica, Campari, l’ANIA, l’Università di Tor Vergata, l’Ospedale San Raffaele e alle altre mille realtà cui – in certi contesti – andrebbe tolta la parola.
Vertice a parte, situazioni di difficoltà vanno risolte con strutture snelle, rapide ad intervenire, chirurgiche nell’agire. Servono team affiatati, di poche persone con doti professionali straordinarie e capaci di giocare senza protagonismi. L’assetto ipotizzato prevede il coinvolgimento di troppi soggetti la cui inclusione deve essere solo esecutiva.
Il “Nucleo per la cyber sicurezza”, ad esempio, evoca teste di cuoio e SWAT pronti a piombare in campo, a duellare contro il nemico di turno, a risolvere il problema. Invece si traduce in un conclave di rappresentanti ministeriali che si riunisce periodicamente, con la lentezza delle convocazioni e l’incertezza delle rispettive agende. I suoi componenti rispettano le regole della buona convivenza istituzionale, ma calpestano quelle della necessità di contrastare momenti di estrema drammaticità con rapidità ed effettiva capacità proattiva.
Il “contingente di esperti”, in cui si prevedono 50 luminari impiegati part-time, prova il comprensibile desiderio di non scontentare nessuno e al contempo è un goffo tentativo di diluire possibili responsabilità in caso di incidente.
Il “Centro Nazionale di Valutazione e Certificazione”, che viene assorbito dall’Agenzia, è una realtà che – varata nel 2019, Di Maio ministro – ancora deve avere piena operatività, testimoniando che l’obsolescenza non sembra far paura, dimenticando che due anni sono un’era geologica,
Il Computer Security Incident Response Team (CSIRT), istituito nel 2018 e rivisitato l’anno successivo, sopravvive per non far torti a chicchessia ma risulta depotenziato…
Qualche mutilazione tocca in sorte anche all’Agenzia per l’Italia Digitale e dulcis in fundo si prevede la migrazione delle risorse pregiate finora in carico al DIS.
È evidente la nebbia che obnubila il panorama e favorisce l’avvio di altre maldestre iniziative che prevedono, però, l’assunzione di 300 superspecialisti cui affidare il nostro destino. Se è difficile capire come procedere alla loro selezione (e non ci sono così tanti “guerrieri” davvero all’altezza), incuriosisce chi dovrebbe provvedervi. Gli stessi del 95% di Colao?
Immaginando che nessuno avrà domande da farmi, i quesiti per una volta li pongo io.
Qualcuno ha mai conosciuto un hacker, visto che è questo che non immagina solo il quisque de populo ma si prefigura il Governo? Si conosce il livello di reale affidabilità dei pirati informatici o si è convinti di organizzare battaglioni di ascari virtuali per una estemporanea performance bellica?
Si crede davvero che un Rocambole del bit sia disposto a giocare in squadra? Quanto tempo si immagina possa trascorrere prima che qualunque masnadiero cominci ad annoiarsi nel vedersi tramutato in un mezzemaniche? E poi chi dovrebbe incarnare il sergente di ferro che tiene a bada tante primedonne?
Soprattutto per quale motivo non c’è traccia di un percorso formativo (che avrebbe dovuto e potuto avviarsi trent’anni fa) o di una scuola che sensibilizzi il management pubblico e privato, crei capacità di committenza (invece di lasciar mano libera ai fornitori), istruisca chiunque è parte del sistema così da evitare quelle banali imprudenze all’origine di troppi disastri?
Perché non si procede ad un’opera di razionalizzazione delle risorse esistenti, costringendole a funzionare e trasformando dannose sovrapposizioni in utili complementarità? Perché non ci si capacita del tempo perso in chiacchiere e convegni e non si tirano le somme del “non fatto finora”, dal decreto Monti del 2013 a oggi? Perché si pensa di stanziare 429 milioni di euro se non si immagina nemmeno dove e come andranno spesi e oggi invece lo si dovrebbe sapere al centesimo? Per quale dannato motivo non si copia il modello statunitense senza aver timore di riconoscerne limiti e difetti?
Perché non si prova a calcolare il tempo necessario per una decisione che dovrebbe essere istantanea grazie ad un diretto link tra il leader e il suo cyber-centurione e invece si prevede una estenuante e imperitura sequenza di passaggi in cui ognuno fatica a prendersi le responsabilità che gli competono?
Se qualcuno, nella sua adulazione vocazionale, vi dirà che il provvedimento è perfetto, siate certi che aspira soltanto ad una collocazione in sella o nel ventre della nascente creatura.
