Giunge alla XII edizione Cyber Warfare Conference, quest’anno in diretta digitale da Roma e Milano. Al centro il tema della resilienza cyber e le relative opportunità di sviluppo economico per il Paese. “L’appuntamento – promosso da Eucacs (European Center for Advanced Cyber Security), il Centro interdipartimentale di Studi Strategici, Internazionali e Imprenditoriali (Cssii) dell’Università di Firenze, la Cyber Academy di UniMoRe e IntheCyber Group – spiega Michele Colajanni, presidente Eucacs, che fa gli onori di casa – prevede un percorso sviluppato attorno al ruolo guida dell’Agenzia per la Cybersicurezza Nazionale (Acn) ed alle opportunità di crescita ed internazionalizzazione del comparto cyber nazionale, con una sessione relativa all’analisi dei numeri del Barometro Cybersecurity 2021“ di NetConsulting cube (ne parliamo in un contributo dedicato).
Acn, ruolo guida
Entra subito nel vivo del tema così il senatore Adolfo Urso, presidente Copasir: “La cybersecurity oggi riguarda tutti, è un bisogno che deve essere sentito da ognuno. Dallo stato, alle aziende, fino ai singoli. E gli eventi degli ultimi mesi (gli attacchi ad alcune realtà della PA, ma anche le minacce al perimetro esteso delle aziende, Ndr.) lo sottolineano ancora di più.
Si tratta di colmare un ritardo, anche di consapevolezza, per cui l’Acn – di cui si sta completando l’assetto e che è chiamata a lavorare da subito in accelerazione – giocherà un ruolo chiave nel contribuire anche a far crescere la capacità di “tutelare il proprio giardino di casa” affinché non diventi un elemento di vulnerabilità del sistema”.
Non uno sforzo da poco. “Il ritardo rispetto ad altri Paesi è anche superiore ai dieci anni, e oggi l’Acn si trova ad agire in un contesto di elevata complessità, legata allo sviluppo della sfera e del mondo digitale nel suo complesso – chiosa Roberto Baldoni, direttore dell’Agenzia per la Cybersicurezza Nazionale – ma soprattutto al fatto che la componente “tecnologica” è solo una delle tante su cui bisogna lavorare, all’interno di molteplici linee di azione. Serve infatti mettere in campo politiche ed iniziative per la consapevolezza a livello nazionale, per la creazione di competenze (workforce), per lo stesso sviluppo tecnologico, in relazione al tema della sovranità digitale, quindi con un afflato europeo”. Parlare di cybersecurity senza disporre di questi asset vanificherebbe infatti gli sforzi compiuti nel corso degli ultimi quattro anni (per esempio le iniziative del regolamento in materia di Perimetro di Sicurezza Nazionale Cybernetica).
“Oggi deve essere chiaro che la sicurezza cyber non è un tema “in bolla”, ma richiede capacità di information sharing, collaborazione tra PA e aziende, cittadini, awareness, richiede di operare in concertazione – prosegue Baldoni-. E’ questo uno dei fattori più importanti che ha portato alla nascita dell’Agenzia. Da una parte quindi c’è già una serie di linee cui attenersi, di riferimenti per la messa in sicurezza dei sistemi, per la difesa e la mitigazione. Dall’altra abbiamo davanti un percorso complesso” supportato dai non pochi passi avanti compiuti, compresi quelli per fare “rete” con le altre agenzie europee. Il 2022 sarà quindi per l’Acn un anno di importanti sviluppi e di crescita che prevede anche una fase di “reclutamento” importante, sostenuta anche da una copertura economica per ricompensare il valore delle competenze all’altezza del bisogno.
Spiega Baldoni: “Il nostro sistema universitario è in grado di offrire professionalità di valore che però vanno mantenute all’interno del nostro Paese. Non ha davvero senso parlare di sovranità digitale se lasciamo poi che i nostri giovani siano reclutati all’estero”. Bisogna quindi agire anche sulla capacità di trattenere le competenze per “rimanere tra i Paesi più industrializzati e abbracciare la trasformazione digitale in sicurezza”, con alla base gli strumenti per minimizzare il rischio di attacchi, un rischio che non può essere zero. Prevenzione e mitigazione riguardano oggi le infrastrutture critiche nazionali, le utility, dati e beni del Paese, ma anche lo spazio, in una guerra per la cybersecurity che rappresenta a tutto tondo il “quinto dominio” del confronto con chi attacca (acqua, terra, aria, spazio, sono gli altri quattro).
