Spieghiamo meglio cosa fa l’Agenzia per la cybersicurezza nazionale
Alcuni pensano che la cybersicurezza sia un fatto di hacker, nerd, ingegneri del software e basta, ma non è così.
L’elemento tecnico e ingegneristico nella cybersecurity è cruciale, ma la cybersecurity è tecnologia, normazione, regolazione, rapporti istituzionali, cooperazione internazionale, industria, geopolitica e diplomazia.
La cybersecurity è tecnologia perché le tecniche di attacco e difesa di reti, sistemi e computer evolvono costantemente. Spesso, la stessa tecnologia, prendiamo l’IA, può essere usata per creare attacchi più devastanti, ma può essere usata per difese più efficaci. In ogni processo di sviluppo tecnologico sono coinvolti matematici, ingegneri, tecnici, giuristi, imprenditori, venditori, formatori, legislatori eccetera.
La cybersecurity è una questione normativa perché, al pari di ogni risultato dell’interazione umana con l’ambiente, naturale o artificiale, va sottomessa a regole, anche quando questo appare difficile, oneroso e impegnativo in termine di tempo e di risorse. Basti pensare allo sforzo normativo europeo e internazionale in tema di certificazione e qualificazione, la risposta al crimine informatico, le linee guida per lo sviluppo sicuro dell’Intelligenza artificiale.
La cybersecurity è fondata sulle relazioni internazionali. Ovvio, perché quando parliamo di cyber parliamo di una superficie digitale da proteggere che non conosce virtualmente confini. Gli effetti di un attacco o di una risposta a un attacco possono andare oltre il target ed esondare dalla zona geografica in cui inizialmente si manifestano. Quindi per fermarli o mitigarli occorre la cooperazione di diverse realtà politiche, istituzionali ed economiche garantendo la resilienza dell’ecosistema cibernetico impattato.
La cybersecurity è geopolitica perché la tecnologia che ne è alla base non può fare a meno di materie prime, componentistica e competenze distribuite ai quattro angoli del pianeta. La competizione per l’accesso ai chip di nuova generazione, lo sviluppo di HPC e Quantum Computing hanno innescato una competizione tra gli Stati. Il motivo? I nuovi computer quantistici, una volta disponibili, saranno in grado di rompere i sistemi crittografici alla base della sicurezza stessa delle tecnologie di comunicazione. Solo per fare un esempio.
La cybersecurity è ricerca, industria e innovazione di processi, prodotti e servizi. Senza l’industria che costruisce tecnologie sicure in un mercato competitivo, senza i vendor, i system integrator, non c’è tecnologia usabile, non ci sono prodotti di consumo a prezzi ragionevoli, non c’è pubblicità, non si arriva all’utente finale. Viceversa, se l’industria non si protegge, se non protegge dati, server, proprietà intellettuale e brevetti, viene meno la sua capacità di competere in un mercato globale.
La cybersecurity è formazione all’uso critico delle tecnologie, perché non può esserci un uso consapevole dei dispositivi tecnologici se non se ne comprendono rischi e opportunità.
Un vecchio modo di pensare ritiene che siano solo gli hacker, etici oppure no, che si occupano di cybersecurity. “Ah, ma c’è il Red Team che, attaccando, testa le difese!”. Oppure: “il nostro blue team si occupa di proteggere i sistemi, facciamo le esercitazioni”. Da soli non bastano più. In real case scenario siamo andati oltre perfino al purple team. Oggi il contrasto agli incidenti e alle minacce informatiche lo fanno i “golden team”, squadre dove ci sono giuristi, specialisti della privacy, linguisti, diplomatici, tecnologici, psicologi, sociologici e hacker.
Dovrebbe essere ovvio, se si pensa che “i dilettanti hackerano i sistemi, i professionisti hackerano le persone” come diceva Bruce Schneier.
Le agenzie nazionali di cybersecurity sono nate quasi spesso in seguito a scelte monocratiche, cioè non per iniziativa parlamentare ma governativa, tuttavia queste agenzie, come ad esempio quella italiana, l’Agenzia per la cybersicurezza nazionale, ha compiti e funzioni attribuitigli dal Parlamento.
E tuttavia, un’agenzia governativa come ACN fa molte cose ma non fa tutto.
CHE COSA FA L’AGENZIA PER LA CYBERSICUREZZA NAZIONALE
ACN non fa contrasto al cybercrime, che è compito della Polizia di Stato con le sue articolazioni specializzate, e lo fanno le altre forze di polizia; ACN non fa intelligence, della raccolta di informazioni si occupano AISE e AISI, coordinati dal DIS; ACN non si occupa della protezione di asset militari, che è compito della Difesa.
