Caro lettore,
questa settimana abbiamo deciso di fare una cosa che in Italia sembra diventata quasi rivoluzionaria: andare oltre la narrazione e verificare direttamente come funzionano le cose. Lo abbiamo fatto con l’Agenzia per la Cybersicurezza Nazionale, mettendo a confronto anni di analisi di Matrice Digitale con uno dei dirigenti che ha contribuito alla costruzione dell’attuale architettura cyber italiana; lo facciamo con Donald Trump, che negli Stati Uniti ha formalizzato l’impiego di società private nelle operazioni contro il cybercrime transnazionale scatenando lo stupore di chi sembra essersi accorto soltanto oggi che Microsoft, Google, Cloudflare, OpenAI e decine di aziende di sicurezza collaborano da anni con governi, procure e agenzie federali nello smantellamento delle infrastrutture criminali; e infine lo facciamo con il caso Ranucci, dove l’arresto e la successiva confessione di Valter Lavitola hanno fatto crollare la comodità di una rappresentazione costruita per mesi attorno a un attentato attribuito genericamente ai “poteri oscuri”, restituendo invece una vicenda molto più complessa e soprattutto molto più scomoda per il mondo dell’informazione. Tre storie che hanno un elemento comune: il potere non è soltanto quello esercitato dalle istituzioni, dalle piattaforme o dalle persone, ma anche quello di stabilire quale versione dei fatti debba diventare pubblicamente accettabile.
È su questa distanza tra realtà e rappresentazione che Matrice Digitale continua a lavorare, anche quando significa arrivare a conclusioni meno semplici, meno rassicuranti e soprattutto meno funzionali alle tifoserie.
Per anni Matrice Digitale ha raccontato l’Agenzia per la Cybersicurezza Nazionale senza mai trasformarla in un oggetto da venerare né, all’opposto, in un bersaglio permanente. Abbiamo seguito la sua nascita, la gestione Frattasi, il peso politico esercitato prima nell’orbita di Mario Draghi e successivamente nella struttura costruita attorno ad Alfredo Mantovano, l’applicazione del Perimetro di Sicurezza Nazionale Cibernetica, il PNRR, la Strategia Cloud Italia, la NIS2, il rapporto con la Difesa e soprattutto la grande questione rimasta per troppo tempo sullo sfondo: può esistere una cybersicurezza nazionale senza una reale sovranità tecnologica? È una domanda che Matrice Digitale ha posto continuamente, talvolta anche in contrasto con una narrazione pubblica che sembrava suggerire l’esatto contrario, e proprio per questo l’intervista concessa dall’ACN attraverso Luca Nicoletti assume un significato superiore alla semplice pubblicazione di una serie di domande e risposte. Non abbiamo cercato una passerella istituzionale né qualcuno che spiegasse quanto fosse importante l’Agenzia. Abbiamo chiesto invece di confrontarsi sui nodi sui quali questa testata lavora da anni e l’elemento probabilmente più interessante è che molte delle risposte ricevute rendono finalmente espliciti concetti che per troppo tempo sono rimasti appannaggio degli addetti ai lavori.
