A cura di Salvatore Guerriero Presidente nazionale e internazionale della Confederazione delle Imprese nel Mondo – PMI International. Direttore generale dell’Agenzia Euro-Mediterranea di Sviluppo
C’è una trasformazione che sta attraversando il mondo e che forse non abbiamo ancora compreso fino in fondo. Non riguarda soltanto l’intelligenza artificiale, la digitalizzazione dei servizi o l’evoluzione delle tecnologie. Riguarda il modo stesso in cui funzionano le società, le economie, le istituzioni e le infrastrutture sulle quali si regge la vita quotidiana di milioni di persone.
La cybersicurezza è uno dei terreni sui quali questa trasformazione si manifesta con maggiore evidenza. Siamo di fronte a un nuovo mondo che non deve ancora arrivare, perché in buona parte è già qui. Il problema è che non tutti si sono adeguati alla stessa velocità. Da una parte troviamo tecnologie, strumenti e capacità operative sempre più avanzati, dall’altra sistemi informatici, strutture organizzative e patrimoni digitali che appartengono ancora a una stagione precedente. È proprio in questa distanza che si apre una delle maggiori vulnerabilità del nostro tempo.
Gli attacchi informatici sfruttano spesso il divario tra ciò che la tecnologia consente oggi e ciò che le organizzazioni sono ancora in grado di proteggere. Chi attacca utilizza conoscenze, strumenti e metodologie nuove per individuare le debolezze di sistemi che non sempre sono stati aggiornati, integrati o adeguatamente protetti. È una corsa nella quale non ci si può fermare. La tecnologia evolve, le modalità di attacco cambiano e la capacità di difesa deve continuamente adeguarsi, cercando possibilmente di anticipare le nuove minacce.
Non possiamo pensare che basti costruire una barriera per risolvere definitivamente il problema. Anche quando avremo sistemi più moderni, integrati e capaci di difendersi, le tecniche di attacco continueranno a evolversi. La sicurezza, quindi, non è un risultato che si consegue una volta per tutte, ma una condizione che richiede investimenti, aggiornamento e attenzione costante.
Da questa considerazione nasce una riflessione che riguarda direttamente l’Italia e il suo sistema produttivo. Quando parliamo di cybersicurezza non possiamo limitarci alle grandi infrastrutture tecnologiche, agli apparati dello Stato o ai sistemi delle grandi aziende. Dobbiamo guardare anche alla rete di piccole e medie imprese che ogni giorno contribuisce al funzionamento di servizi essenziali per il Paese.
Pensiamo alla distribuzione alimentare, alla produzione e distribuzione dell’energia, all’acqua, al gas, alla logistica, ai trasporti, alla manutenzione degli impianti, ai servizi informatici e alle attività industriali che sostengono le infrastrutture strategiche. Dietro ciascuno di questi settori esiste una filiera composta da migliaia di imprese, molte delle quali sono piccole realtà imprenditoriali. La sicurezza dell’intero sistema dipende anche dalla loro capacità di proteggere dati, reti, impianti, procedure e collegamenti informatici. Una grande infrastruttura può disporre di sistemi di protezione avanzati, ma la sua sicurezza può essere compromessa anche attraverso un fornitore, un’impresa di manutenzione o un operatore esterno che non dispone delle stesse capacità di difesa. È sufficiente una vulnerabilità in un punto della filiera per esporre a rischi realtà molto più grandi.
