Ai tempi della guerra fredda, i destini del globo sembravano appesi alla linea rossa delle due megapotenze Usa e Urss. E il mondo appariva diviso in due: o di qui o di là.
Ma oggi il panorama geopolitico è molto più complesso, sia per motivi strettamente politici sia per l’entrata in campo di un nuovo tipo di guerra che introduce nuove domande: Ai tempi della cyberwar, quante linee rosse andrebbero attivate? E tra quali attori: Stati, organizzazioni criminali, multinazionali, terroristi, rapinatori solitari, eventuali psicopatici ecc?
Se negli anni Cinquanta aleggiava lo spauracchio della minaccia nucleare, di questi tempi un’inquietudine molto diffusa è che i venti di guerra informatica si mettano a soffiare forte, improvvisi e imprevedibili su qualsiasi bersaglio, militare o civile che sia. E che basti un nonnulla per suscitarne l’impeto distruttivo.
Si vis pacem, para bellum (se vuoi la pace, prepara la guerra): negli Stati più digitalizzati, nessun organismo istituzionale dubita più che vadano costruite a ritmo serrato le necessarie difese e le misure di contrattacco per limitare il più possibile l’impatto dei cyber attacks in qualsiasi direzione vengano sferrati.
Nel ciberspazio, dove l’asimmetria d’informazioni fra assalitore e assalito fa spesso parte delle regole del gioco, la diplomazia classica, però, ha molte probabilità di risultare già battuta in partenza, e comunque di rivelarsi ben più inefficace che nel mondo reale.
Le misure deterrenti contro gli attacchi
Da una decina d’anni, alcuni protagonisti dello scenario politico internazionale, l’Onu in primis, l’Osce-Organizzazione per la sicurezza e la cooperazione in Europa, il G7 e l’Oas-Organizzazione degli Stati americani, si sono attivati su progetti specifici per mettere a punto una serie di strumenti utili per favorire una maggiore stabilità internazionale, migliorare la cooperazione tra gli Stati e aumentare il livello di fiducia e di trasparenza nello spazio cibernetico, ufficialmente “promosso” a sfera di possibili conflitti militari dal vertice della Nato a Varsavia nel 2016.
Ma già ben prima di questa dichiarazione ufficiale di militarizzazione del dominio cyber, l’Osce s’è impegnata nella definizione di una serie di CBM-Confidence building measures concepite ad hoc per le criticità del cyberspazio, creando nell’aprile 2012 un IWG-informal working group dedicato appunto allo sviluppo di CBM per ridurre i rischi di conflitti nel dominio cibernetico. Nel 2013, a un anno di distanza dalla costituzione dell’IWG, tutte le Nazioni partecipanti all’Osce hanno approvato una serie iniziale di 11 CBM, incentrate per lo più su misure di trasparenza, canali di comunicazione e fiducia tra gli Stati. Nel marzo 2016 gli Stati partecipanti hanno approvato una seconda serie di CBM.
Negli anni della guerra fredda, l’approccio dei CBM aveva dimostrato una sua efficacia come meccanismo deterrente contro l’aggravarsi delle relazioni tra Usa e Urss, perché era riuscito a stabilire linee guida di comportamento per la gestione delle crisi tra le due potenze sufficientemente solide ed efficienti. Secondo l’Osce, il modello dei CBM potrebbe tuttora servire per sviluppare un primo standard internazionale a proposito dei comportamenti che ci si deve attendere dagli Stati nel cyberspazio, allo scopo di migliorare la stabilità e incoraggiare la fiducia, la cooperazione e la trasparenza tra le nazioni.
Più trasparenza e cooperazione tra gli Stati
Sono attività che comprendono, in generale, la definizione di norme comuni per il comportamento degli Stati sia nelle fasi preparatorie, di costruzione di una ciberdifesa, di deterrenza e/o di preallarme, sia in quelle di emergenza vera e propria.
Si è arrivati, così, a identificare le misure operative da adottare per ridurre, da un lato, i rischi di percezione errata dell’eventuale attacco, di escalation militare e di tensione politica nel cyberspazio e, dall’altro, per migliorare la trasparenza e la cooperazione tra gli Stati. In particolare, i CBM dell’Osce hanno stabilito criteri e procedure per determinare
- la condivisione delle informazioni rilevanti
- la prevedibilità della posizione degli Stati
- l’integrità delle infrastrutture critiche
- i canali di comunicazione protetti.
