“Falle nella sicurezza informatica: il caso Equalize e le criticità del sistema di protezione nazionale”

Onorevole Pagani, quali sono le principali falle di sicurezza che sono emerse all’interno dell’Agenzia per la Cyber Sicurezza Italiana e quali potrebbero essere le conseguenze per la sicurezza nazionale?

Francamente mi pare che il problema non stia nell’Agenzia, ma altrove. L’Agenzia non è il cane da guardia dei data base della pubblica amministrazione, ha un compito diverso, deve rafforzare le capacità di resistenza e resilienza agli attacchi informatici del sistema Paese, e delle infrastrutture critiche in particolare, alle quali si applicano le norme della Direttiva europea NIS2. Le falle emerse riguardano piuttosto la sicurezza delle informazioni riservate alle forze di polizia, alle quali non possono accedere agenzie private di investigazione. Ogni poliziotto, carabiniere o finanziere che, con le proprie credenziali, interroga lo SDI è tracciato e deve giustificare la ragione dell’accesso con un’indagine in corso, se gli viene chiesto conto di quel che fa. Ma una società che ha copiato e sottratto illegalmente milioni di dati dallo SDI non ha più bisogno di accedervi, può usare la sua copia privata perché l’ha rubata. E’ chiara la gravità del fatto?

2. A suo avviso, come è possibile che un’agenzia creata per proteggere il Paese da minacce cibernetiche sia finita al centro di uno scandalo di sicurezza? C’è stata negligenza o incompetenza?

Io ho letto polemiche sull’ACN che riguardano solo le retribuzioni dei dirigenti, le assunzioni di personale imparentato coi politici o l’attribuzione di generose consulenze esterne. Ho pensato che siano indiscrezioni giornalistiche ispirate dall’interno, dovute a conflitti di potere, gelosie e regolamenti di conti tra funzionari, per ragioni di carriera. Nella pubblica amministrane non è una gran novità, purtroppo. Il furto dei dati dello SDI, che non c’entra nulla con l’ACN, non so dire se si tratti di negligenza, di incompetenza o di altro. In teoria il sistema di sicurezza di quella banca dati dovrebbe essere eccellente, la cybersicurezza di quelle banche dati è notevole, ma resta il fatto che una società privata ne ha comunque rubato una copia e la usava illegalmente.

3 E allora come è potuto succedere?

Evidentemente qualcuno era nelle condizioni di copiare indisturbato diversi terabyte di dati, e portarli via. Quindi penso che il controllo di chi accede ad archivi dello Stato così delicati, per la manutenzione dei sistemi o per altre ragioni, debba essere più attento. Siccome è richiesto il nulla osta di sicurezza anche per compiti meno importanti, per chi mette le mani su informazioni o sistemi informatici di questo rilievo servono controlli e procedure rigorosissime. Quando mi permisero di visionare l’arra riservata dove i clienti di Huawei accedono al codice sorgente dei programmi che usano, non mi hanno permesso di portare all’interno alcun dispositivo elettronico e sono stato sorvegliato da un signore cinese che è stato accanto a me per tutto il tempo e non mi ha tolto gli occhi di dosso un istante. Credo che quella sia una procedura di sicurezza semplice e banale, ma utile per evitare che un addetto alla manutenzione dello SDI possa rubarne i dati.

4. Nel contesto dell’attuale panorama geopolitico, quanto potrebbe influire questo scandalo sulla fiducia dei nostri partner internazionali, come la NATO e l’Unione Europea, nella capacità dell’Italia di garantire la sicurezza dei dati sensibili?

La NATO non ha particolare interesse alla sicurezza delle informazioni che riguardano la Homeland Security italiana, purché non compromettano segreti militari. Inoltre i servizi di sicurezza italiani hanno maturato con la Guerra Freda un’expertise riconosciuta da tutti nel controspionaggio. E poi bisogna dire che lo spionaggio può sempre colpire la NATO, anche senza impiegare diavolerie tecnologiche, captatori informatici o cavalli di Troia. Non ricordo alcun cavallo nella storia dell’avvenente spia russa che sino all’anno scorso era la segretaria del circolo ufficiali della NATO, a Napoli. L’astuta signorina, che si presentava come imprenditrice gioielliera, aveva sedotto alcuni ufficiali americani e probabilmente, nell’intimità del dialogo che aveva instaurato con loro, è riuscita raccogliere e portare a casa qualche confidenza, che a Mosca desideravano conoscere. Il suo sarà pure un metodo antico, ma pare che sia ancora efficace, in taluni casi. Sulla sicurezza delle istituzioni europee invece gli agenti di influenza del Qatar hanno ottenuto un successo impiegando come esca il denaro. Quindi, dopo lo scandalo della corruzione al Parlamento Europeo, stenderei un velo pietoso piuttosto di preoccuparci di cosa penseranno a a Bruxelles dell’Italia.

5. Il progetto “Equalize” è stato presentato come uno strumento strategico per migliorare le capacità cibernetiche italiane. Quali aspetti di questo progetto ritiene possano aver portato alla sua potenziale vulnerabilità e alle conseguenti fughe di informazioni?

