La lettura di due interessanti documenti pubblicati da DiploNews e McAfee consente diversi spunti di riflessione sullo stato di preparazione delle nazioni mondiali in tema di cyberwar. Il report “Cyber-security: The vexed question of global rules“, prodotto da McAfee e Security & Defense Agenda (SDA) offre una ricognizione sulla “cyber-preparedness” delle nazioni più attive sul teatro della guerra cibernetica, mentre la review “The state of Cyberwar in the U.S.” di DiploNews si focalizza sulle misure intraprese in particolare dagli Stati Uniti.

I fattori di supremazia

La supremazia nella cyberwar non è collegata ai fondi a disposizione o al livello degli armamenti in possesso di una nazione, come avviene negli altri domini della guerra. La supremazia nel quinto dominio, il cyberspazio, appartiene ai soggetti in possesso delle migliori conoscenze e della maggiore efficacia nel nascondere sé stessi e il proprio operato. Basta una sola persona veramente preparata per eseguire un cyber attacco che vada a segno senza lasciare tracce.

Le nuove sfide

Nel fronteggiare questa estrema asimmetria delle forze in campo, le nazioni devono affrontare nuove sfide, in particolare la definizione di politiche ed aspetti legali per il trattamento degli eventi del cyberspazio. Ad esempio, la definizione dei criteri che consentano di definire quando un cyber attacco oltrepassa la linea rossa che separa l’offesa sul piano civile ad un vero e proprio attacco di tipo militare che richiede adeguate misure di risposta. Oppure come identificare e localizzare l’aggressore, una delle difficoltà più difficilmente risolvibili nel panorama cibernetico moderno.

La tendenza degli Stati Uniti, al momento, è quella di mantenere un certo grado di incertezza e, quindi, di flessibilità nel trattamento dei cyber attacchi. Per combattere minacce asimmetriche è necessario adottare un approccio altrettanto asimmetrico, finché non sarà possibile (se lo sarà) definire regole di trattamento generali e condivise a livello internazionale.

Le strategie di risposta

Il cyberspazio è un dominio molto complicato, dai contorni e dai meccanismi ancora indefiniti. Oltre alle nazioni vi agiscono altri soggetti quali gruppi criminali transnazionali, hacker, cyber attivisti, insider e terroristi, tutti con le proprie motivazioni. Gli obiettivi dei cyber attacchi possono essere colpiti, danneggiati o compromessi senza preavviso e una risposta efficace, a causa delle peculiarità del cyberspazio, può richiedere giorni o settimane per essere organizzata ed attuata. I problemi dei cyber attacchi non sono esclusivamente tecnologici ma anche legali, politici e sociali.

Come rispondere ai cyber attacchi in maniera commisurata e, soprattutto, legale? Come definire con certezza la giurisdizione di un evento e quali leggi vi si applicano quando un attacco proviene da un’altra nazione, magari attraversando diversi altri confini nazionali prima di giungere a destinazione? La NATO, ad esempio, cerca di promuovere la condivisione delle informazioni fra gli stati membri, favorendo aspetti come trasparenza e comunicazione, ma il livello di preparazione di questi non è al momento sufficientemente omogeneo ed elevato.

Il livello di preparazione delle forze in campo

Secondo gli analisti interpellati da McAfee e SDA, sul campo di battaglia si distinguono, in termini di preparazione alla cyberwar, le nazioni più piccole e tradizionalmente più attente in campo tecnologico. Finlandia e Svezia sono le nazioni più “cyberwar-ready” del panorama cibernetico grazie all’istituzione di CERT (Computer Emergency Response Team) nazionali, alla partecipazione informale alle comunità CERT e come membri attivi dell’European CERTs Group (ECG), alla definizione di strategie e piani nazionali di cyber security e all’attuazione di diversi test di cyber incidenti in scenari sia pubblici che privati. Anche Israele è un top player del cyberspazio, in particolare grazie alla propria cyber strategy, all’istituzione di un vero e proprio cyber commando nazionale e, soprattutto, all’aver compreso le minacce e le sfide del cyberspazio almeno 10 anni fa.