Queste varie iniziative possono essere raggruppate in due gruppi principali: trasparenza e misure di cooperazione.
Con le misure di trasparenza s’incoraggiano gli Stati a condividere le informazioni per leggere e comprendere la loro collocazione nell’arena cyber allo scopo di migliorare la prevedibilità dei comportamenti dello Stato stesso nel cyberspazio. L’Osce è riuscito a definire un “quadro di trasparenza” specifico basato su due obiettivi principali:
- creare (e utilizzare) un canale di comunicazione protetto;
- stabilire indicazioni chiare e trasparenti su come gli Stati percepiscono e interpretano le minacce e i rischi in arrivo dall’arena informatica.
In ultima analisi, questo quadro consente agli Stati membri dell’Osce di evitare il rischio di percezioni errate e di sfiducia nel cyberspazio.
Il meccanismo di gestione della crisi
Le misure di cooperazione hanno lo scopo primario di aumentare le attività di dialogo mediante la condivisione di informazioni e di canali di comunicazione in modo da evitare rischi di escalation militare e politica nel cyberspazio derivanti dall’uso malevolo delle tecnologie informatiche.
In termini pratici, in caso di incidenti o attacchi informatici, gli Stati partecipanti dell’Osce dovrebbero applicare un meccanismo specifico di gestione delle crisi, coinvolgendo in particolare i CBM 3, 8, 13 e 16 (figura 1)
Il test fallito dell’Ucraina
Peccato, però, che al primo test operativo questo meccanismo si sia dimostrato praticamente inutile. Nel dicembre 2015, in occasione dei massicci attacchi informatici sferrati alle infrastrutture della rete elettrica ucraina, il Governo dell’Ucraina non ha applicato il modello di gestione della crisi dei CBM.
Secondo gli osservatori, le ragioni principali (di carattere politico) sono due: innanzitutto, la difficoltà tecnica di risolvere il problema dell’attribuzione dell’attacco (dimostrando con prove inconfutabili la responsabilità diretta o indiretta del Governo russo) e quindi, nel contempo, la criticità nell’instaurare un meccanismo deterrente in grado di funzionare in modo effettivo.
La seconda motivazione è legata alla discrezionalità lasciata agli Stati di adottare o meno le CBM: molto probabilmente, l’Ucraina ha preferito affrontare la gestione della crisi puntando su un quadro difensivo bilaterale (coinvolgendo gli Stati Uniti in primis) piuttosto che sull’approccio cooperativo caldeggiato dall’Osce.
Secondo gli esperti dell’Osce, il fallimento del “test” ucraino ha dimostrato come i CBM, per stabilire delle “linee rosse” effettive, richiedano un ulteriore passaggio sul piano operativo, basato su specifiche procedure passo-passo implementate nel quadro delle politiche pertinenti e impegni internazionali.
Sull’adeguatezza futura di queste misure, quindi, il dibattito resta aperto: benché il processo di creazione di un assetto di fiducia costante sia legittimato dal consenso unanime degli Stati partecipanti, in pratica anche i CBM richiedono a loro volta uno specifico “piano d’azione”, con l’auspicio che laddove queste misure – politicamente vincolanti – siano coerentemente applicate in modo uniforme per un periodo di tempo significativo, possano gradualmente portare alla formazione di nuove regole nel diritto internazionale consuetudinario.
Anche in Italia, il grande tema delle strategie diplomatiche attuabili oggi e domani nei domini digitali è seguito con particolare attenzione: accanto ai ministeri di competenza degli Affari Esteri e della Difesa, un punto di riferimento è costituito dall’Ispi-Istituto per gli studi di politica internazionale, che nell’ottobre 2017 ha dato vita all’Osservatorio Cybersecurity, in collaborazione con Leonardo. L’Osservatorio concentra la propria analisi principalmente su due ambiti: uno è quello delle misure di ordine politico-securitario e diplomatico necessarie per rispondere alla crescente minaccia cibernetica, l’altro è quello relativo alla capacità complessiva di prevenzione e di risposta degli organismi – sia pubbliche che privati – più coinvolti nella difesa e nella promozione degli interessi nazionali dell’Italia nel ciberspazio.