Baldoni auspica che la sensibilità cyber quindi “penetri ad ogni livello livello delle organizzazioni” e richiama ancora una volta su come “non sia possibile compiere passi avanti se si consente la depauperazione delle competenze, perché questo impatta su tutta la pipeline delle efficienze”. Di fatto si tratta di “lavorare insieme e fare gioco di squadra, pubblico e privato, con l’obiettivo di creare un sistema resiliente con al centro l’Agenzia, fino ad arrivare a tutti i cittadini”. Collaborazione e competenze quindi elementi indispensabili. L’Agenzia lavorerà come “enzima” e si attiverà con una serie di operazioni che faranno leva comunque sul contatto quotidiano con le aziende, anche nell’ambito della formazione e per l’awareness, senza sottovalutare il valore dello “sviluppo tecnologico a matrice nazionale ed europea”.
I prossimi dieci anni, dal punto di vista dello sviluppo tecnologico, rappresentano un periodo di transizione. Quelli che viviamo hanno nel termine “smart” una sorta di passpartout adattabile ai diversi contesti che ben interpreta la trasformazione in atto su reti, infrastrutture, ambienti di produzione, device. Si tratta però ora di prepararsi ad operare all’interno di “ecosistemi digitali complessi e multidimensionali”, quelli che vedremo operativi nel prossimo decennio, come spiega in avvio di tavola rotonda Antonio Ceccarelli, responsabile dell’ingegneria della linea di business Satellite Communications di Telespazio, che sottolinea le potenzialità e le sfide legate alla “space economy” ed al patrimonio delle tecnologie satellitari di valore per il nostro Paese anche per indirizzare l’ambito della cybersecurity. Ed allo stesso tempo sottolinea il bisogno di “adottare anche nel comparto un ideale di security by design e lavorare ad un’effettiva integrazione dei servizi, per offrire una reale resilienza dei canali di comunicazione, con l’idea di cooperazione di più sistemi terrestri e satellitari da tenere al centro per riuscire a portare nelle sale operative le informazioni giuste, che servono, valorizzando così un patrimonio riconosciuto di valore”.
La sicurezza dei diversi domini nazionali tocca in modo evidente anche il comparto delle utility. Francesco Morelli, responsabile cybersecurity e security platform di Terna, legge nella capacità di “governare lo scambio informativo” un ruolo fondamentale che sarà anche dell’Agenzia, ed in relazione al ruolo di Terna come Transmission System Operator pone l’accento sull’importanza di vigilare sulle efficienza come sulle “diverse fragilità delle reti, a partire dal bisogno di protezione della sensoristica, e quindi sull’importanza dello sviluppo tecnologico da indirizzare sui criteri di security by design”. Mentre Yuri Rassega, Ciso di Enel, auspica che l’Agenzia effettivamente assuma il ruolo guida per abilitare la collaborazione su tutta la filiera. “Oggi – spiega – si opera tutti all’interno di “smart grid“. Da soli non si va da nessuna parte. E se da un lato bisogna imparare a pensare sicuro sin dall’inizio, e formare quindi sviluppatori di oggetti sicuri by design, dall’altro è richiesto anche un cambio culturale. E’ più importante quindi “certificare i processi” piuttosto che le “singole soluzioni”. E questo richiede anche la capacità di armonizzare non solo le normative ma anche poi le diverse declinazioni, con la capacità di apprezzare i vantaggi di una standardizzazione tecnologica in atto.
Il tema della security by design, innestata su un’effettiva capacità di cooperazione tra professionalità e competenze diverse è nelle preoccupazioni anche di Massimo Ravenna, head of cybersecurity per Acea (multiutility). “Mentre si assiste alla digitalizzazione di impianti e reti – spiega Ravenna – non bisogna dimenticare la “fisicità” delle strutture. Per esempio in un comparto come il nostro la “meccanica” è ancora una componente fisica di peso”, per cui è facile comprendere come solo dalla capacità di partire dalle esigenze sul campo, per esempio riguardo gli ambienti di test (e le attività di security assessment), è possibile poi costruire e sviluppare competenze adeguate, e sarebbe importante quindi una “condivisione di esperienze pubblico/privato anche in modo da poter interpretare correttamente norme effettivamente allineate con le esperienze operative”.
