L’attacco cyber (non terroristico) al sito della Regione Lazio non costituisce una novità, purtroppo, per le infrastrutture sanitarie.
Oltre 20.000 sono stati i malware i “virus” informatici, introdotti, nel corso del 2020,in ospedali, case di cura, siti di prenotazioni vaccinali e di prestazioni sanitarie, farmacie.
Sono stati oltre duemila attacchi di tipo “ransomware”, cioè quelli con richiesta di riscatto.
Perché queste insidie al comparto della salute, certamente il più delicato per i cittadini, in deroga a qualsivoglia “codice etico” dell’hacker professionale?
Non solo le ragioni economiche, più difficili da realizzare, perché lo Stato potrebbe essere il più riluttante dei pagatori.
C’è invece una palese evidenza “politica” della minaccia Quando si dimostra di poter arrivare alla salute, cosa manca? Andiamo per gradi.
I nostri sistemi di difesa militare sono resi più che sicuri dal fatto che c’è una tradizione di “cyber-osservazione” presso il Ministero e lo Stato Maggiore della Difesa.
Quelli di intelligence sono presidiati da Servizi che nulla hanno a che invidiare ai colleghi europei e internazionali.
I cittadini e le imprese si tutelano con le denunce alle articolazioni specializzate delle Forze dell’Ordine: Polizia, Carabinieri e Guardia di Finanza possiedono da tempo reparti di eccellenza sul campo.
Necessario il coordinamento ma non solo
Mancava un coordinamento, forse. Lo si realizzerà a breve con l’Agenzia Nazionale, il cui decreto attuativo viaggia spedito verso l’approvazione parlamentare. Il Governo si è mosso con tempestività, recuperando i ritardi accumulati dai precedenti.
Le infrastrutture italiane, come ha dichiarato il Ministro Vittorio Colao, non sono sicure per il 95%. Non c’è ancora una consolidata cultura della sicurezza informatica, che sembra risvegliarsi solo perché le cronache quotidiane stanno riportando alla luce un fenomeno, sicuramente esasperato dall’incremento esponenziale dell’utilizzo delle reti internet durante la pandemia.
In molti uffici pubblici, ma anche del settore privato, non si riscontrano sistemi di data protection che vadano oltre la password. Se è vero che il canale di transito del malware inoculato sui server della sanità laziale è stato un indirizzo mail di un dipendente siamo nella più classica delle falle dei sistemi aziendali che trattino dati, sensibili o meno che siano.
Come si rimedia?
Del coordinamento che finalmente si realizzerà a livello investigativo ho già detto. Una “Authority”, nel senso stretto del termine, mai fu più opportuna.
In seno all’Agenzia, una Academy formerà expertise che in Italia non abbiamo, ancorati ad un concetto di security informatica fermo alla protezione di un hardware sul quale smanettiamo ogni giorno. Tecnici che serviranno al pubblico come al privato, è questa la novità. Perché anche il più piccolo attore del sistema economico costituisce un veicolo potenziale di transito per un attacco cibernetico, non dimentichiamolo.
Urge poi una riforma del codice penale sui reati cyber, sulle estorsioni via web, sulle criptovalute. Ricordo non più tanto sommessamente che senza una regolamentazione che imponga la tracciabilità di bitcoin e compagni, non solo gli hacker, ma anche terroristi e mafiosi, hanno vita più facile per i loro crimini.
L’Italia è paurosamente indietro anche in questo campo, e non – si badi bene – sulle tecniche di indagine, ma sulla normativa. Il riscatto per un attacco informatico, credetemi, non si può pagare con le valigette di denaro né con un bonifico ordinario!
* Ranieri Razzante, Consigliere per la Cybersecurity del Sottosegretario alla Difesa
