Bryan Ford è uno dei massimi esperti in nuove tecnologie ed evoluzioni del settore in termini di trasparenza e sicurezza. Insegna all’Ecole Polytechnique Gédérale di Losanna e di recente ha partecipato all’Italian AXA Forum 2016 parlando di tecnologia fidata e trasparente per affrontare il rischio cyber. Formiche.net lo ha incontrato.

Dott. Ford, secondo lei la rivoluzione tecnologica può cambiare anche il settore assicurativo?

Sicuramente lo farà. La rivoluzione tecnologica in atto cambierà i modelli con cui le persone interagiscono con il mondo assicurativo e il modo in cui si valuta il rischio. Ci sono molti esempi di come la tecnologia stia impattando in diversi ambiti, dall’intermediazione economica sull’esempio di Uber – che mette direttamente in contatto i fornitori di servizio con i consumatori –, ai settori del trasporto,  degli hotel e del cibo. Anche le assicurazioni cambieranno.

Il 21 ottobre la costa est degli Stati Uniti è stata colpita da un esteso attacco cyber. Di cosa si è trattato?

In un certo senso è stato l’ennesimo attacco hacker che ogni volta prendono di mira dispositivi nel mondo per sferrare ulteriori attacchi verso altri target. In questo caso, però, ci si è trovati di fronte qualcosa di nuovo: gli hacker hanno attaccato milioni di dispositivi dell’Internet of things, strumenti che purtroppo sono ancora poco sicuri e che si stanno diffondendo sempre di più. Il che amplifica tremendamente gli esiti degli attacchi. L’attacco di venerdì, per la prima volta, ha usato una vulnerabilità collettiva e non individuale. Tutti i dispositivi, in quanto tali, sono individuali e hanno una insicurezza intrinseca. L’aspetto collettivo dell’attacco ci ha messo di fronte a una nuova realtà. L’obiettivo è stato il DNS (Domain name System), il servizio che permette la navigazione e di raggiungere siti come ad esempio www.amazon.com. In quanto autorità centralizzata, il DNS attrae l’interesse di attacchi come quello subito dagli Stati Uniti. Finché non sarà sistemata l’architettura di Internet, i cyber attack probabilmente saranno sempre peggiori.

Cosa bisognerebbe fare per affrontare questa vulnerabilità?

Ci sono due cose che si possono fare. La prima consiste nell’assicurarci che i nostri dispositivi, soprattutto quelli dell’Iot, provengano da produttori ragionevolmente sicuri di default. Ad esempio, i singoli oggetti non dovrebbero essere venduti con lo stesso username e password. I produttori che svolgono correttamente il proprio mestiere, dovrebbero attribuire a ogni device una propria password che renderebbe difficile il lavoro degli hacker. Dovrebbero quindi esserci delle politiche che obblighino i produttori a rendere i propri oggetti il più sicuri possibili. Anche il settore assicurativo potrebbe entrare in questa dinamica, sincerandosi, ad esempio, del modo in cui le aziende producono i dispositivi Iot, affinché questi siano messi in sicurezza in termini digitali. La seconda cosa da fare è legata alla sicurezza di Internet. C’è bisogno di decentralizzare autorità come DNS che, in quanto tali, costituiscono un punto di attacco critico. Questa è una grande parte della mia ricerca: ridisegnare e capire come si può organizzare questo tipo di autorità.

Blockchain può essere di aiuto?

Probabilmente può aiutare. Il concetto è molto promettente. L’approccio generale si muove nella giusta direzione, anche se gli attuali utilizzi che si fanno di blockchain sono molto limitati. E non mi riferisco solo a Bitcoin, ma anche a realtà come Ripple (architettura per gestire transazioni di valute reali, ndr). Ci sono molti aspetti tecnici e di sviluppo che devono essere risolti per permettere a blockchain di avere un impatto davvero positivo. Blockchain può modificare molti settori della nostra vita se usata nel giusto modo.

Cosa ne pensa della diatriba tra FBI e Apple?

Credo che questo sia un grande esempio per illustrare come ci sia una grande necessità di trasparenza. Il fatto che l’opinione pubblica sia entrata a conoscenza dei fatti (l’FBI ha chiesto alla Apple di intervenire a livello di programmazione per accedere ai contenuti del cellulare di un terrorista coinvolto nell’attacco di San Bernardino e deceduto, ndr) ci fa comprendere come l’FBI non avesse un reale interesse nei confronti di quel particolare dispositivo telefonico (in genere le attività dell’FBI non godono di tutta questa trasparenza, ndr). Erano piuttosto interessati a cambiare le politiche in questione. I governi vorrebbero forzare i produttori a cambiare i propri software in modo da produrre delle vulnerabilità per i dispositivi sotto osservazione, ma questo, alla resa dei conti, ridurrebbe la sicurezza di tutti. Capisco i motivi che li spingono verso questa direzione, ma molti policymaker non comprendono i trade-off, quanto questa attività possa ridurre la sicurezza di tutti.