Il segretario alla difesa USA, Robert Gates, nel 2009 ha formalmente riconosciuto il cyberspazio come nuovo dominio di interesse della difesa nazionale, ordinando l’unione e il coordinamento delle forze cibernetiche in un Cyber Commando che è divenuto operativo nel maggio 2010. Il Congresso USA e il presidente Barack Obama hanno approvato e siglato il National Defense Authorization Act for Fiscal Year 2012 con una curiosa aggiunta. Nella sezione 954 si stabilisce, infatti, che il Dipartimento della Difesa può intraprendere atti di cyberwar per difendere i propri alleati e i relativi interessi.

Nel panorama europeo si distinguono Francia, Germania, Olanda, Spagna, Danimarca, Estonia (che ospita il centro di eccellenza per la Cooperative Cyber Defence NATO) e il Regno Unito.

L’impreparazione dell’Italia

All’Italia viene attribuito un livello di preparazione tuttora mediocre, poiché le strutture CERT governative non dispongono di fondi sufficienti per operare su scala globale e, sebbene vi sia una certa partecipazione ai test comunitari sui cyber incidenti, non esiste una strategia di cyberwar ben definita. I politici italiani tendono, come sempre, ad essere più emozionali che razionali e non comprendono né sono in grado di misurare i problemi di cyber security. Manca l’educazione sulle minacce del cyberspazio e su come queste debbano essere chiaramente individuate e trattate.

Le ripetute intrusioni del gruppo di attivisti Anonymous nei sistemi del CNAIPIC e di Vitrociset nel 2011 hanno dimostrato chiaramente il grave livello di impreparazione delle strutture cibernetiche governative. Manca un entità singola incaricata di governare e coordinare la sicurezza nazionale e gli sforzi di combattere le minacce cibernetiche sono disorganizzati e poco uniformi. Sebbene l’Italia disponga di piani di emergenza decenti per la protezione civile in caso di alluvioni o terremoti, non ne esiste uno dedicato agli incidenti di cyber security.

Mancano i fondi per potenziare le capacità di trattamento delle minacce informatiche ed è altrettanto carente la cultura generale del popolo italiano in materia di sicurezza e sulle misure di protezione dei sistemi. La maggior parte dei problemi, infatti, è costituita dalla scarsa protezione dei personal computer privati che vengono utilizzati sempre più spesso per azioni criminali. Le leggi finora promulgate indirizzano solo misure di protezione dei minori e il gioco d’azzardo online, sebbene solo raramente si arrivi a casi giudiziari e condanne penali.

Le raccomandazioni sulla cyber security

Il rapporto di McAfee & SDA fornisce una serie di interessanti raccomandazioni sulle misure di cyber security che ciascuna nazione dovrebbe opportunamente intraprendere per aumentare il proprio livello di preparazione, gestire in maniera più efficace gli eventi di cyber sicurezza e limitarne i relativi danni.

Innanzitutto è opportuno aumentare il livello di fiducia e cooperazione fra il governo e il settore industriale al fine di condividere efficacemente informazioni e linee guida. Poi investire su misure che consentano alla popolazione di aumentare il proprio livello di consapevolezza sui rischi e sulle minacce che incombono sui propri dati personali, promuovendo educazione e addestramento sulla cyber security.

Tecnologie emergenti e in rapida diffusione, in particolare l’utilizzo di device mobili (smartphone, PDA, tablet, ecc.) e dei servizi di cloud computing, devono essere accuratamente esaminate ed efficacemente indirizzate in termini di sicurezza. Massima priorità deve essere data alla protezione delle informazioni e alla salvaguardia dei concetti chiave della sicurezza, cioè confidenzialità, integrità e disponibilità.

Il miglioramento delle comunicazioni fra le diverse comunità di esperti di politiche di sicurezza, esperti di tecnologie informatiche e leader di business è fondamentale, sia a livello nazionale che internazionale, per la definizione di regole e standard riconosciuti. Infine, è necessario considerare diversi scenari di cyber attacco, integrando la sicurezza cibernetica in tutte le infrastrutture e i processi esistenti, prevedendo considerazioni e investimenti in cyber security a tutti i livelli.

Ettore Guarnaccia

Fonti:

• Cyber-security: The vexed question of global rules – McAfee and SDA – Febbraio 2012
• The State of Cyberwar in the U.S. – DiploNews, Shawnna Robert – Febbraio 2012