La prima questione riguarda una confusione che ha accompagnato quasi tutta la comunicazione pubblica italiana sulla cybersicurezza: l’idea che ACN coincida con l’intero sistema cyber nazionale. Nicoletti chiarisce invece un punto fondamentale, ricordando che la sicurezza cibernetica dello Stato poggia su più pilastri: resilienza, intelligence, Difesa e contrasto al cybercrime, con competenze e responsabilità che appartengono a soggetti diversi. L’ACN svolge un ruolo centrale, ma non è la struttura che conduce la guerra cibernetica, non sostituisce l’intelligence, non svolge le funzioni delle forze di polizia e non assorbe automaticamente ogni attività che abbia la parola “cyber” nel proprio perimetro. Può sembrare una precisazione ovvia, ma non lo è affatto se si considera che per anni l’Agenzia è stata rappresentata mediaticamente come una sorta di ministero universale dell’informatica nazionale. Questa distinzione diventa ancora più rilevante oggi, mentre il governo discute di un rafforzamento della dimensione militare del cyberspazio e mentre la Difesa rivendica una propria centralità operativa. Capire dove termina ACN e dove iniziano intelligence, Difesa e forze dell’ordine è il presupposto minimo per evitare che ogni riforma venga raccontata come una guerra tra strutture invece che come una redistribuzione delle competenze. Il secondo elemento importante riguarda la NIS2 e il rapporto tra sicurezza e burocrazia. La direttiva europea allarga enormemente la platea dei soggetti obbligati e inevitabilmente cresce il timore che la cybersicurezza diventi l’ennesimo adempimento formale, con aziende impegnate a produrre documentazione senza modificare realmente la propria capacità di resistere agli incidenti. La risposta di Nicoletti va invece in una direzione più sostanziale: obbligare un’impresa a identificare sistemi critici, fornitori strategici, dipendenze e impatti significa costringerla a conoscere finalmente la propria infrastruttura digitale. Non basta acquistare un firewall, nominare un responsabile o affidarsi a un consulente che prepara la documentazione necessaria. Il problema è comprendere da quali tecnologie dipende realmente la continuità operativa, quali fornitori rappresentano un singolo punto di fallimento, quali servizi esterni possono interrompere la produzione e quali incidenti hanno una rilevanza sufficiente da richiedere una comunicazione alle autorità. In questo senso la NIS2, se applicata correttamente, dovrebbe trasformare la cybersecurity da prodotto acquistato a processo organizzativo permanente. Se invece verrà ridotta a una collezione di moduli, sarà l’Italia ad aver fallito l’applicazione, non la direttiva europea.
Ma il passaggio più importante dell’intervista riguarda probabilmente la sovranità tecnologica. Nicoletti riconosce con chiarezza che il perimetro digitale di uno Stato non coincide più con i suoi confini geografici e che un’infrastruttura può essere formalmente italiana pur dipendendo da software, cloud, aggiornamenti, licenze, componenti hardware e assistenza controllati all’estero. È esattamente il punto sul quale Matrice Digitale insiste da anni: la sicurezza non consiste soltanto nell’impedire che qualcuno violi un sistema, perché un Paese può trovarsi in una condizione di vulnerabilità anche senza subire un singolo attacco informatico. Basta che il fornitore sul quale si regge una funzione essenziale decida di modificare le condizioni contrattuali, interrompere il servizio, sottostare a una normativa straniera incompatibile con gli interessi nazionali oppure diventare parte di una crisi geopolitica. La dipendenza tecnologica è quindi una vulnerabilità strategica anche quando il software funziona perfettamente. Non si tratta di sostenere un’autarchia digitale impossibile, ma di riconoscere che uno Stato dovrebbe almeno sapere quali tecnologie non può permettersi di perdere e quali capacità deve essere in grado di conservare internamente.
Il confronto affronta poi il tema della formazione, probabilmente uno dei più sottovalutati nel dibattito italiano. Per anni si è parlato della necessità di decine di migliaia di nuovi professionisti cyber e nel frattempo l’intelligenza artificiale sta automatizzando una parte crescente delle attività tecniche. La domanda posta a Nicoletti è quindi volutamente provocatoria: serviranno davvero centomila informatici oppure serviranno soprattutto milioni di cittadini capaci di utilizzare tecnologie sempre più automatizzate senza diventare il principale vettore di attacco? La risposta non sceglie una delle due strade, perché entrambe sono necessarie. Servono specialisti capaci di governare infrastrutture complesse, ma serve anche una popolazione alfabetizzata digitalmente. E questo probabilmente sarà il vero banco di prova dell’ACN nei prossimi anni. Le tecnologie possono essere acquistate, gli standard possono essere recepiti e le strutture possono essere create per decreto; insegnare alle persone a riconoscere una truffa, proteggere una credenziale, comprendere il valore dei propri dati e utilizzare correttamente l’intelligenza artificiale richiede invece un cambiamento culturale molto più profondo. L’aspetto più significativo del confronto resta però un altro: l’Agenzia ha accettato di confrontarsi con una testata che non ha mai risparmiato critiche alla sua struttura, alle sue strategie e soprattutto alla narrazione costruita attorno ad essa. È un segnale positivo perché la comunicazione istituzionale non dovrebbe servire soltanto a dialogare con chi condivide già le posizioni dell’istituzione. Il confronto vero nasce quando le domande arrivano da chi ha studiato la materia abbastanza a lungo da poter contestare le risposte. Nicoletti non risolve tutte le questioni aperte e non sarebbe serio sostenere il contrario, ma chiarisce alcuni punti essenziali: ACN non coincide con l’intera architettura cyber nazionale, la NIS2 deve produrre consapevolezza e non burocrazia, la formazione deve coinvolgere sia specialisti sia cittadini e soprattutto cybersicurezza e sovranità tecnologica non possono più essere considerate due materie separate. È probabilmente da questa consapevolezza che dovrà partire la prossima fase dell’Agenzia.
