Intervista ad Andrea Pirotti, direttore dell'agenzia europea Enisa, appena istituita

Se non sono mancate le polemiche per la designazione di un politico, Rocco Buttiglione, a Commissario europeo per la Giustizia, la Libertà e la Sicurezza, soddisfazione unanime ha suscitato invece la nomina di un altro italiano in Europa, questa volta un tecnico. Andrea Pirotti, nominato a metà settembre 2004, è ufficialmente dal 16 ottobre a capo dell'Enisa, la European network and information security agency, ovvero l'Agenzia europea per la sicurezza informatica e delle reti. Ingegnere, 56 anni, romano ma abitante a Rapallo, Pirotti è stato consulente del ministro delle Comunicazioni Maurizio Gasparri in merito alla sicurezza delle reti informatiche italiane e membro dell'Osservatorio per la Sicurezza delle reti e la tutela delle comunicazioni.

Ingegner Pirotti, in che stato sono le reti italiane ed europee?
Vengo dal mondo privato e ho affrontato il mondo istituzionale con scetticismo, ma l'Italia sta facendo un grande sforzo per rendere le sue reti il più sicure possibile. Esiste un osservatorio sulla sicurezza delle reti che raccoglie protagonisti in ambito istituzionale, pubblico e privato. Gli operatori telefonici, le infrastrutture critiche, i gestori d'energia elettrica, le linee aeree, i ministeri, la presidenza del Consiglio con il Cnipa, stanno studiando insieme la situazione della rete italiana.

E tra i privati?
Nel mare magnum delle aziende private c'è molta disparità. Le grandi aziende hanno risorse finanziarie proprie che sono sufficienti a creare persone dedicate e settori che si occupano della sicurezza e quindi riescono a proteggersi. C'è poi tutto un altro mondo, quello della piccola e media industria, che a malapena riesce a seguire la sicurezza informatica e non ha molte risorse finanziarie, né il tempo, né la cultura per dedicarsi alla propria sicurezza. Penso inoltre ai giovani che usano il pc per studio e non hanno forse una cultura per rendere sicuro il proprio computer. Un pc appena acquistato, se non protetto da antivirus viene violato dagli hacker più o meno in 20 minuti. Le posso assicurare che c'è una grande capacità tecnologica presso i nostri esperti che è generata sia dalle nostre università sia dalla dedizione che gli stessi esperti informatici mettono nel proprio lavoro. Ci sono tecnici validi che ho visto competere a livello internazionale con altri esperti e se fosse per i nostri tecnici, le reti sarebbero più sicure di quello che sono ora. Spesso però a livello decisionale, chi deve allocare le risorse finanziarie ha difficoltà a emettere stanziamenti per difendere reti che fino a oggi non sono state difese. Comunque le infrastrutture principali, istituzioni, enti pubblici, aeroporti sono sicure, hanno le disponibilità finanziarie sufficienti per difendersi e sono ben equipaggiate.

E in Europa?
In Europa ho incontrato tutti i responsabili della sicurezza dei Paesi. Li dividerei in due gruppi: Paesi ben equipaggiati e Paesi scarsamente equipaggiati. Centro Europa, Mediterraneo e alcuni Paesi neoentrati sono molto ben attrezzati. Poi ci sono alcuni Paesi neoentrati e alcuni Paesi periferici che necessitano maggiore attenzione a questo problema. Questa differenza si basa sul fatto che alcuni Stati sono partiti molto presto nel valutare la propria sicurezza informatica e nel prendere le misure opportune: 10-15 anni fa insieme agli americani. Gli altri Stati stanno seguendo chi più velocemente, chi più lentamente. Questo però non è tollerabile: la sicurezza delle reti non è un argomento nazionale ma sovranazionale. Non ci può essere un Paese protetto e quello vicino che non lo è. Si dovranno trascinare i Paesi meno equipaggiati allo stesso livello dei Paesi più equipaggiati.

Si parla di information sharing come prima modalità nella gestione degli attacchi. Ci può spiegare meglio?
Enisa dovrà creare un rapporto di fiducia con tutti i Paesi europei in modo da condividere le informazioni sugli attacchi, su come si sono sviluppati e che direzioni hanno preso. Diffondere a tutti gli utenti informatici in tempi rapidi le informazioni sul tipo di attacco subito, su come è stato gestito e sulle misure introdotte per fronteggiare l'attacco: in questo modo gli utenti acquisiscono maggiore esperienza e sono più difesi. Questa è una delle prime azioni di Enisa volte a ottenere "trust and confidence" da parte dei Paesi. Alzando le protezioni di tutti gli utenti si protegge la rete e, così come si è aumentata la sicurezza stradale con auto più sofisticate, si dovrebbe fare altrettanto nel campo della sicurezza informatica. Aumentare il livello di coscienza della sicurezza informatica serve a proteggere il livello globale.

