La cyberceurity ha già cambiato volto rispetto a pochi anni fa, e si trasformerà di nuovo con l’affermarsi di mobile, cloud e Internet of things. Non siamo più nel campo dello studente che falsifica i suoi voti per fare colpo su una ragazza, come accadeva in nel film War Games del 1983. Oggi le multinazionali del crimine utilizzano la rete per trafficare in armi o in droga o per la pedopornografia. Le organizzazioni terroristiche la usano per pianificare gli attacchi e per fare proseliti. E assistiamo a iniziative di stati sovrani che usano il web per attaccare infrastrutture critiche, spiare segreti o provocare gravi danni d’immagine». Ad analizzare la situazione è Nimrod Kozlovski, tra i massimi esperti al mondo del settore, avvocato e docente presso la Tel Aviv University, nei giorni scorsi a Roma per una conferenza ospitata dall’ambasciata di Israele. Kozlovski è partner di Jvp, il fondo di venture capital che ha i propri “cyber labs” a Be’er Sheva, il centro per la sicurezza informatica creato dal Governo israeliano.
Come cambiano le risposte con il cambio di scenario?
Fino a ieri si pensava che per mantenere la sicurezza fosse utile costruire un recinto attorno ai luoghi fisici in cui si custodivano le informazioni. Ma man mano che i dati non risiedono più in un luogo fisico, mettere recinti e firewall perde di senso. La prima convinzione da demolire è proprio che sia possibile rimanere sicuri impedendo l’accesso ai propri dati. Dovremmo rovesciare l’approccio, e partire dall’assunto che il nemico è già dentro, e che ci sta osservando. Così cambierebbero le priorità: invece che mettere barriere, il focus si sposterebbe sulla necessità di prevedere le mosse delgi hacker, di saper limitare i danni, e di reagire in tempo reale, lasciando sempre meno tempo a chi attacca per conseguire i propri obiettivi.
“Blindare” un sistema informatico è davvero così difficile?
Abbiamo gli esempi sotto agli occhi, a partire dal coso Sony. Le forze in campo sono in un certo senso squilibrate: chi difende deve impegnarsi a proteggere tutti gli aspetti di un sistema, centrali e periferici. Deve fare un immenso sforzo di intelligence per prevedere eventuali rischi. A chi attacca, invece, basta individuare un singolo punto debole, e concentrarsi su quello. E poi se si continua a investire sulla costruzione di muri e recinti, ci si troverà sempre più con sistemi di protezione costati molto ma violabili. Se si vuole produrre innovazione si deve guardare al futuro: questo vuol dire essere capaci di monitorare, predire, intervenire e correggere. La sicurezza deve essere proattiva, condivisa e intelligence based.
Quali sono i rischi legati al terrorismo?
Nel panorama di oggi credo che l’attività terroristica scatenata dal web, ad esempio attraverso un attacco alle infrastrutture critiche, sia uno degli scenari meno probabili. Questo perché le organizzazioni terroristiche sono le prime a utilizzare il web non come strumento di attacco diretto, ma come piattaforma per la preparazione logistica delle loro iniziative, come mezzo per fare proseliti e come “vetrina” per diffondere i propri messaggi.
Cosa possono fare i Governi per contrastarli?
In assoluto bloccare i siti e gli account illegali non è così utile, ci sono decine di modi per aggirare questi provvedimenti. Le blacklist hanno un potere limitato, e spesso aprono problemi di libertà d’espressione: è un terreno scivoloso. Inoltre i Paesi più sviluppati, che contano su sistemi legali con una tradizione giuridica strutturata, hanno più difficoltà a trovare soluzioni flessibili. Ma negli Usa, ad esempio, dopo lo scandalo Snowden, si sta andando nella direzione giusta, riorganizzando l’intero sistema: si passa dalla materia suddivisa tra molti soggetti, difficili da coordinare, a una singola cabina di regia, più attenta alla privacy e alla trasparenza.
Un tema caldo è della tutela del copyright online. Cosa fare?
Per troppo tempo ci si è concentrati sulla lotta alla pirateria, ma non è la strada giusta. Il copyright si difende con l’innovazione, come tra gli altri ci dimostrano Spotify e Deezer. Dobbiamo avere il coraggio di dire che le misure di sicurezza hanno fallito, e puntare su nuovi business model che portino valore aggiunto.
Il “ritardo digitale” dell’Italia può essere un’opportunità per soluzioni digitali più sicure?
Intanto non credo che l’Italia sia così arretrata come viene dipinta, gli italiani sono troppo critici con se setessi. In ogni caso, quando si disegna un sistema più tardi di altri, si possono includere delle misure di sicurezza già by design, ad esempio nello sviluppo delle reti, dove l’architetura di sicurezza già nella fase di progettazione è fondamentale. L’opportunità della security by design può portare un beneficio importante.
