Dalla minaccia ibrida all’AI: come funziona la cybersicurezza italiana. Parla il direttore dell'Acn, Bruno Frattasi

La guerra ormai non comincia necessariamente con un attacco armato. Può partire da un’interruzione di corrente, da un sistema informatico compromesso, da una rete di comunicazione resa inaccessibile. «Difendere lo spazio cyber significa proteggere la sicurezza e la libertà dei cittadini: la legislazione nazionale ed europea sul digitale è l’abito che si deve indossare per difendersi da minacce esterne», racconta a MF-Milano Finanza il prefetto Bruno Frattasi, dopo 40 anni di carriera presso il Ministero dell’Interno, dal 2023 direttore generale dell’Agenzia per la Cybersicurezza, l’Autorità nazionale chiamata a tutelare la sicurezza e la resilienza della cosiddetta “zona grigia”, lo spazio cibernetico in cui si intrecciano interessi civili, industriali e strategici. L’Agenzia è il punto nevralgico per la prevenzione delle guerre digitali e il raccordo con le istituzioni europee e atlantiche.

Domanda. Direttore Frattasi, negli ultimi mesi l’opinione pubblica sta familiarizzando con l’espressione “minaccia ibrida”. L’Italia da quanto tempo si sta preparando a respingere questa minaccia?

Risposta. Da tanto. Oggi si parla di questo tipo di minaccia con molta enfasi, ma da tempo è entrata nella dottrina della Nato ed è stata elaborata come una minaccia multi-dominio, ovvero che si esprime originariamente in uno dei cinque ambiti operativi militari: terra, mare, aria, spazio, cyber.

D. E l’Italia è pronta a difendersi?

R. L’Italia è oggi pronta ad affrontare una crisi che nasce in ambito digitale e che, in scala, si propaga su altri ambienti e altri domini. Ed è in grado di farlo sia in ambito Nato, sia dell’Unione europea.

D. Ma la capacità di difesa di uno Stato si misura in logiche nazionali o europee?

R. Le due cose vanno tenute assieme: oggi siamo davanti a una minaccia che è globale, dove gli attori sono globali e in cui lo spazio non ha confini. Non si può più disgiungere la solidarietà digitale nazionale da quella europea. Poi, naturalmente, le capacità nazionali vanno implementate. Se così non fosse la debolezza di uno ricadrebbe a catena sull’intera alleanza.

D. E questo governo le ha implementate?

R. Assolutamente. Fino a un anno e mezzo fa guardavamo solo al perimetro della sicurezza nazionale cibernetica ma la nuova direttiva europea Nis2, il cui obiettivo è creare un livello comune di sicurezza informatica tra i Paesi membri, simboleggia un punto di svolta. C’è un processo di avvicinamento, nonostante la clausola di riserva che pone in capo agli Stati la sicurezza nazionale come materia esclusiva.

• Leggi anche: Difesa, industria e finanza: così l’Italia è riuscita nel salto verso il nuovo ordine di sicurezza mondiale

D. Chi ne beneficia di più?

R. Tutti: istituzioni, cittadini, aziende. Si pensi a un’impresa che vuole dialogare con una società gemella che ha sede in un altro Paese europeo. L’obiettivo è che lo faccia in sicurezza e perché ciò avvenga le legislazioni e i sistemi non possono che essere armonizzati.

D. Attaccando settori come energia, trasporti, telecomunicazioni o sanità il Paese potrebbe paralizzarsi. Il ministro della Difesa, Guido Crosetto, ha detto che “il tempo per agire è subito”. Lei è preoccupato?

R. In verità, no. La dimensione militare va necessariamente in sinergia con quella civile proprio perché gli attacchi ibridi possono aggredire target dual use come aeroporti o infrastrutture energetiche. Ma esistono documenti nazionali che hanno da tempo pianificato un’azione di risposta, lo stesso impianto normativo dell’Acn ci consente di cooperare a tutela del Paese.

D. Come funziona la sicurezza informatica nazionale?

R. Il nostro sistema opera come un quadrilatero, cioè una struttura a più lati che agiscono in modo coordinato. La cybersicurezza non è un blocco unico ma una realtà articolata: c’è la cyber defence, dove interviene direttamente la Difesa, c’è la cyber intelligence, che riguarda la protezione da attività di spionaggio, c’è poi il contrasto al cybercrimine che coinvolge le forze di polizia e, infine, al centro di questo schema si posiziona l’Agenzia per la Cybersicurezza Nazionale, presso la quale opera un organismo interistituzionale, il Nucleo per la sicurezza cibernetica.