Il confronto integrale con Luca Nicoletti contiene molti altri passaggi su NIS2, supply chain, competenze, formazione e strategia nazionale: leggi l’intervista completa di Matrice Digitale.
Donald Trump ha firmato il 12 agosto un memorandum che permette al governo federale statunitense di selezionare società private e utilizzarle, sotto controllo del Department of Justice e del Department of Homeland Security, in operazioni cyber contro organizzazioni criminali transnazionali. Dal punto di vista giuridico è una decisione rilevante perché introduce una cornice formale per capacità che possono comprendere non soltanto sorveglianza e raccolta informativa, ma anche manipolazione, interruzione, degradazione e distruzione delle infrastrutture digitali utilizzate dai gruppi criminali. Dal punto di vista della narrazione, invece, è stato quasi divertente assistere alla sorpresa di una parte degli osservatori che ha improvvisamente scoperto l’esistenza del cyber privato americano, come se negli ultimi dieci anni Microsoft, Google, Cloudflare, società di sicurezza e piattaforme tecnologiche avessero trascorso il proprio tempo esclusivamente a vendere software e raccogliere abbonamenti.
La realtà è molto meno romantica e soprattutto molto più documentata. Il settore privato statunitense collabora da anni con forze dell’ordine, intelligence e procure nella disruption delle infrastrutture criminali, anche se fino a oggi queste attività passavano prevalentemente attraverso ordini giudiziari, sequestri di domini, collaborazione tecnica, condivisione di telemetria, blocchi di account, takedown coordinati e interventi sulle infrastrutture controllate direttamente dalle aziende. Microsoft possiede una Digital Crimes Unit che partecipa sistematicamente a operazioni contro botnet, infrastrutture phishing e servizi criminali; Google lavora con FBI e altre autorità in numerose indagini internazionali; Cloudflare può neutralizzare servizi che utilizzano la sua infrastruttura; società di sicurezza private producono intelligence che viene utilizzata direttamente nelle operazioni delle autorità. Persino OpenAI ha già individuato e rimosso reti di account utilizzate in operazioni malevole condividendo informazioni con altri soggetti dell’ecosistema. Non significa che queste imprese abbiano già avuto la libertà di condurre qualunque operazione offensiva. È proprio qui che bisogna distinguere la sostanza dalla propaganda. Il memorandum di Trump rappresenta un cambiamento perché formalizza la possibilità di affidare a soggetti privati capacità operative che fino a oggi erano molto più limitate e indirette, definendo una catena di autorizzazione, controllo e responsabilità. Il governo potrà selezionare le società, contrattualizzarle e autorizzarle a operare entro un perimetro definito. Non siamo quindi davanti alla legalizzazione dell’hack back selvaggio e non siamo davanti a mercenari digitali autorizzati a colpire chiunque ritengano ostile. Siamo davanti alla trasformazione di una collaborazione pubblico-privata già consolidata in uno strumento federale esplicito attraverso il quale Washington può utilizzare capacità tecniche che appartengono alle proprie aziende. Ed è proprio questo il punto che dovrebbe interessare maggiormente l’Europa. Gli Stati Uniti possiedono un vantaggio che spesso viene ridotto alla semplice superiorità industriale, ma che rappresenta in realtà una forma molto più sofisticata di sovranità. Microsoft, Google, Amazon, Meta, Cloudflare, OpenAI e buona parte dell’industria globale della cybersecurity sono società private, ma operano all’interno dello spazio giuridico, economico e politico americano. Washington non ha bisogno di nazionalizzarle per esercitare influenza sulle capacità che controllano. Quando serve, può utilizzare gli strumenti giudiziari; quando serve, può imporre obblighi normativi; quando serve, può stipulare contratti; e adesso, quando servirà, potrà anche incorporare alcune capacità operative private dentro programmi federali contro il cybercrime.