Ecco perché la sicurezza nazionale non può fermarsi alla porta delle grandi organizzazioni. Deve raggiungere le filiere produttive e coinvolgere anche le imprese di dimensioni più contenute. Qui si apre una questione economica e istituzionale che merita una risposta concreta. Non possiamo chiedere a una piccola impresa di sostenere da sola costi crescenti per adeguare le proprie infrastrutture digitali, acquistare tecnologie, formare personale e garantire livelli di sicurezza sempre più elevati, senza metterla nelle condizioni di farlo. Occorre una politica nazionale di rinnovamento del patrimonio digitale delle imprese. Ritengo che si debba valutare seriamente l’istituzione di un fondo dedicato alla modernizzazione tecnologica e alla cybersicurezza, con particolare attenzione alle PMI che operano nelle filiere collegate alle infrastrutture critiche e ai servizi essenziali. Non si tratterebbe semplicemente di finanziare l’acquisto di nuovi strumenti, ma di accompagnare un processo di trasformazione che comprenda aggiornamento tecnologico, prevenzione, formazione del personale, assistenza specialistica e capacità di risposta agli incidenti. Una misura di questo tipo dovrebbe essere accessibile anche alle imprese che, pur non essendo direttamente titolari di infrastrutture strategiche, ne costituiscono una parte importante della catena di fornitura. Allo stesso tempo, serve una maggiore integrazione tra le strutture che già operano in questo campo. L’Agenzia per la Cybersicurezza Nazionale, la Polizia Postale, gli organismi istituzionali competenti e gli operatori dei servizi essenziali devono poter condividere informazioni e lavorare attraverso procedure coordinate. Non è necessariamente una nuova struttura a risolvere il problema. Prima di moltiplicare organismi e competenze, occorre mettere a sistema quelle che già esistono. La condivisione delle informazioni, la tempestività delle comunicazioni e l’efficacia degli interventi sono condizioni indispensabili per affrontare minacce che non rispettano confini amministrativi o territoriali. Anche il modo in cui misuriamo il fenomeno dovrebbe evolvere. Non basta contare gli attacchi, registrare i danni e calcolare i tempi necessari per ripristinare un servizio. Bisogna considerare anche il logoramento complessivo del sistema, le risorse assorbite dalla gestione delle emergenze e dei falsi allarmi, i costi delle interruzioni e le difficoltà organizzative che si accumulano nelle imprese e nelle istituzioni. Sarebbe utile sviluppare un indice di logoramento sistemico capace di rilevare queste criticità e contribuire a individuare le aree sulle quali intervenire prima che una difficoltà diventi un’emergenza. C’è poi un altro aspetto che non possiamo trascurare, quello della preparazione dei cittadini e della diffusione di una vera cultura digitale. La tecnologia offre opportunità straordinarie, ma richiede conoscenza, responsabilità e consapevolezza. Non possiamo affidare la sicurezza del futuro esclusivamente agli specialisti, lasciando imprese, lavoratori e cittadini senza gli strumenti necessari per riconoscere i rischi e utilizzare correttamente le nuove tecnologie.
La cybersicurezza non è una voce di spesa da contrapporre alla difesa militare, né un problema riservato agli esperti informatici. È una componente della sicurezza economica, della continuità produttiva e della stessa autonomia del Paese. È su questo punto che vorrei richiamare l’attenzione sul ruolo delle piccole e medie imprese. Per troppo tempo abbiamo considerato la loro dimensione soprattutto in termini di fatturato, occupazione e capacità produttiva. Oggi dobbiamo riconoscere anche la funzione che svolgono all’interno delle reti economiche, industriali e infrastrutturali nazionali. Proteggere una PMI che opera in una filiera essenziale significa proteggere anche il sistema al quale quella stessa impresa appartiene. Aiutare queste realtà a innovare significa rafforzare la sicurezza collettiva. Investire nella loro formazione significa aumentare la capacità del Paese di affrontare le trasformazioni in corso. C’è una responsabilità che riguarda anche la rappresentanza delle imprese. Le organizzazioni imprenditoriali devono contribuire a portare queste esigenze all’attenzione delle istituzioni, favorire la diffusione delle competenze, promuovere la collaborazione tra imprese e sostenere percorsi di adeguamento tecnologico. Non possiamo limitarci a prendere atto dei cambiamenti. Dobbiamo fare in modo che anche le realtà produttive più piccole possano parteciparvi.
La vera sfida è non arrivare sempre dopo. Dobbiamo passare da una cultura che interviene quando si verifica un attacco a una strategia che rinnova, prepara e previene. Il futuro non aspetta che tutte le strutture abbiano completato il proprio aggiornamento. Sta già modificando le regole del gioco. In questa corsa non possiamo permettere che una parte del sistema produttivo rimanga indietro, perché le conseguenze non ricadrebbero soltanto sulle singole imprese, ma sull’intera economia nazionale.
La sicurezza del nuovo mondo si costruisce anche proteggendo chi, ogni giorno, contribuisce a far funzionare quello che abbiamo. E le piccole e medie imprese non possono essere considerate soltanto destinatarie delle politiche di sicurezza. Devono esserne parte attiva e riconosciuta. È anche da questa consapevolezza che passa la capacità dell’Italia di affrontare il cambiamento e difendere il proprio sistema economico e produttivo.