L’ACN si occupa di resilienza e protezione cibernetica, in particolare delle infrastrutture critiche nazionali. Protegge i soggetti sotto il Perimetro nazionale di sicurezza cibernetica secondo le modalità previste dalla legge e poi i soggetti NIS, le Telco, e i soggetti costituzionali o di rilevanza costituzionale.
- ACN svolge attività operativa di Protezione e risposta agli incidenti e alle crisi cibernetiche. Negli ultimi due anni, ha fatto letteralmente ripartire decine di strutture sanitarie bloccate da ransomware permettendo a radiologia, oncologia, Cup e pronto soccorso di continuare a funzionare.
- ACN svolge un’intensa attività di Policy e Regulation. Ad esempio, ACN ha redatto il Regolamento Cloud per mettere al sicuro i dati ordinari, critici e strategici del nostro paese, avviato i laboratori di prova e scritto le linee guida sulla crittografia e per la gestione sicura delle password.
- ACN si occupa di sviluppo tecnologico, ad esempio, finanziando le startup del Cyber Innovation Network per favorire lo sviluppo di progetti e prodotti industriali nei campi della robotica, IA, Quantum computing, crittografia, data science, data mining, cybersecurity. Oppure attraendo finanziamenti europei come nel caso dell’AI Factory. Tutto questo nella cornice dell’autonomia strategia nazionale.
- ACN si occupa di formazione e ricerca, ad esempio, attraverso l’Agenda di Ricerca e Innovazione, finanziando le borse di studio di dottorato, sottoscrivendo accordi con ANVUR, Mur e Ministero dell’Istruzione e del merito. Tutto questo per favorire l’inserimento nei programmi scolastici e universitari dello studio delle materie Stem e collegate alla cybersicurezza, le relazioni tra i ricercatori, lo sviluppo di una base di competenze e professionalità di carattere nazionale. È noto inoltre il contributo che ACN ha dato dalle sue origini alle iniziative del Laboratorio Nazionale di cybersecurity del CINI per “allevare” i migliori talenti italiani del settore attraverso iniziative come la Cyberchallenge.
- ACN si occupa di finanziare la progettazione e realizzazione di una Pubblica Amministrazione sempre più pronta a reagire alla minaccia cibernetica e ha erogato fondi PNRR per innalzare la postura delle PA come Autorità portuali, società in house regionali e agenzie di protezione ambientale (€100 mln), ma ha anche scritto le linee guida e finanziato la realizzazione di CSIRT regionali.
- ACN ha realizzato con Confindustria e Generali il Cyber Index PMI strumento di autovalutazione del rischio cibernetico per le PMI e con il mondo delle imprese ha sviluppato un RoadShow territoriale di 8 tappe per parlare di anticipazione del rischio cibernetico da parte delle PMI.
- L’Italia, attraverso l’ACN, ha promosso il G7 cybersecurity Working Group durante la presidenza italiana del G7. Sulla piattaforma proposta dall’Italia sono convenuti gli altri sei grandi, l’Ue e l’Enisa che hanno individuato importanti convergenze su tre temi: la protezione internazionale delle infrastrutture critiche, la lotta senza quartiere al Ransomware, la necessità di guidare lo sviluppo sicuro dell’Intelligenza Artificiale. In questa azione di proiezione internazionale ACN coopera con i 61 paesi che partecipano alla Counter Ransomware Initiative, e i 21 paesi che hanno aderito con ACN alla dichiarazione di Bletchley park sullo sviluppo sicuro dell’Intelligenza Artificiale.
Il lavoro dell’ACN, svolto da personale altamente qualificato (il 75% è laureato e il 25% ha un master o un dottorato), è fatto anche dai bravissimi tecnici diplomati (tecnici del software, tecnici dell’hardware, penetration tester, tecnici di laboratorio), assunti tramite concorso, nel 2024 (65 unità), mentre stanno prendendo servizio i vincitori di un altro concorso pubblico per 45 giuristi specializzati in cybersecurity, visto l’incremento delle attività di Policy & Regulation che la legge richiede all’Agenzia, dopo l’entrata a regime della NIS2.
Nel 2025 ci saranno nuovi concorsi.
No, la cybersecurity non è solo un fatto di nerd.
(arturo di corinto)
