Con la creazione del World Wide Web, gli scienziati del CERN di Ginevra intendevano dar vita a un network che sconfiggesse le distanze. L’idea era quella di offrire alla comunità scientifica uno strumento che rendesse più agevole la condivisione delle informazioni, accelerando l’intero processo di ricerca e sperimentazione scientifica tramite la lettura ipertestuale e non-sequenziale dei documenti.
Oggi, le telecomunicazioni hanno di gran lunga superato, per densità di flusso, qualsiasi altro tipo di connettività. Come afferma l’incipit della DoD Cyber Strategy (2015) redatta dagli analisti del Dipartimento della Difesa americano, “We live in a wired world. Companies and countries rely on cyberspace for everything from financial transactions to the movement of military forces. Computer code blurs the line between the cyber and physical world and connects millions of objects to the Internet or private networks. Electric firms rely on industrial control systems to provide power to the grid. Shipping managers use satellites and the Internet to track freighters as they pass through global sea lanes, and the U.S. military relies on secure networks and data to carry out its missions”[1]. Gli Internet Service Provider si stanno trasformando in veri e propri imperi digitali, orientati all’estensione della connettività virtuale su scala globale e favorevoli a muoversi in direzione di una completa integrazione digitale. Ciò che era nato come semplice ausilio tecnologico per favorire la ricerca scientifica, si è presto trasformato in un moltiplicatore del potenziale umano in ogni ambito della società, ivi compreso quello militare.
L’avvento delle cosiddette Information Technologies (IT; in italiano: tecnologie informatiche) ha modificato significativamente fisionomia, priorità e finalità della sicurezza nazionale. Questo perché lo strumento cyber presenta una natura dual-use (in italiano: bivalente), reimpiegabile per scopi sia civili che militari. Episodi come le operazioni Moonlight Maze e Titan Rain condotte contro gli Stati Uniti rispettivamente da Russia e Cina, gli attacchi informatici russi all’Estonia, nel 2007, o la compromissione del programma nucleare iraniano tramite il virus Stuxnet mostrano in modo chiaro fin dove può spingersi il potenziale distruttivo delle tecnologie informatiche.
In gergo tecnico la chiamano quinta dimensione della conflittualità. Dopo terra, mare, cielo e spazio extra-atmosferico, le guerre del ventunesimo secolo si combattono nella realtà ibrida, trascendente, pervasiva e ubiqua del cyberspace. Possiamo immaginare la realtà virtuale come un tessuto reticolare a geografia mutevole, sorretto da infrastrutture portanti di natura fisica e tangibile. Le fondamenta del cyberspace – il cosiddetto “livello fisico” – sono composte da cavi a fibra ottica, satelliti orbitali, parabole, antenne e router per la ricezione del segnale. Tutti quegli elementi “materiali” esposti ad attacchi ortodossi di tipo cinetico. Ai piani superiori troviamo un livello sintattico, costituito dai protocolli operativi che rendono possibile la comunicazione e quindi l’interconnessione tra le parti del sistema, e un livello semantico, dove i dati contenuti nelle macchine vengono rielaborati e condivisi con l’utenza finale. Esiste un alto grado d’interazione tra le strutture fisiche e quelle virtuali nella dimensione cyber.
Come affermano Andress e Witerfeld (2011), “When we look at how the physical and logical realms intersect, we find that they are very closely linked indeed. Logical systems, such as software and applications, are entirely dependent on the physical systems and infrastructure on which they run. Changes made to either the physical or logical components can have profound effects on each other, with one sometimes rending the other completely useless”[2].
Le trasformazioni che si producono nella dimensione virtuale del cyberspace influenzano l’infrastruttura fisica che ne sottende il funzionamento. Allo stesso modo, l’alterazione dell’hardware comporta variazioni a livello logico/protocollare. Come sostiene Martino (2018), “la pervasività delle Information Technology e il rilevante impatto delle Information Communication Telecomunication (ICT), nonché la crescente interconnessione e interdipendenza raggiunta a vari livelli (politico-economico-sociale-finanziario militare) dei Paesi intensamente informatizzati, fa emergere un intrinseco trade-off tra informatizzazione e sicurezza. In altre parole, i punti di forza dei Paesi tecnologicamente avanzati rischiano di trasformarsi nella più perniciosa delle vulnerabilità. Il tipo di armi-non-militari utilizzate per combattere, così come gli obiettivi presi di mira, rende i sistemi civili i nuovi centri di gravità da dover proteggere contro un nemico che il più delle volte “agisce nelle ombre”, favorito da un ambiente sfumato e asimmetrico”[3]. Offendere i sistemi informatici di un’infrastruttura critica o di un grande conglomerato industriale potrebbe avere delle ripercussioni negative sull’integrità dell’intero sistema Paese, determinando una reazione a catena in grado di inficiare ogni ambito della società, finanche generare una perdita di vite umane.
La pervasività del cyberspace non ha solo modificato le caratteristiche operative degli apparati militari, “ma tutto il sistema di Comando e Controllo (C2) delle società intensamente digitalizzate”[4]. Nel quadro delineato, la realtà virtuale diventa un potenziale “moltiplicatore” della violenza, capace d’infliggere danni devastanti di natura materiale o immateriale sul breve e sul lungo periodo.
