Le otto urgenze cyber security del Governo Meloni

Alcuni temi della cyber security sono urgenti in Italia e richiedono l’immediata attenzione del nuovo Governo. Questo alla luce dello scenario internazionale e nazionale (livello strategico) nonché quello relativo alle differenti realtà pubbliche e private (livello operativo). Alcuni di questi si ritrovano, esplicitamente per la cyber o contro-luce nel “Documento Italia digitale 2026 – Risultati 2021-2022 e azioni 2023-2026” pubblicato da poco dal Mitd (Governo uscente); sintetizza la strategia digitale e tecnologica per l’Italia, che il Governo ha prima impresso al Piano Nazionale di Ripresa e Resilienza (PNRR) e poi avviato tra febbraio 2021 e ottobre 2022.

Le urgenze cybersecurity per il nuovo Governo

• Perseguire la strategia di cyber security con una visione unitaria e di insieme per il Paese. La sicurezza cibernetica non è solo questione tecnologica, ma è un insieme multidisciplinare di processi, prodotti, tecniche e tecnologie atti a rendere l’attività digitale sicura. In questo senso occorre una strategia nazionale e internazionale di cooperazione tra le Istituzioni e tra le Istituzioni e le aziende private, per creare economie di scala e per rendere la sicurezza pervasiva. È noto, infatti, che la misura della sicurezza di un sistema complesso è pari al valore della sicurezza del punto più debole: lasciare punti deboli nel sistema significa rendere inefficaci soluzioni per quanto articolate e intelligenti che coprano solo alcuni aspetti o solo alcune zone (non solo geografiche, ma in generale logiche, del sistema).
• Supportare e agevolare le PA locali nella corretta spesa dei finanziamenti in ambito PNRR per la cyber security. I processi di digitalizzazione sicura e di messa in sicurezza delle pubbliche amministrazioni locali, elementi essenziali nell’assicurare a livello territoriale la qualità dei servizi ai cittadini, trovano nel PNRR un’opportunità di concreta attuazione. Pertanto, appare sempre più necessario concentrare gli sforzi per fornire un aiuto fattivo alle PA locali nella gestione dei finanziamenti in ambito PNRR anche in ottica di cyber security, per utilizzare tempestivamente i fondi disponibili e ottenere, allo stesso tempo, risultati misurabili. Questi ultimi costituiscono un traguardo importante anche in considerazione del fatto che le Amministrazioni locali sono gli elementi più vicini alle esigenze dei cittadini e rappresentano, dunque, un punto cardine per la messa in sicurezza del Sistema Paese.
• Valorizzare la cooperazione pubblico-privato. Sarebbe utile considerare misure di semplificazione delle procedure di partnership pubblico-privato volte a concretizzare efficacemente nuove opportunità di business. Tale semplificazione, infatti, potrebbe configurarsi come uno stimolo per il mercato della cyber security e per le imprese che gravitano attorno a tale ambito. L’autonomia digitale, punto cardine delle politiche strategiche di cyber security di tutti i Pease del mondo, passa necessariamente per la creazione di uno strato industriale altamente specializzato sia dal punto di vista tecnico che tecnologico, in grado di realizzare sia software che hardware. Un tessuto specializzato di tale natura si basa su un processo completo di innovazione che parte dalla ricerca e arriva alla industrializzazione, passando per la creazione di start up innovative e spin-off universitari, oltre che per grandi aziende. È un processo inverso alla globalizzazione, processo che tenta di fermare l’azione fagocitante delle multinazionali a favore della nascita e della crescita (attenzionata dallo Stato) di realtà nazionali in grado di soddisfare, almeno in parte, il mercato interno.
• Accrescere la formazione diffusa che possiamo definire di cyber hygiene. Campagne di awareness diffuse, realizzate a tutti i livelli di età e di professionalità, innalzano i presidi di sicurezza del Sistema Paese e si configurano come opportunità per un nuovo approccio al digitale. Esattamente come l’igiene personale per la salute e la patente di guida per l’uso di veicoli a motore, una consapevolezza diffusa delle tecniche minime di cyber security sarà la base per rendere tutti più confidenti nell’uso della rete e nella gestione dei propri dati.
• Creare professionalità di cyber security a tutti i livelli, anche a quello dei diplomati. La creazione di professionalità legate alla sicurezza cibernetica anche al di fuori dell’ambito universitario è la prima risposta alle istanze delle industrie e delle aziende pubbliche e private italiane.  L’autonomia digitale “soft”, quella che considera la parte “human”, ossia i cervelli e la loro formazione, è quella che ci interessa di più: la situazione del mercato del lavoro della cyber security si può accomunare alla situazione artistica del Rinascimento italiano e al collegato fenomeno del mecenatismo. Ecco, oggi le grandi aziende si stanno regolando nello stesso modo: premono gli esperti di settore per giocare al rialzo continuo degli stipendi, di fatto “rubandosi” l’un l’altra i sedicenti esperti. Un fenomeno di mecenatismo non è la risposta alle istanze di cyber security di questo tempo. Tutt’altro. Questo gioco al rialzo esclude le PMI dalla possibilità di permettersi persino un “impiegato” di cyber security, anche perché una postura da mecenate nella ricerca dei profili corrisponde ad altrettante posture che possiamo definire “vinciane” degli esperti, i quali si aspettano trattamenti economici da talento universale.
