Tre idee per evitare di parlare con isteria degli attacchi cyber

In tre settimane l’Europa ha scoperto di avere una linea del fronte dentro una cella frigorifera. Dall’11 ottobre i controllori remoti degli impianti di refrigerazione sono stati manomessi in mezzo continente, con una seconda ondata tra l’1 e il 2 novembre arrivata fino in Sicilia e Toscana. Poi decine di falsi allarmi bomba sui voli europei. Infine la “taglia” messa da NoName057(16) sui dati personali di diciotto “nemici della Russia”, tra cui Antonio Tajani, il procuratore di Roma e il capo della Polizia postale. Il primo dovere è non perdere la testa. A settembre l’Agenzia per la cybersicurezza nazionale ha contato 485 eventi, il 57 per cento in più di agosto. Sembra l’apocalisse, ma una parte dell’aumento deriva dagli obblighi di notifica della direttiva NIS2, che hanno allargato il campo visivo dello stato.

Il termometro è nuovo, la febbre lo è solo in parte. Il panico è il prodotto che gli attaccanti vendono: un’email da zero euro fa decollare due caccia, un titolo urlato ne moltiplica l’effetto. Ma neppure la sottovalutazione è consentita: a settembre un ransomware ha chiuso una sede ospedaliera. Poi c’è il conto. L’Agenzia vive con circa 137 milioni di finanziamento ordinario. Il fondo per la Strategia nazionale è stato ridotto da 150 a 135 milioni l’anno; quello per la manutenzione è sceso a 66. Le risorse certe per il cyber nel 2027 superano di poco i 400 milioni, contro una spesa per la difesa oltre i 40 miliardi. Intanto la politica si accapiglia sul Safe, il programma europeo di prestiti per la Difesa. Per l’Italia era stato approvato un massimale di 14,9 miliardi, con condizioni più favorevoli delle normali emissioni sovrane e scadenze fino a quarantacinque anni. Il governo ha ridotto la richiesta a poco più di otto miliardi. Eppure tra le categorie finanziabili figurano infrastrutture critiche, cyber e intelligenza artificiale.

Da qui tre priorità. La prima è la consapevolezza, che costa poco e rende molto. Il bollettino dell’Agenzia sulla catena del freddo è una lista di buon senso: togliere da internet le interfacce di comando, separare le reti industriali da quelle d’ufficio, proteggere gli accessi remoti con l’autenticazione a più fattori, sostituire gli apparati fuori supporto. Nei casi siciliani il denominatore comune era l’accesso diretto agli indirizzi IP dei frigoriferi. Non serve un miliardo per cambiare una password di fabbrica: serve qualcuno che se ne senta responsabile. La NIS2 attribuisce questa responsabilità ai vertici aziendali.

La seconda priorità è politica. La cybersicurezza è un bene pubblico indivisibile, come la difesa dei confini: o protegge tutti o non protegge nessuno. La solidarietà bipartisan a Tajani è un buon inizio; il passo successivo è un’intesa stabile tra le forze repubblicane, a partire dal disegno di legge sulla cyberdifesa, senza guerre tra ministeri. Chi attacca punta a seminare divisioni: un Parlamento compatto è la deterrenza più economica che esista.

La terza riguarda i mezzi. Gli attaccanti usano già l’intelligenza artificiale per automatizzare ricognizione e phishing; rinunciarvi equivale a un disarmo unilaterale. La via maestra è utilizzare l’intera dotazione Safe disponibile, vincolandone una quota alla difesa cibernetica. Nell’attesa, i voucher del ministero delle Imprese, 150 milioni per Pmi e autonomi, andrebbero orientati anche alla sicurezza degli impianti connessi. E lo stato dovrebbe comprare soltanto apparati conformi al Cyber Resilience Act: è la domanda pubblica che disciplina l’offerta, quasi a costo zero. Gli hacker contano su due risorse: paura e divisione. A differenza dei fondi per la cybersicurezza, l’Italia ne ha in abbondanza. Sarebbe ora di cominciare a tagliare quelle.