Lo “scambio”, come valore, quindi torna al centro del dibattito, chiesto anche da Giovanni Ciminari, responsabile funzione Cyber & Defence di Sogei, “anche perché oggi non c’è ambito operativo, nella mia, come nelle altre aziende, in cui non sia prevista un’esposizione digitale al rischio”. E l’interconnessione dei sistemi, attuale e prevista a crescere nel futuro, estende di fatto in modo incommensurabile l’esposizione alle attenzioni degli attaccanti. E’ facile quindi capire come anche “il ricambio generale e la capacità di attrarre e disporre di competenze all’altezza sia importante”. Fa eco a quello di Ciminari il pensiero di Roberto Saracino, Svp e Cio di Igt, azienda che opera a livello globale nel settore del gioco regolamentato che spiega come in Italia si dovrebbe lavorare ad una maggiore capacità di “interazione tra istituzioni, istruzione e privato, con scambi che in altri Paesi sono molto più intensi e che dovrebbero divenire anche da noi più “sistemici””. Un ambito in cui il lavoro dell’Agenzia dovrebbe portare non pochi frutti.
“Security by design, predictive maintenance, evoluzione smart di reti e sistemi, best practice e la capacità di rendere virtuosa l’interoperabilità tra i sistemi” sono temi richiamati, infine ,anche nell’intervento di Simone Pezzoli, Ciso di Autostrade impegnata in un piano da 200 milioni di euro per la digital transformation del gruppo articolato su tre anni.
Crescita e internazionalizzazione per il comparto cyber nazionale
Innesca, invece, il tema dell’opportunità di crescita e internazionalizzazione del comparto cyber nazionale Giorgio Mulé sottosegretario di stato alla difesa, con un intervento acceso che richiama l’importanza di un “atteggiamento attivo” ed in grado di prevedere la capacità di “reazione alle minacce” (non solo difensivo) in un clima di cooperazione efficace tra i Paesi alleati.
Mulé sottolinea come “la minaccia cyber interessa lo stato nei suoi gangli vitali” e come la capacità di anticipare gli attacchi e di reazione interessi quindi necessariamente anche la sfera della Difesa tout court. Per una vera “resilienza cyber” – spiega Mulé – è importante operare in modo che le legislazioni dei diversi Paesi dell’Alleanza siano in grado di “lavorare in modo concertato” ed “uscire una volta per tutte dall’equivoco secondo il quale ognuno può far per sé, perché i singoli target da soli, sono più vulnerabili”. In uno scenario in cui la minaccia ransomware ha già dimostrato di poter colpire in modo agevole anche i sistemi fragili della PA, è importante elevare la capacità di difesa, trattando “le richieste di riscatto dei dati” allo stesso modo “delle minacce di estorsione classiche”, per cui deve maturare la consapevolezza di quanto sia fondativa la cooperazione tra pubblico e privato anche su questi punti.
L’Italia può dimostrare di avere le carte in regola per affrontare le sfide se riesce a mettere in campo “le capacità progettuali delle aziende” in un mercato, quello della cybersecurity che, spiega Danilo Bruschi, professore ordinario di Informatica degli Università degli studi di Milano “cuba circa 160 miliardi di euro destinati quasi a raddoppiare da qui al 2026” ed in cui le aziende a più alto potenziale del nostro territorio “possono mettere a fattor comune le relative capacità per portare il comparto nazionale a diventare protagonista”.
Interviene Cristiano Alborè, responsabile marketing Offerta Tlc e Security di Tim: “Abbiamo tutti gli elementi per poter fare bene. In ambito cyber è importante disporre di una suite di prodotti/soluzioni/servizi consapevoli che se l’indipendenza tecnologica è chimerica, deve comunque rimanere un punto di riferimento verso cui tendere. Tim lavora per un offering completo a supporto dell’ecosistema in modo da offrire una strategia di difesa efficace da portare sul mercato e con una serie di iniziative per il “sistema” nel suo complesso, tra cui per esempio l’iniziativa Risorgimento Digitale, importante tanto più in un Paese come il nostro in cui lavorare sulla consapevolezza nell’utilizzo delle tecnologie e sui rischi correlati è uno step ancora non compiuto”.
