Il momento storico che stiamo attraversando in tema di cyber-warfare pone in risalto un contesto geopolitico globale in cui si combattono conflitti ibridi e asimmetrici. Numerose statistiche sono state prodotte su questo tema: l’ultimo rapporto del Clusit parla di un incremento dell’11% globale della minaccia cyber. Un aumento di eventi che riguardano soprattutto le istituzioni pubbliche, con un +163%. L’Agenzia per la cybersicurezza nazionale (Acn) ha di recente presentato la propria relazione annuale, comunicando di aver gestito 422 incidenti. Nel 2022 erano stati “solo” 160. La recrudescenza di tali fenomeni richiede un approccio olistico al tema della cyber-security che coinvolga tutti gli stakeholder, aziende, istituzioni, istituti di formazione e centri di ricerca, per poter avviare un’inversione di tendenza dopo aver assistito ad anni di continua crescita del trend.

C’è un livello di insicurezza digitale percepita rilevante e, nonostante le importanti iniziative per colmare il gap, c’è ancora tanto da fare. Anche perché oggi viviamo in un mondo interconnesso, in cui proprio noi cittadini siamo i primi attori della digitalizzazione, contribuendo con l’interazione spinta dei nostri cellulari e computer, a rendere più estesa e più fragile la superficie digitale.

All’estensione della superficie d’attacco e alle scarse protezioni del perimetro, si va ad aggiungere la tendenza alla “democratizzazione” del crimine digitale. È molto più facile per gli hacker realizzare virus o effettuare attacchi a basso costo con effetti devastanti. Implementare un attacco Ddos di ventiquattr’ore a un sito istituzionale, capace di disabilitare importanti servizi al cittadino, può costare al massimo quattrocento dollari. I costi per proteggersi da attacchi così economici non sono invece altrettanto a buon mercato.

In Italia il legislatore ha da tempo preso consapevolezza del tema, creando un’infrastruttura di governance che vede l’Acn nel ruolo di garante della cyber-resilience del Paese. In tema di governance oggi possiamo affermare di essere al pari della maggior parte dei Paesi europei. Peraltro in questi giorni si discute in Parlamento il disegno di legge 1717, “Disposizioni in materia di rafforzamento della cyber sicurezza nazionale”, che rappresenta un ulteriore segnale incoraggiante di come il legislatore abbia preso atto dell’importanza di assicurare adeguata e moderna disciplina in tema cyber.

Da osservatore privilegiato di chi opera in un’azienda che, come Cy4Gate, produce tecnologie per alzare barriere contro gli attacchi cibernetici, mi soffermerei su alcuni punti che bisognerebbe approfondire di più.

Per quanto riguarda le risorse umane abbiamo ancora un gap enorme da colmare. Sebbene il comparto sia ancora il punto debole della catena della sicurezza, nelle istituzioni e nelle aziende, al contempo, in termini di portatore di competenze, è ancora il motore e la spinta dell’attività di innovazione tecnologica. Tra il 2022 e il 2023 c’è stata una crescita di professionisti della cyber-security operativi di circa l’8%, arrivando a 440mila posti di lavoro in più. Ancora pochi, perché il gap rimane di circa quattro milioni.

L’altro aspetto da considerare è quello di formare cittadini in grado di proteggersi dagli attacchi digitali. È giunto il momento di avere i laboratori cyber, dove toccare con mano l’esperienza di un attacco simulato per capire cosa vuol dire. Queste tecnologie vanno diffuse e implementate presso le istituzioni e gli istituti di formazione. Addestrarsi in un poligono cyber aiuta senz’altro a vivere il mondo digitale al lavoro o nella vita privata in maniera diversa, più consapevole, ed elevare le capacità complessive dello Stato di protezione e reazione alla minaccia cibernetica.

Incentivare, inoltre, le partnership pubblico-private, attraverso forme di collaborazione, osmosi e sinergia tra enti pubblici, aziende e centri di ricerca non è più derogabile. L’articolo 7 del Ddl 1717 ne parla con esplicito riferimento all’IA, ma è una necessità anche sul dominio cyber, complesso e ricco di sfaccettature, per il quale il contributo e la collaborazione tra più stakeholder è auspicabile.

Un focus specifico da parte delle istituzioni merita la tutela della supply chain, formata in massima parte da piccole e medie imprese, che impiegano circa il 75% della forza-lavoro e pesano per almeno il 65% sul fatturato complessivo. E proprio le Pmi rappresentano gran parte della superficie digitale nazionale, purtroppo anche maggiormente vulnerabile, poiché meno protetta per la minor disponibilità di investimenti e competenze delle minori realtà produttive nazionali.

Un ultimo aspetto da considerare è il perseguimento dell’autonomia digitale italiana ed europea, intesa come la capacità di indirizzare a un adeguato livello di autonomia le proprie decisioni senza dover subire influenze non desiderate da potenze estere. Il presupposto è che non può esserci autonomia strategica se non c’è autonomia digitale. Questa passa per la sicurezza digitale che si può garantire a pieno se si è in grado di sviluppare e produrre tecnologie nazionali ed europee. Questo non vuol essere un invito all’autarchia, ma al fermo sostegno – anche tramite interventi normativi – delle tecnologie nazionali ed europee in quelle nicchie in cui si possono esprimere importanti competenze e fornire sistemi d’avanguardia in grado di assicurare i livelli di performance necessari a irrobustire il perimetro cyber di istituzioni e aziende.