Più che di un progetto per migliorare la resilienza cyber dell’Italia a me risulta che si tratti di un progetto per fare quattrini. Niente di male, è il business di una società privata, ma negli affari bisogna guadagnare rispettando le leggi. Il problema sta solo qui: quando si viola la legge per offrire ai propri clienti un servizio migliore, più completo e più soddisfacente, si apre una falla che diventa facilmente una voragine, perché poi l’appetito vien mangiando ed accecati dal guadagno facile si finisce per creare solo danni per tutti, clienti compresi. Le Private intelligence Company, come le Private Security Company, sono aziende private che offrono servizi che migliorano la sicurezza del Paese. Se operano correttamente e nella legalità fanno del bene, perché permettono alle aziende clienti di ottenere informazioni importanti relative ai loro fornitori, ai loro concorrenti, al mercato, ai rischi che ci sono ad operare in determinati settori economici o aree geografiche. Le PSC consentono ai lavoratori di andare all’estero in sicurezza, protetti professionalmente, ed è paradossale e assurdo che non siano previste dall’ordinamento italiano. Invece di costringere le nostre aziende a rivolgersi a fornitori esteri, sarebbe meglio normare queste attività, così che ciò che è consentito o vietato lo dica la legge, non la richiesta del cliente. 

6. Quindi la responsabilità di quel che è successo sarebbe sia della Equalize che dei suoi clienti? 

Certamente! In Italia si possono fare investigazioni, con una licenza prefettizia ed un mandato investigativo, come prevede l’artico 134 del TULPS. Investigare per scoprire se un dipendente infedele ruba o vende informazioni riservate, nel rispetto della legge, credo che sia un’attività lodevole. Spiare la fidanzata di un manager, istallando un trojan sul suo telefono, invece non è legale, e nemmeno intelligente. Se il cliente lo richiede bisogna dirgli che non si può fare, non violare la legge per accontentarlo. Per altro, serei curioso di sapere quanto è costata in termini di danno reputazionale questa fesseria all’azienda Luxottica. La reputazione è un asset aziendale prezioso, che andrebbe protetto anche dalle sciagurate idee del management. Questo è il compito di un consulente che offre servizi di sicurezza, o di business intelligence. Le aziende serie fanno così. Poi se c’è un malandrino che non lo fa, ne risponderà in tribunale, e questo non significa che il settore delle investigazioni private sia pieno di malandrini.

7. Esistono evidenze di un coinvolgimento di personale interno allo Stato nell’eventuale fuga di informazioni o si tratta piuttosto di un attacco orchestrato dall’esterno? È vero che Equalize è stato sviluppato con il supporto di partner esteri? Se sì, in che misura la collaborazione internazionale potrebbe aver compromesso la sicurezza del progetto?

Su questo sta indagando la magistratura; io conosco il caso come qualsiasi altro lettore dei giornali. Posso dire solo che se io fossi nell’intelligence di un Paese straniero, non necessariamente ostile, e fossi interessato ad acquisire informazioni su aziende italiane, o politici italiani, imprenditori o personaggi importanti, penso che mi rivolgerei ad un’agenzia privata di business intelligence italiana, con le capacità e gli strumenti adatti per fare questa ricerca per conto mio. E pagherei bene questa manovalanza dello spionaggio, perché si assume tutti rischi al mio posto. Probabilmente mi presenterei vestito da manager di una società straniera, con una valigia di soldi in mano, e credo che troverei facilmente qualcuno disposto a fare il lavoro sporco per conto terzi, proteggendo così il mio Governo dal rischio di spiacevoli incidenti diplomatici, nel caso lo spionaggio fosse scoperto.

7. Secondo lei, quali dovrebbero essere le misure immediate da adottare per salvaguardare la riservatezza e la sicurezza delle informazioni legate a Equalize, considerando che potrebbe essere stato compromesso?

Non ne ho idea perché non dispongo delle informazioni necesssrie per poter rispondere, ma credo che se ne stia già occupando chi ha il compito di farlo. Io sono garantista, e finché non ci sarà una condanna di un tribunale non so nemmeno quali reati verranno realmente accertati e da chi siano stati commessi, per cui non posso sapere nemmeno cosa potrebbe essere compromesso. Quello che posso giudicare è solo uno stile imprenditoriale che, così come appare dai racconti della stampa, trovo poco professionale, ma questa è solo una valutazione deontologica. Le responsabilità penali le deve accertare la magistratura. Se poi emergono le prove che veniva fatto anche dossieraggio politico, inquinando la democrazia e le istituzioni, spero che le sanzioni siano proporzionate alla gravità del reato.

8. C’è il rischio che le informazioni trapelate dal progetto Equalize possano essere utilizzate da attori ostili per sviluppare attacchi contro l’infrastruttura critica italiana? Come possiamo proteggerci in futuro da simili incidenti?

Questi rischi ci sono sempre, a prescindere da questo specifico caso. Non possiamo sapere quali informazioni abbiano acquisito i potenziali attori ostili, né quali vulnerabilità conoscano, né se ci abbiano sottratto informazioni in passato, quando si faceva anche meno attenzione di oggi, oppure inoculato un malware. Siccome non lo sappiamo dobbiamo ragionare sempre ipotizzando il worst-case scenario, per essere sempre pronti a fronteggiare il caso peggiore, e rendere più robusti e resilienti i nostri sistemi. Non bisogna pretenderete di evitare tutti gli incidenti, perché l’errore è fisiologico che possa accadere, ma bisogna poterlo isolare e correggere tempestivamente, minimizzando i danni. Osserviamo la natura, che ama la ridondanza, perché vuole avere un’abbondanza di parti ricambio, e non ammette la crescita eccessiva degli organismi, perché sa che le dimensioni troppo grandi producono fragilità, non robustezza. Prendere esempio da Madre Natura mi pare la cosa più saggia da fare, perché ha milioni di anni di esperienza e sa meglio di noi cosa riesce  sopravvivere e cosa deve soccombere.