Si aggancia Eugenio Santagata, Ceo Telsy, il braccio operativo di Tim per la cybersecurity: “Non possiamo pensare di non essere in grado di giocare un ruolo importante. Negli ultimi anni abbiamo vissuto diverse fasi oggi abbiamo tecnologie e prodotti per riuscire anche a mettere a terra una capacità di difesa “attiva” e lo possiamo fare da una posizione privilegiata perché, pur in un mercato frammentato, si assiste alla convergenza di diversi aspetti della difesa cyber. Certo però bisogna fare in modo che le risorse del Pnrr siano utilizzabili non solo per le tecnologie ma anche per i servizi, mentre l’industria deve fare uno sforzo di team e cooperare anche ad un’eventuale ripartizione dei “compiti” nel raggiungimento degli obiettivi”.
Tra le ipotesi si fa strada anche la possibilità di identificare una serie di progetti strategici concertati con la PA per portare avanti idee “pilota” nell’utilizzo delle tecnologie per industrializzarle e renderle competitive a livello internazionale. Un ambito in cui Acn può giocare ancora una volta un ruolo importante, come dettaglia Paolo Lezzi, Ceo Inthecyber Group che smarca a seguire il tema chiave della sessione per cui poter costruire una modalità difensiva richiede di conoscere le modalità di attacco. “Non si deve scegliere tra difesa e offesa ]…[ ma serve disporre di finanziamenti adeguati all’interno di precisi progetti totalmente calati nella realtà. Con le università a lavorare in modo stretto su qualcosa di realizzabile e le aziende indirizzate non verso una competizione al “ribasso” ma verso una “coopetition ben gestita”“.
“Sono tecnologie, uomini e organizzazioni insieme a costituire la miglior cyber suite” – interviene Enrico Tasquier, Executive Principal Tinexta Cyber – è solo la filiera nel suo insieme quindi che potrà fare bene mentre, più che sulla dialettica difesa/offesa, sarebbe importante “lavorare ad un progetto di ricerca di cybersecurity nazionale per uno sviluppo congiunto delle tecnologie e dei servizi che punta in un’unica direzione”. E concorda su questo Aldo Sebastiani, Svp Cyber & Digital Competence Center di Leonardo che spiega come se da un parte “il problema della sovranità tecnologica italiana/europea è effettivo, dall’altro è “colmabile proprio attraverso il partenariato pubblico/privato/ricerca”.
Il panel dei relatori converge sulla bontà di un atteggiamento volto ad avere l’attitudine dell’attaccante per potersi difendere ed alla capacità di elaborare scenari all’interno dei quali trovare delle soluzioni. Un ambito in cui le tecnologie digital twin offrono una serie di vantaggi. Con un approccio, ben evidenziato da Aldo Sebastiani, Svp Cyber & Digital Competence Center (Leonardo), quando spiega come “la gestione di un incident per un attacco, non deve essere vissuto come evento eccezionale ma deve essere gestito come un evento di business”.
Chiude così la mattinata il Cons.Amb. Andrea Mazzella, capo Ufficio IV Dgsp, Internazionalizzazione Dell’Industria dell’aerospazio, della difesa e della sicurezza (Maeci): “In Italia possiamo vantarci di una serie di eccellenze nel settore, paghiamo però una scarsa comunicazione tra i diversi soggetti che spesso diventano oggetto di attenzione da parte dei gruppi stranieri. Oggi la difesa si presenta come un problema evidentemente multidimensionale e prevede che intorno al “perimetro tradizionale” si valuti con attenzione il valore di tutta la catena delle competenze di ogni verticale per mettere a terra il potenziale di cui siamo capaci se agiamo di concerto. Non ci possiamo permettere in questo momento la competizione divisiva e proporci all’estero in “ordine sparso”. L’Italia ha capacità negoziale che manca da altri Paesi, le nostre capacità sono riconosciute. Nel campo della cybersecurity si deve procedere insieme”.
Non perdere tutti gli approfondimenti dello Speciale Barometro Cybersecurity 2021
© RIPRODUZIONE RISERVATA