D. Il piano di implementazione della Strategia nazionale di sicurezza cibernetica, messo a punto nel 2022, sta per scadere. Su cosa poggerà il prossimo?

R. I tre verticali individuati quattro anni fa, e quindi protezione, risposta e sviluppo, saranno ribaditi. Poi certamente una grande sfida riguarderà l’Intelligenza Artificiale. Con la nuova normativa europea, l’Acn avrà un ruolo di vigilanza sui sistemi di IA utilizzati in ambito pubblico e privato. È una sfida complessa ma che può rilevarsi molto importante.

D. Lei ritiene che l’IA sia più una minaccia o una risorsa?

R. L’intelligenza artificiale è uno strumento decisivo di difesa: grazie ai super computer e agli algoritmi possiamo analizzare in tempi rapidissimi i pattern degli attacchi, aumentando la capacità di prevenzione e risposta. A giugno abbiamo inaugurato a Napoli il sistema di calcolo ad alte prestazioni Megaride, fondamentale soprattutto per cogliere i “segnali deboli” della minaccia all’interno di milioni di dati analizzati.

D. Gli operatori privati, presenti nelle infrastrutture critiche nazionali, che ruolo hanno in tutto questo?

R. Oggi i privati sono centrali. Il perimetro della sicurezza cibernetica nazionale comprende soggetti pubblici e privati. Nell’ultima rilevazione condotta, abbiamo censito oltre 21 mila entità in 18 settori critici individuati nella direttiva Nis2: circa la metà sono imprese private, spesso medie e grandi. Ma il punto chiave è la supply chain, anche fornitori, manutentori e gestori di servizi digitali diventano parte della sicurezza complessiva. Anche qui la direttiva europea ha fatto passi avanti perché non riguarda solo i soggetti “essenziali”, ma tutta la filiera che è critica per il funzionamento di un servizio.

• Leggi anche: Difesa, budget record nel 2025: il governo punta su cyber, spazio e satelliti

D. Qual è il rapporto dell’Acn con loro?

R. Costante. La collaborazione pubblico-privato è strategica, perché la cyber richiede un approccio di whole of society, non solo di governo. Posso dirle che neppure un mese fa abbiamo promosso esercitazioni che hanno coinvolto grandi operatori nazionali dell’energia e delle telecomunicazioni, prendendo spunto da quanto avvenuto in Spagna con il blackout. L’obiettivo era testare la resilienza incrociata dei sistemi e la capacità di cooperare in condizioni di emergenza, anche quando i mezzi digitali non sono disponibili.

D. Come sono andate le esercitazioni?

R. Il risultato è stato molto positivo: operatori abituati a esercitarsi separatamente si sono confrontati con scenari complessi e realistici in protocolli meno usuali di quelli a cui erano abituati. È lì che si impara davvero e si capisce quanto è fondamentale investire in cybersicurezza.

D. C’è qualcosa che manca al Paese?

R. Formazione e consapevolezza. Sono le due costole della strategia nazionale: ci vuole una cittadinanza informata e abbiamo bisogno di capitale umano con competenze specifiche: senza queste due leve, nessuna architettura di sicurezza può reggere. A metà gennaio presenteremo, in collaborazione con il ministero dell’Università e della Ricerca, l’aggiornamento dell’Agenda nazionale di Innovazione e Ricerca, un documento fondamentale per supportare il settore pubblico e privato nell’R&S.

D. Nei Paesi Bassi il governo ha recapitato ai cittadini un opuscolo su come gestire le prime 72 ore di un’emergenza. Dovremmo fare lo stesso nel perimetro digitale?

R. Credo che dovremmo insistere sulla formazione. È fondamentale la cultura diffusa della consapevolezza, quella che io chiamo consapevolezza del rischio cyber, anche tra i cittadini. Oggi tutti usano mezzi digitali non rendendosi conto del rischio connesso all’uso di questi strumenti: truffe, tranelli, violazione della privacy e quindi della libertà. Acn proteggendo gli asset critici del Paese protegge la qualità della vita dei cittadini. (riproduzione riservata)