• Governare la bolla finanziaria legata alla cyber security. Gli investitori sono molto attratti dall’innovazione in cyber security e questo spinge moltissime aziende a cercare di consolidare i fatturati per attrarre finanziamenti. Le piccole imprese e le start up si trovano in svantaggio costante perché non ricevono tutele, anche solo di defiscalizzazione, per assumere o per investire nella ricerca applicata e vengono facilmente inglobate dai grandi gruppi che attraggono investimenti con maggiore facilità. Un processo, questo, che non favorisce l’autonomia digitale perché va inevitabilmente verso globalizzazioni multinazionali. Una autonomia tecnologica implica una capacità autonoma di produzione che copra tutto il flusso della catena del valore, comprese materie prime e logistica, quindi comprese, per esempio, le fonderie dei microchip. Il perimetro di tale autonomia non può che essere europeo, tuttavia l’”europeità” si garantisce a parità di capacità tecniche e tecnologiche, quindi passa prima di tutto per uno sviluppo di capacità nazionali e poi per una corretta postura di cooperazione internazionale.
• Promuovere lo sviluppo degli schemi di certificazione di prodotto in cyber security. Nell’ambito del percorso avviato per la valutazione e la certificazione dei prodotti, percorso che trova nel CVCN il proprio elemento cardine a livello nazionale, è necessario promuovere la tempestività della definizione degli schemi di certificazione sia a livello nazionale che a livello europeo. Il terzo decennio di questo millennio sarà sicuramente dedicato, in tema di cyber security, alla standardizzazione e alla individuazione di tecniche di valutazione e certificazione che rendano la sicurezza “minima” misurabile e comprovabile. L’Europa ha intrapreso un cammino ambizioso in questo senso, prevedendo di identificare un metodo di certificazione per ogni tecnologia e per ogni settore specifico (dall’automotive al sanitario): l’Italia ha un organismo di certificazione da oltre ventidue anni sul proprio territorio, organismo che partecipa al mutuo riconoscimento internazionale dei certificati a livello mondiale. Non possiamo rimanere in disparte durante questo processo di trasformazione della cyber security da una forma di artigianato a una professionalità consolidata.
• Rendere operative le capacità di contrasto cyber nella difesa militare anche attraverso partnership pubblico privato. Lo sviluppo di competenze e di meccanismi di attivazione congiunti, avviati “in tempo di pace”, costituisce un valido metodo per stimolare l’efficacia delle azioni di contrasto nel caso di situazioni di emergenza o di crisi. In questo senso, la pianificazione, la preparazione e le esercitazioni congiunte, realizzate includendo i principali attori pubblici e privati potenzialmente coinvolti, rappresentano elementi chiave per una adeguata preparazione. Tali elementi vanno in continuità con quanto previsto nell’ambito del Decreto Aiuti-bis, all’art. 37, in cui viene conferita la facoltà, in capo al Presidente del Consiglio, di adottare “misure di intelligence di contrasto in ambito cibernetico, in situazioni di crisi o di emergenza a fronte di minacce che coinvolgono aspetti di sicurezza nazionale e non siano fronteggiabili solo con azioni di resilienza, anche in attuazione di obblighi assunti a livello internazionale”.

Italia digitale, tutte le azioni che restano da fare: avviso al nuovo Governo

In conclusione

Per concludere, il percorso avviato nell’ultimo periodo in tema di cyber security dal nostro Paese ha già consentito di raggiungere risultati tangibili – ad esempio – nella costituzione e nel consolidamento dell’Agenzia per la Cybersicurezza Nazionale, nella tempestività dei decreti attuativi previsti dalla legge del Perimetro di Sicurezza Nazionale Cibernetica, nell’aggiornamento della strategia e del piano operativo di cyber security nazionali e, in generale, nelle azioni intraprese dalla ACN.

L’attenzione governativa alla cyber security deve essere alta in modo costante e competente, poiché gli obiettivi legati alla sicurezza cibernetica costituiscono un volano per la crescita e lo sviluppo dell’intero Sistema Paese e consentono l’innalzamento della tutela dello spazio cibernetico nazionale e la crescita del tessuto industriale, nonché un posizionamento strategico del nostro Paese a livello economico e politico più forte e più facilmente riconoscibile.