soluzioni realistiche a problemi complessi
Un approccio umanistico alla cybersecurity
Cambiare approccio per difendere la nostra sicurezza informatica è possibile. In "Hackerare la mente", il libro di Pierguido Iezzi e Gennaro Fusco c'è un nuovo modo di gestire le minacce informatiche efficace e senza troppi tecnicismi
Foto di Philipp Katzenberger via Unsplash
Non è facile, scrivere un libro di cybersecurity. Si rischia sempre o di annoiare gli esperti con delle spiegazioni (per loro) pleonastiche o di infastidire i non-tecnici con affermazioni che non sono in grado di comprendere. "Hackerare la mente: Parole, algoritmi e inganni. Come difendere la propria libertà digitale", il libro di Pierguido Iezzi e Gennaro Fusco, non ha questo problema perché riesce a parlare sia a chi di “cyber” ne mastica, sia a chi non ne sia molto pratico. Il che è un bene, perché è un libro che andrebbe letto sia dai tecnici che dai non tecnici, dato che propone un approccio umanistico - o quanto meno, non tecnico - a dei problemi che finora si è pensato di poter risolvere solo tecnicamente.
Dobbiamo prendere consapevolezza che la cybersecurity non è solo una questione tecnica, ma anche una questione di retorica. … Tradizionalmente, gli attacchi informatici si basavano su exploit tecnici: virus, trojan e vulnerabilità di sistemi. Oggi, una parte significativa delle minacce arriva attraverso la parola: email, SMS, chatbot, notifiche.
È vero. Finora ci si è preoccupati di proteggere i sistemi da minacce tutto sommato “stupide”: messaggi di phising con errori di grammatica fantozziani; allegati malevoli tutti uguali; finti siti imitati grossolanamente. Non più di un paio di anni fa, un mio collega, leggendo l'ennesimo messaggio scritto in un Italiano surreale, ha commentato: “Ma perché non li fanno tradurre a un sistema automatico?”. Dall'avvento dell'AI, la maggior parte dei payload malevoli – siano essi allegati, messaggi o pagine Web – sono impeccabili, tanto nella forma quanto nel contenuto e spesso sono indistinguibili dagli originali.
Ciò che un tempo richiedeva risorse umane per scrivere, correggere e pubblicare messaggi, comportando costi significativi, oggi può essere gestito da uno script che crea e pubblica migliaia di messaggi automatizzati al giorno, a costi marginali, praticamente nulli. Questa riduzione di barriere all’ingresso, significa che anche attori con risorse limitate possono lanciare campagne massicce e sofisticate.
Ma non finisce qui. Anche il contenuto dei messaggi malevoli ha subito una evoluzione e fa leva su tecniche retoriche che permettono di attivare meccanismi di reazione inconsci nella vittima.
- Urgenza: “Agisci subito”; “Hai 24 ore per evitare la sospensione”.
- Minaccia: “Il tuo conto verrà disabilitato”; “Abbiamo rilevato attività fraudolente”.
- Autorità: Un messaggio dell'AD ti dice di fare qualcosa
A differenza di altri autori, che si limitano a elencare i problemi senza fornire alcuna soluzione o proponendo delle “soluzioni” disneyane che non possono trovare applicazione pratica se non nel loro immaginario, Iezzi e Fusco forniscono delle soluzioni realistiche a tutti i pericoli che evidenziano. Delle soluzioni realistiche e “scomode” perché contrastano con quello che è stato finora il modo di combattere il crimine informatico.
I corsi di cybersecurity dovrebbero integrare moduli di alfabetizzazione linguistica, che non si limitino alla decodifica di segnali tecnici (URL sospetti, allegati infetti, ecc. ecc.), ma che allenino le persone anche a decodificare i messaggi nei loro strati più profondi. Il fine non è solo riconoscere una truffa, ma allenare la mente a interrogare criticamente le parole.
Parlando di protezione dei dati, affermano:
Si dovrebbe parlare di sovranità del dato e non soltanto di sovranità digitale. Perché il digitale è uno strumento, un forziere. Ma se ci si concentra solo sul contenitore si rischia di perdere di vista il vero punto di attenzione: il contenuto. È il dato il vero tesoro, e senza di esso l’intero contenitore perde di valore. [… trattare i dati come un’infrastruttura vitale, al pari dell’energia e dell’acqua, non come un sottoprodotto della vita digitale.
E, relativamente alla AI:
Anche pretendere una presunta etica universale dell’IA è impresa improba, dal momento che l’IA agentica, che decide per intenti e si nutre di dati, non è neutrale: riflette e amplifica i valori di chi la progetta e la governa. […] In un mondo pluralista, il punto non è imporre una morale universale, ma difendere nella pratica i propri princìpi, con regole verificabili, ispezioni indipendenti, sanzioni efficaci e accordi internazionali che rendano compatibili scambio e tutela.
Insomma Hackerare la mente è un libro innovativo: per ciò che afferma e per il modo in cui affronta i problemi. Personalmente non sono d'accordo con tutte le loro affermazioni, ma - così come mi succede con Sant'Agostino - non posso fare a meno di ammirare e rispettare il processo logico che le ha generate. Da professionista della sicurezza e da cittadino, mi auguro che il libro di Iezzi e Fusco sia letto non solo dai tecnici, ma anche da chi ha potere decisionale sul loro operato, in modo che le soluzioni che propongono possano trovare un'applicazione nel nostro modo di gestire le minacce informatiche - in atto e potenziali.