È per questo che la domanda volutamente provocatoria posta da Matrice Digitale diventa meno assurda di quanto sembri: Google e Microsoft devono essere considerate società pubbliche? Ovviamente no, ma è altrettanto ingenuo continuare a raccontarle come normali aziende private prive di qualunque funzione strategica. Gestiscono pezzi dell’infrastruttura digitale mondiale, possiedono quantità di telemetria che nessuna singola amministrazione statale potrebbe raccogliere autonomamente e controllano piattaforme sulle quali transitano comunicazioni, identità, applicazioni e dati di miliardi di persone. Quando collaborano con le autorità americane, mettono quindi a disposizione una capacità che non è facilmente replicabile da uno Stato. La potenza digitale americana nasce precisamente dall’integrazione tra apparato pubblico e industria privata, non dalla separazione tra i due. Il memorandum va però letto nei suoi limiti. La misura riguarda il cybercrime transnazionale e non rappresenta una delega generale alla guerra cibernetica contro Stati stranieri. Il bersaglio sono organizzazioni criminali e soggetti cyber-enabled che operano oltre i confini americani. Non significa che Microsoft o qualche società di sicurezza possano domani decidere autonomamente di colpire infrastrutture russe, cinesi o iraniane perché considerate strategicamente ostili. Le operazioni devono essere autorizzate, coordinate e sottoposte alla supervisione federale proprio per impedire conflitti con attività già condotte da FBI, intelligence, Difesa o altre agenzie. Esistono inoltre limiti rispetto alle conseguenze fisiche delle operazioni e al diritto internazionale. Altro che Far West digitale: Trump sta facendo esattamente l’opposto, trasformando una zona grigia consolidata in una procedura amministrativa federale.
Ed è qui che diventa difficile non sorridere davanti a chi ha raccontato il provvedimento come l’arrivo improvviso del privato nella sicurezza cibernetica americana. Le Big Tech partecipano da anni allo smantellamento di reti di phishing-as-a-service, botnet, servizi fraudolenti, infrastrutture VPN utilizzate per attività criminali e piattaforme malevole. Le società di cybersecurity forniscono indicatori, infrastrutture di sinkhole, analisi dei malware e dati indispensabili per le operazioni. Gli hosting provider bloccano server, i registrar sequestrano domini su ordine dei tribunali, le piattaforme chiudono migliaia di account e i grandi cloud provider possiedono strumenti di visibilità che le autorità pubbliche semplicemente non hanno. La novità non consiste nell’avere scoperto che il privato può aiutare lo Stato. La novità consiste nell’avere finalmente scritto nero su bianco che alcune di quelle capacità possono essere utilizzate in maniera offensiva sotto comando governativo. Trump, in altre parole, non ha inventato il cyber privato. Gli ha dato una licenza, una procedura e un capo. È una differenza importante, ma è molto diversa dalla rivoluzione raccontata dai soliti super esperti che sembrano scoprire l’America ogni volta che la Casa Bianca pubblica un memorandum. E ancora una volta emerge il confronto con l’Europa: mentre Bruxelles continua a discutere di sovranità digitale attraverso regolamenti applicati prevalentemente alle tecnologie di altri, Washington può trasformare i propri campioni industriali in una componente concreta della propria strategia nazionale. Gli europei regolano il cloud americano; gli americani, quando serve, utilizzano chi quel cloud lo possiede. È forse questa la lezione più importante del provvedimento. La sovranità tecnologica non significa soltanto possedere server pubblici o sviluppare una piattaforma nazionale. Significa soprattutto avere dentro il proprio sistema economico aziende abbastanza potenti da trasformarsi, quando necessario, in un moltiplicatore delle capacità dello Stato. Gli Stati Uniti questa infrastruttura industriale la possiedono da decenni. Trump ha semplicemente deciso di rendere più trasparente e istituzionale una relazione che esisteva già.
Per capire cosa prevede realmente il memorandum, senza trasformarlo in una licenza indiscriminata alla guerra cyber, leggi l’analisi tecnica pubblicata da Matrice Digitale. Se invece vuoi approfondire perché il cosiddetto cyber privato americano esisteva già molto prima della firma di Trump, qui trovi il nostro editoriale con i precedenti che molti sembrano aver dimenticato.
