Ieri leggevo i commenti sulle email di allarme bomba inviate a numerose scuole italiane e mi ha colpito soprattutto il modo in cui venivano descritte: c’era chi parlava di spam, chi di attacchi informatici e chi arrivava a ipotizzare hacker di alto profilo, sulla base del fatto che i messaggi sembravano provenire da un account appartenente ad una università taiwanese.

Trovo queste interpretazioni indicative di quanto sia superficiale, e non raramente, il dibattito sulla sicurezza informatica.

Chi ha una certa esperienza nel settore sa che compromettere una casella di posta elettronica non è assolutamente  una impresa particolarmente sofisticata. Può bastare una password rubata, una credenziale riutilizzata, una configurazione non adeguatamente protetta o una semplice attività di social engineering. Una volta ottenuto l’accesso a un account legittimo, usarlo per inviare migliaia di messaggi a destinatari selezionati non richiede capacità fuori dal comune.

E non è nulla di nuovo: sono attività che conosciamo da decenni. Cambiano gli strumenti, la scala e la velocità, ma il principio rimane lo stesso. In questo caso, più che di spam o di un attacco sofisticato, parlerei di un mass mailing (l’invio di un numero rilevante di e-mail) finalizzato a creare allarme, disorganizzazione e a impegnare risorse pubbliche. Il punto interessante non è la tecnica usata per spedire le email, ma la scelta dei destinatari e l’effetto che si vuole ottenere.

E qui emerge il problema vero.

Chi riceve una minaccia di questo tipo non può permettersi di sottovalutarla, e la prudenza ha un costo: chi ha dovuto decidere in pochi minuti ha fatto quello che doveva. Il punto è un altro. Episodi come questo, insieme ad altri visti negli ultimi anni, compreso quello dei frigoriferi francesi che ci hanno interessati di striscio, o l’allarme bomba sugli aerei, mostrano una certa difficoltà del sistema – oggettivamente non solo quello nazionale – a riconoscere la natura di un fenomeno, valutarne la reale pericolosità e gestirlo senza conseguenze sproporzionate. Non mi aspetto che un sistema impedisca qualsiasi tentativo di disturbo: sarebbe irrealistico. Mi aspetto che sappia fare un triage rapido e proporzionato.

La resilienza di un sistema si misura proprio da questo: non dalla capacità di evitare ogni incidente, ma da quella di affrontarlo senza farsi paralizzare.

Mi preoccupa, inoltre, il modo in cui questi episodi vengono raccontati e le conseguenze che una percezione distorta delle minacce può avere sulle decisioni politiche e organizzative. Quando si confonde una campagna di disturbo con un attacco sofisticato, o si attribuiscono capacità straordinarie a chi ha semplicemente sfruttato un account compromesso, si rischia di costruire risposte sbagliate a problemi che richiederebbero ben altre competenze.

Un esempio è la tendenza a considerare la cybersecurity una questione prevalentemente militare, fino all’idea, ripresa dai media in questi giorni, di affidarne sostanzialmente la gestione alla Difesa. La Difesa ha un ruolo importante, soprattutto per le minacce di natura militare o geopolitica. Ma la cybersecurity di un Paese è molto più ampia: riguarda infrastrutture, telecomunicazioni, sanità, energia, imprese, pubblica amministrazione, cioè il funzionamento quotidiano della società. Pensiamo a un ospedale o a un comune colpito da ransomware: servono competenze di gestione dell’incidente, conoscenza concreta dei sistemi e capacità di coordinamento con chi li gestisce, più che strumenti pensati per minacce geopolitiche.

C’è poi una questione ancora più importante: come abbiamo organizzato in Italia la gestione della sicurezza cibernetica. Competenze e responsabilità sono distribuite tra ACN, intelligence, Polizia postale, Difesa e altre strutture pubbliche. Una distribuzione che può avere una sua logica, ma che rischia di produrre sovrapposizioni, frammentazione e soprattutto difficoltà nell’individuare responsabilità e catene decisionali chiare.

In questo quadro, l’Agenzia per la Cybersicurezza Nazionale è un caso significativo. Quando è stata istituita avrebbe dovuto essere il centro di competenza e coordinamento, con capacità tecniche e operative adeguate alla dimensione del problema. Da quanto leggo, già nel 2024 erano emerse contestazioni sulla sua organizzazione interna: secondo i dati riportati in un’interrogazione alla Camera, al 31 gennaio 2024 su 309 persone in organico solo 97 risultavano inquadrate come figure operative, contro 212 classificate come manager e alte professionalità.

Lo prendo per quello che è: un indizio, non una prova: la classificazione non coincide necessariamente con la distinzione tra personale tecnico e amministrativo, e tra le alte professionalità ci sono certamente figure tecniche di grande valore. Inolte il dato è di quasi due anni fa, e non ne ho trovati di più recenti. Ma la domanda che pone è giusta: non quanti dipendenti abbia l’ACN, ma come siano distribuiti tra funzioni tecniche, operative, amministrative e dirigenziali. Quanti si occupano di monitorare le minacce, analizzare gli incidenti, rispondere alle emergenze, supportare amministrazioni e infrastrutture critiche?

La cybersecurity è un settore in cui le competenze tecniche sono difficili da acquisire e ancora più difficili da mantenere. Non possiamo permetterci strutture in cui la componente organizzativa e manageriale prevalga sulla capacità concreta di fare sicurezza. Un’agenzia di questo tipo andrebbe valutata su ciò che mette a disposizione del Paese, non sulle dimensioni dell’organigramma o sul numero di documenti strategici prodotti. Quanti incidenti è in grado di gestire? Quanto riesce a supportare le amministrazioni? Quali capacità tecniche ha sviluppato? Quanto riesce a prevenire, anziché intervenire a cose fatte?

Sono queste le domande che mi aspetterei al centro del dibattito.

Credo che l’intero settore vada ripensato in modo razionale, partendo dalle competenze e dalle funzioni realmente necessarie, chiarendo responsabilità e rapporti tra le strutture e investendo soprattutto sulle capacità operative. Non serve un’altra riorganizzazione fatta di accorpamenti e nuovi organigrammi, né ulteriori strutture con nuovi livelli dirigenziali e competenze sulla carta. Il rischio, altrimenti, è l’ennesimo apparato che finisce per occuparsi prevalentemente di se stesso: produce documenti e strategie, ma quando deve affrontare un problema concreto, o meglio prevenirlo, fatica a trovare risorse e competenze.

Dopo tanti anni passati a lavorare con sistemi informatici, reti e infrastrutture, sono arrivato a una convinzione semplice: la tecnologia, da sola, non risolve i problemi organizzativi, e spesso non sono i problemi tecnologici i più difficili da affrontare.

La cybersecurity non è una questione di sigle, agenzie o organigrammi. È una questione di competenze, responsabilità e capacità di intervento. Governare la sicurezza e fare concretamente sicurezza sono due attività entrambe necessarie, ma non intercambiabili.

Un Paese preparato non è quello che riesce a impedire qualsiasi tentativo di disturbo, ma quello che sa riconoscerlo, valutarlo e gestirlo senza farsi mettere in difficoltà.

(l’immagine del titolo è di geralt su pixabay)