Parola d’ordine: diversificare. Allarme congiunto di Italia e Germania contro gli antivirus russi e l’azienda Kaspersky. Una nota dell’Agenzia per la cybersicurezza nazionale (Acn) italiana avvisa: alla luce della guerra russa in Ucraina, è necessario “considerare le implicazioni di sicurezza derivanti dall’utilizzo di tecnologie informatiche fornite da aziende legate alla Federazione Russa”. Tra le tecnologie a rischio, “particolare rilevanza assumono quelle di sicurezza informatica per l’elevato livello di invasività rispetto ai sistemi su cui operano”, spiega una nota dell’agenzia guidata da Roberto Baldoni.

“Stante la necessità di disporre di tali soluzioni tecnologiche nelle infrastrutture digitali in uso, non si esclude che gli effetti del conflitto ne possano pregiudicare l’affidabilità e l’efficacia, in quanto potrebbero ad esempio influire sulla capacità delle aziende fornitrici legate alla Federazione Russa di assicurare un adeguato supporto ai propri prodotti e servizi”.

L’alert sembra riguardare, senza menzionarlo, il più noto antivirus di produzione russa, Kaspersky, da settimane al centro di una controversia internazionale per il timore che il colosso tecnologico possa risentire dell’interferenza del governo russo. Che è invece nominata direttamente nell’alert, pubblicato in contemporanea, della Bsi, l’agenzia dei servizi segreti di Berlino, dove si “mette in guardia contro l’uso del software di protezione antivirus del produttore russo Kaspersky”.

“BSI consiglia di sostituire le applicazioni del portafoglio di software di protezione antivirus di Kaspersky con prodotti alternativi”, si legge nel comunicato. “. “Le azioni delle forze armate e/o di intelligence in Russia e le minacce mosse dalla Russia contro l’Ue, la Nato e la Repubblica federale di Germania nel corso dell’attuale conflitto armato sono associate a un rischio considerevole di un attacco informatico riuscito – prosegue l’agenzia – Un produttore IT russo può condurre lui stesso operazioni offensive, essere costretto ad attaccare i sistemi di destinazione contro la sua volontà o essere spiato a sua insaputa come vittima di un’operazione informatica o essere utilizzato come strumento per attacchi contro i propri clienti. Tutti gli utenti di software antivirus possono essere interessati da tali operazioni”. Poi l’invito alle aziende e ad “altre organizzazioni” a “pianificare e implementare con attenzione la sostituzione delle parti essenziali della propria infrastruttura di sicurezza IT”.

Fondata a fine anni ’90 da Eugene Kaspersky, l’azienda produce il sistema di sicurezza dei software più usato dalla pubblica amministrazione italiana e dalla maggior parte del settore privato. Kaspersky, che ha sede a Mosca, dove lavora una parte consistente dei suoi dipendenti, ha ripetutamente negato legami con il governo russo e ha garantito l’affidabilità dei suoi sistemi.

Da tempo però la compagnia è finita nel mirino di alcuni governi occidentali, come Stati Uniti e Regno Unito, che con Donald Trump e Boris Johnson hanno deciso di metterla al bando da tutte le agenzie governative. Nell’alert dell’agenzia cyber si precisa che “non vi sono evidenze oggettive dell’abbassamento della qualità dei prodotti e dei servizi tecnologici forniti”. Salvo poi aggiungere che “in tale crescente livello di conflitto internazionale, non si può prescindere da una rivalutazione del rischio che tenga conto del mutato scenario e che consideri la conseguente adozione di misure di mitigazione”.

Di qui, sentito il Nucleo per la cybersicurezza, l’organo di raccordo governativo inaugurato su iniziativa del premier Mario Draghi e dell’Autorità delegata Franco Gabrielli, la raccomandazione a “procedere urgentemente ad un’analisi del rischio derivante dalle soluzioni di sicurezza informatica utilizzate e di considerare l’attuazione di opportune strategie di diversificazione”. Lo stesso Gabrielli, in una recente intervista al Corriere della Sera, ha detto che è necessario “liberarci da una dipendenza della tecnologia russa”.

Tra le misure indicate come urgenti dall’Agenzia cyber, la messa in sicurezza dei dispositivi (“endpoint security”), “compresi applicativi antivirus, antimalware ed “endpoint detection and response” (Edr), ma anche “web application firewall” (Waf), il “muro” digitale che filtra il traffico http in entrata o uscita da un servizio web. E ancora “la protezione della posta elettronica”, la “protezione dei servizi cloud” e dei “servizi di sicurezza gestiti” (“managed security service”).

L’Agenzia, per “non indebolire la protezione delle organizzazioni”, raccomanda che “durante tale processo di diversificazione non sia mai interrotta la continuità dei servizi di sicurezza”. La settimana scorsa il direttore Baldoni era stato audito dal Copasir, il comitato di controllo parlamentare dell’intelligence. In quell’occasione, aveva riferito il presidente del comitato Adolfo Urso, si era discussa la possibilità di un allineamento con altre agenzie europee, come la francese Annsi, che in un recente comunicato ha spiegato come “società come Kaspersky possano essere messe in discussione a causa del loro legame con la Russia”.