La vicenda dell’attentato a Sigfrido Ranucci è entrata in una fase completamente diversa dopo l’arresto di Valter Lavitola e soprattutto dopo la confessione nella quale l’ex direttore dell’Avanti! ha ammesso il proprio ruolo nel progetto che ha portato all’esplosione davanti all’abitazione del giornalista. Sul piano giudiziario la distinzione deve essere mantenuta con assoluta precisione: Ranucci resta la vittima dell’attentato, Lavitola è il soggetto che avrebbe ammesso di averne promosso l’esecuzione e sarà il procedimento a stabilire definitivamente responsabilità, motivazioni e qualificazione giuridica dei fatti. Nessuna ricostruzione seria può trasformare ciò che sta emergendo in una responsabilità della vittima. Il problema è però un altro e riguarda direttamente l’informazione. Per mesi l’attentato era diventato uno dei simboli della pressione esercitata dai poteri oscuri contro il giornalismo d’inchiesta. Ranucci era stato inserito in una narrazione pubblica molto più ampia, con richiami alla lotta alla mafia, ai servizi segreti, alle minacce contro chi indaga il potere e perfino a figure storiche della Repubblica. Oggi scopriamo invece che il presunto mandante non apparteneva a una dimensione sconosciuta o a un apparato occulto identificato dalle indagini, ma proveniva dalla rete personale dello stesso giornalista. Lavitola e Ranucci si conoscevano, avevano rapporti diretti e l’ex direttore dell’Avanti! faceva parte di quel mondo di contatti che inevitabilmente circonda chi conduce inchieste giornalistiche di alto livello.
La confessione attribuita a Lavitola aggiunge poi un elemento quasi grottesco: l’idea che l’azione dovesse essere dimostrativa e che l’intenzione dichiarata fosse quella di creare una situazione capace di aumentare la protezione attorno all’amico. Una ricostruzione che dovrà essere verificata e che non diminuisce la gravità dell’attentato, ma che demolisce definitivamente la possibilità di raccontare la vicenda attraverso una sceneggiatura semplice fatta di giornalista coraggioso da una parte e potere oscuro dall’altra. Ed è qui che entra in gioco Report. Non perché esista oggi una responsabilità della trasmissione o perché si possa anticipare una decisione della Rai che non è stata ancora presa, ma perché la credibilità di un programma d’inchiesta vive anche della credibilità delle relazioni, delle fonti e del metodo con cui quelle fonti vengono gestite. Il fatto che una persona così vicina al conduttore sia oggi al centro della ricostruzione giudiziaria dell’attentato pone inevitabilmente interrogativi che non possono essere liquidati come aggressioni politiche. Allo stesso modo, il ruolo di Massimo Giletti, che aveva anticipato alcuni elementi della vicenda, acquista oggi un peso diverso e riapre il tema degli equilibri interni alla Rai e del futuro della trasmissione. Le ipotesi che coinvolgono Giletti o Giorgio Mottola restano, appunto, ipotesi. Ma il problema reputazionale esiste indipendentemente dalle decisioni aziendali. Ed è forse questo l’aspetto più scomodo dell’intera storia: un’inchiesta giudiziaria può accertare chi abbia commesso un reato, ma non può stabilire per decreto la credibilità di un giornalista, di una redazione o di una trasmissione. Quella appartiene a un territorio diverso, nel quale contano la trasparenza, la coerenza e soprattutto la capacità di sottoporre se stessi allo stesso livello di scrutinio utilizzato per gli altri.
Per ricostruire la catena investigativa che ha portato all’arresto di Lavitola e il ruolo attribuito a Clesio Tavares Gomes, qui trovi l’approfondimento di Matrice Digitale. Per capire invece cosa cambia dopo la confessione e perché l’affaire riguarda ormai anche Report e la Rai, leggi il nostro aggiornamento completo.
Saluti dal Dark Web dell’informazione: quello che Google non mostra e YouTube censura
Cosa hai perso questa settimana?
Vulnerabilità informatiche: qui per restare aggiornato
Atlante della guerra cibernetica
Guerra Cibernetica: gli unici ad aggiornarvi H24
Malware: tutte le minacce emergenti e quelle persistenti
Intelligenza Artificiale: le news in tempo reale
Robotica: scopri come saranno gli umani del futuro
Glossario cibernetico: studia e impara la cybersecurity
Comments
Nothing yet. Say the first thing.
Sign in to join the conversation.