Se il cyberspace rappresenta dunque l’insieme degli elementi materiali e virtuali che compongono la dimensione ubiqua e reticolare delle information technologies, la definizione di cyberwar chiama in cause tutte le operazioni militari che possono essere condotte al suo interno: “al fine di negare all’avversario – statuale o non – l’uso efficace di sistemi, armi e strumenti informatici o comunque di infrastrutture e processi da questi controllati. Include anche attività di difesa e “capacitanti” (volte cioè a garantirsi la disponibilità e l’uso del cyberspace). Può assumere la fisionomia di un conflitto di tipo “tradizionale” – quando coinvolge le forze armate di due o più stati – oppure “irregolare”, quando si svolge tra forze ufficiali e non ufficiali. Può rappresentare l’unica forma di confronto oppure costituisce uno degli aspetti di un conflitto che coinvolga altri domini (terra, mare, cielo e spazio); in entrambi i casi, i suoi effetti possono essere limitati al cyberspace oppure tradursi in danni concreti, inclusa la perdita di vite umane”[5].
In un quadro tanto fosco, i governi nazionali sono tenuti a erigere un’architettura cibernetica difensiva in grado di proteggere la società e gli Operatori di Servizi Essenziali (OSE) dalle minacce che giungono sul fronte ubiquo e pervasivo dello spazio cibernetico. In virtù della mutevolezza che contraddistingue tale dimensione, e considerando la contrazione dello spazio e del tempo impressa dallo strumento digitale, le misure adottate dalle autorità statali per impalcare un’architettura cibernetica efficace dovranno rispondere a criteri di flessibilità ed efficienza. Con l’adozione nel 2017 del Piano Nazionale per la Protezione Cibernetica e la Sicurezza Informatica (PN), e l’attuazione nel 2018 della direttiva europea NIS (Network and Information Security), l’Italia ha compiuto un importante passo in avanti nella definizione di una strategia nazionale atta a manovrare con sufficiente perizia e agilità nella quinta dimensione della conflittualità. Vi sono, in particolare, alcuni aspetti positivi che meritano di essere segnalati: dall’analisi dei documenti varati emerge anzitutto una propensione del legislatore a considerare la sicurezza cibernetica come un processo, fluido e infinito, tale da richiedere continui aggiustamenti di fronte a una minaccia che muta nel tempo. Emerge inoltre una tendenza all’accentramento degli organi di monitoraggio, principalmente nel comparto intelligence, e dunque un accorciamento della catena di comando e controllo mirato a contrarre i tempi di reazione e incrementare l’efficacia delle azioni intraprese nella gestione delle crisi. Da ultimo, stabilendo “obblighi in materia di sicurezza e di notifica per i cosiddetti Operatori di Servizi Essenziali (OSE) – ossia organizzazioni pubbliche o private operanti nei settori energia, trasporti, bancario, infrastrutture dei mercati finanziari, infrastrutture digitali, sanitario e fornitura e distribuzione di acqua potabile – e per i Fornitori di Servizi Digitali (FSD): e-commerce, motori di ricerca, e cloud computing”[6], il legislatore ha inteso salvaguardare la business continuity delle principali infrastrutture critiche attraverso un processo di responsabilizzazione che permetta al Computer Security Incident Response Team (CSIRT) nazionale, istituito nel 2018 a seguito della direttiva NIS, di gestire efficacemente la risposta agli incidenti informativi attraverso un contributo attivo di tutte le parti coinvolte.
I criteri per la definizione della sicurezza nazionale si rinnovano ormai con la stessa velocità dell’innovazione tecnologica, e ciò impone l’osservanza di una costante tensione al cambiamento nella strategia complessiva da parte delle autorità nazionali, al fine di manovrare con agio in una dimensione, quella cibernetica, sempre più trafficata e sempre più rilevante.
[1] US DoD Cyber Strategy, US Department of Defense, April 2015. (disponibile al sito: https://www.defense.gov).
[2] Andress J. & Witerfeld S. (2011). Cyber Warfare. Techniques, Tactics and Tools for Security Practitioners, Syngrees, 2011, Waltham, MA 02451, USA.
[3] Martino L. (2018). La quinta dimensione della conflittualità. L’ascesa del cyberspazio e i suoi effetti sulla politica internazionale. Politica & Società, Fascicolo 1, gennaio-aprile 2018.
[4] Ibidem.
[5] Dipartimento delle Informazioni per la Sicurezza (2012). Il linguaggio degli organismi informativi. Glossario di Intelligence, in GNOSIS. Rivista Italiana di Intelligence. Quaderni di Intelligence, De Luca Editori, Roma.
[6] Cyber, la NIS entra in vigore. L’Italia si rafforza e fa rete con l’UE, Archivio notizie, Sistema di informazione per la sicurezza della Repubblica, 22 giugno 2018. (disponibile al sito https://www.sicurezzanazionale.gov.it).