Ma la condivisione delle informazioni è sufficiente?
Noi fra le altre cose dovremo raccogliere da tutti gli operatori europei e possibilmente anche extraeuropei informazioni sulla sicurezza delle reti: attacchi, virulenza degli incidenti, se l'attaccante è stato neutralizzato oppure no. Analizzeremo e creeremo una statistica e poi distribuiremo queste informazioni a tutti gli operatori europei. Faremo del tutoring a livello della stampa, a livello scolastico e delle associazioni di categoria, perché ogni categoria avrà bisogno di un tipo di messaggio diverso. Vorrei distinguere Enisa dai Cert (Computer emergency response team), piccoli team di informatici che controllano determinate reti, alcuni privati e altri pubblici, che stanno nascendo in gran numero in tutta Europa per fare interventi tattici, locali. Enisa è più strategica, interviene prima e dopo l'attacco, non durante. Prima raccoglie informazioni, dopo aumenterà il livello di raccolta di informazioni e le diffonderà. È strategica, mentre i Cert sono tattici. Non c'è quindi sovrapposizione o competizione. Prima c'è la fase di information sharing, poi il tutoring e il rapporto con i Cert.

Oltre alla guerra al terrorismo esiste una cyberwar contro obiettivi sensibili economici o strategici. In campo informatico quali sono le armi usate a scopo di difesa?
È importante che io chiarisca che Enisa in questa fase non si occupa e non deve occuparsi di situazioni che siano di specifica pertinenza, competenza o interesse di ministeri dell'Interno, della Difesa e dei servizi di Sicurezza. La difesa attiva contro il terrorista informatico non è competenza di Enisa. L'attaccante, l'hacker in senso generalizzato, può essere il giovane che vuole provare la propria capacità o il malintenzionato: Enisa indirettamente protegge la rete e quindi rende più difficile l'attacco da parte di malintenzionati. Quando Enisa si sarà stabilizzata, sarà in qualche modo chiamata in causa anche nella difesa.

Quanto è cambiato il lavoro di chi si occupa di sicurezza delle reti dopo l'11 settembre 2001?
Credo sia cambiato in meglio. I responsabili della sicurezza delle reti hanno una difficoltà logica, quella di convincere i superiori che sono stati bravi a proteggere la rete da qualsiasi attacco ma che hanno bisogno di ulteriori fondi. Diciamo che per gli operatori della sicurezza delle reti c'è stata una maggiore attenzione.

E quanto sono cambiate le disposizioni normative italiane e comunitarie in materia?
Non so se per coincidenza o per gli incidenti avvenuti, negli ultimi anni c'è stata un'accelerazione di discussione, di disposizioni normative per migliorare l'ambiente di sicurezza delle reti. Non lo farei risalire soltanto all'11 settembre. È più un fattore storico. Le reti informatiche si sono sviluppate molto negli ultimi 10 anni e si sono affacciati problemi di normativa. Io metterei i due fenomeni insieme, tenendo conto dell'accelerazione dettata dagli eventi.

Uno dei temi interessanti legati alla sicurezza e al controllo delle informazioni digitali è il diritto alla privacy (la cosiddetta altra faccia della medaglia). Non c'è il rischio che a una tutela della sicurezza corrisponda un maggiore controllo del singolo a scapito della libertà personale e della riservatezza?
Su questo bisogna essere molto chiari e drastici. I Garanti per la privacy sono lì per esaminare, vagliare e imporre certi modi e certi tempi. Sono, le assicuro, molto validi, molto rispettati e legittimamente presi in considerazione. Avere informazioni maggiori potrebbe voler dire entrare nella sfera della privacy. Questo non avviene perché la privacy è assolutamente e sempre rispettata: non c'è stato né ci sarà un minore rispetto della privacy. Se posso fare un commento personale, è il bello della democrazia: come popolo europeo possiamo decidere qual è il livello di bilanciamento che noi vogliamo.

19  ottobre  2004