L’esperto: “Hacker e dipendenti corrotti, l’Italia digitale è un colabrodo: cybersecurity sempre più sciatta e negligente. E nessuno paga”
Commenti
“Come è possibile che un dipendente della pubblica amministrazione compia 600 mila accessi abusivi alle banche dati riservate senza che nessuno lo fermi prima?”. È allibito e sconfortato Michele Colajanni, docente a Bologna e tra i decani della sicurezza informatica in Italia, dopo aver letto le cronache sull’ultimo scandalo scoperchiato dalle indagini della procura di Napoli. Tra gli indagati esponenti delle forze dell’ordine, dell’agenzia delle entrate, dell’Inps, di Poste Italiane. Sono accusati di aver trafugato e venduto informazioni riservate su alti dirigenti, calciatori, personaggi del mondo dello spettacolo.
Come è possibile, professore, entrare nelle banche dati dello Stato così tante volte senza destare allarmi?
Cialtroneria e sciatteria, nel migliore dei casi. Perché ogni accesso è registrato e tracciato dal sistema informatico. Il funzionario deve inserire password e username, prima di contemplare le informazioni riservate. Dunque resta nero su bianco chi è entrato, quando e perché. Ci sono report automatici per conteggiare gli ingressi e dopo un certo numero dovrebbe scattare un alert per chi vigila. In questo caso parliamo di centinaia di migliaia di accessi.
Dunque le ipotesi appaiono due: o è mancato l’allarme oppure è rimasto inascoltato.
Lo diranno le indagini. Sulla base della mia esperienza, propendo per la seconda ipotesi: temo sia un problema di superficialità e mancata supervisione.
Non è il primo scandalo degli accessi abusivi. Ricordiamo i 6.637 ingressi del dipendente Vincenzo Coviello negli archivi di Banca Intesa. L’ex finanziere Pasquale Striano, con oltre 10 mila accessi. Ora c’è il nuovo record: 600 cento mila.
Troppi scandali in poco tempo, è inaccettabile e a quanto pare va sempre peggio. Quei dati trafugati potrebbero essere buoni per ricatti ed estorsioni. Ma c’è anche un altro lato: la guerra ibrida ha cambiato passo, con i conflitti in Ucraina e in Medio Oriente, e i rischi di attacchi e intrusioni informatiche sono aumentati. Eppure quasi nessuno paga per gli accessi abusivi, come se i responsabili non ci fossero. Oggi la cybersecurity è decisiva per la sicurezza nazionale e pochi ne sono consapevoli.
Qualcosa sta cambiando. Banca Intesa è stata sanzionata dal garante della Privacy con una multa da 31,3 milioni, per le “spiate” del dipendente. Ottima notizia. In quel caso ci furono 3 mila 572 clienti “attenzionati”, inclusi Giorgia Meloni e Guido Crosetto. Oltre alla registrazione degli accessi, le sanzioni sono necessarie contro chi omette di vigilare. I funzionari infedeli sanno di rischiare grosso: se entrano nelle banche dati così spesso, probabilmente non temono i controlli. Oppure i loro supervisori sono complici, ma questa è una teoria del complotto. Resto con l’ipotesi della superficialità.
Oltre agli accessi abusivi nelle banche dati riservate, l’Italia pare un colabrodo anche di fronte agli attacchi informatici: chiariamo la differenza.
Nel primo caso sono i dipendenti infedeli, già dentro casa, che rubano dati riservati. Nel secondo caso, quello di un attacco hacker, l’intruso arriva dall’esterno per compiere un sabotaggio, spiare, oppure rubare tutti i dati e chiedere soldi in riscatto (il cosiddetto attacco ransomware, un’estorsione digitale).
A febbraio si è saputo di un’intrusione nei sistemi informatici del ministero degli Interni, da parte di criminali informatici d’origine cinese. Poi l’attacco all’università di Roma La Sapienza e al sistema anti allagamento di Venezia. Poche settimane fa il colpo contro Sistemi informativi, filiale Ibm in Italia, fornitore di servizi informatici per pubbliche amministrazioni come ministeri, Inps, Inail.
Ed è solo la punta dell’iceberg. Esiste la galassia sommersa delle aziende private colpite da attacchi cyber senza che l’episodio salga all’onore delle cronache.
Inps ha rassicurato: nessun dato rubato e violazione dei sistemi. La società di Ibm ha confermato: i criminali non hanno toccato le infrastrutture dei clienti.
È una buona notizia e ci dobbiamo credere. Ma gli attacchi sono troppi e i colpevoli troppo pochi, nessuno paga.
Un fornitore di servizi informatici, se viene “bucato” dai criminali mettendo a rischio la sicurezza collettiva, dovrebbe essere ritenuto responsabile?
Raramente accade nel caso di un attacco informatico, ma certi standard di sicurezza devono sempre essere garantiti. Non succede quasi mai, eppure privati e pubblica amministrazioni possono rivalersi sui fornitori, in certi casi.
Quali casi?
Ad esempio, se manca cura e diligenza da parte del fornitore. Come per il furto in casa o in automobile: se lasci la porta aperta o il finestrino abbassato la colpa è tua e l’assicurazione non risarcisce. Stesso criterio andrebbe applicato per la sicurezza informatica. La garanzia al cento per cento non esiste, ma se l’attacco avviene per una sua negligenza, allora il fornitore è responsabile.
Quanta negligenza osserva?
Sempre di più, perché con il passare degli anni è cambiata la cultura professionale della cybersecurity. Una volta la consapevolezza dei rischi alimentava cura e dedizione nel lavoro, come quella del genitore con i propri figli. Ma la diligenza pare dimenticata e avanza la sciatteria. Però aumentano i costi dei servizi informatici.
Neppure nei casi di negligenza il fornitore viene considerato responsabile?
Raramente, manca la volontà di far pagare perfino chi mette a rischio i servizi essenziali per i cittadini. Però se tirano giù la porta blindata di casa, appena montata, allora sì che chiediamo i danni. Dovrebbe valere anche nell’informatica, ma nel mondo virtuale si percepiscono meno rischi e responsabilità.
I rischi degli attacchi informatici possono essere gravissimi.
Certo ed è il paradosso. Pensiamo all’Inps: si potrebbe bloccare il pagamento delle pensioni per milioni di italiani. Oppure la sanità e l’energia elettrica. I rischi aumentano e chi cura la sicurezza informatica dovrebbe esercitare il massimo della diligenza. Ma accade sempre meno.
Per l’attacco al Viminale e alla società di Ibm si è parlato di hacker cinesi.
Possibile, la guerra ibrida esiste e sta salendo di colpi. Ma sovente i “sofisticati attacchi” di Mosca e Pechino sono un alibi per coprire negligenza dei tecnici della cybersecurity.
