In questo articolo vogliamo dare una rappresentazione logica, attraverso il meccanismo della mappa concettuale, alla visione di insieme del tema delle IC. In Figura 1 è riportata una mappa concettuale che parte dal concetto di IC e dipana, senza legami di causa effetto, ma solo con legami concettuali, tutta la gamma di aspetti che, a conoscenza della scrivente, autrice della mappa stessa, sono correlati alla individuazione, comprensione, protezione e gestione di infrastrutture critiche. Se partiamo dal concetto di IC vediamo immediatamente due rami distinti della mappa, quello relativo al concetto di infrastruttura e quello relativo al concetto di criticità. Il primo è legato alle attività del sistema Paese e alle strutture che ne sono lo scheletro costitutivo. Si tratta di beni o servizi, definiti dal loro “uso” (o più propriamente dai loro molteplici usi possibili), inteso come “specifica funzionale di finalità”.

Fig. 1 Mappa concettuale delle IC.

Per conoscere una infrastruttura (o un settore, come si usa chiamare gli insiemi di infrastrutture fra loro alternative e omologhe), è necessario conoscere la tecnica che soggiace alla sua realizzazione e al suo funzionamento (ciò che definiamo “come faccio le cose”). Dal punto di vista della nostra professione, i colli di bottiglia sono i punti di osservazione maggiormente interessanti. D’altro canto il concetto di infrastruttura si può riportare al concetto di item [DOMINO] e cioè di catena di produzione che, dalla ideazione del bene o servizio, arriva alla fruizione dello stesso da parte dell’utente finale. La catena di produzione può essere grossolanamente rappresentata attraverso cinque passaggi fondamentali (materie prime e approvvigionamento, produzione, trasporto, distribuzione, fruizione e, cioè, azione di uso) tutti legati a fattori abilitanti imprescindibili e diretti (per esempio la capacità commerciale e, quindi, finanziaria). Qualunque catena si osservi, che contenga tutti o solo alcuni dei passi, può essere scomposta in “componenti” fondamentali a loro volta rappresentabili con la medesima catena-tipo. Inoltre, qualunque catena potrà avere dei “colli di bottiglia” e dei meccanismi, de facto o “istituzionali”, di brokeraggio. Fondamentale nella descrizione ai nostri fini di un bene o servizio, sono i concetti di possibilità di scorte (energia e telecomunicazioni che non hanno capacità di immagazzinamento sono definite negli USA ultra critiche), alternative (possibilità di reperire lo stesso bene o servizio presso altri operatori) e fungibilità (possibilità di ottenere il medesimo risultato finale, come per esempio un trasporto da un luogo a un altro, utilizzando altri beni o prodotti non omologhi). Tutti coloro che trattano il tema delle IC hanno affrontato il tema della tassonomia delle infrastrutture, molti partendo da metodi bottom up, quasi tutti approdando a metodi top down che partono dalla definizione di “settori critici” e da lì deducono, per appartenenza, le possibili IC. Presupposto di qualunque ragionamento tassonomico è la fotografia spaziale che si vuole rappresentare (Stato, Regione, Città, quartiere, ecc.). Nella Figura che segue riportiamo alcuni esempi di tassonomie, in particolare quella europea, del G8, statunitense, russa, britannica, olandese, francese e tedesca. Le voci colorate sono riferite a Paesi che differenziano la definizione di un settore dagli altri (il Paese corrispondente ha il simbolo del colore della definizione). I russi danno particolare enfasi ai sistemi di riscaldamento e alle utility e pongono le pipeline all’interno dei sistemi di trasporto (quando in tutti gli altri Paesi sono sempre parte dei sistemi energetici); infine, i russi inseriscono nei settori critici anche la difesa, che in genere negli altri Paesi è un comparto a sé. Gli americani sono i più dettagliati, con 18 settori, incluso quello manifatturiero. Per loro le poste sono all’interno dei sistemi di trasporto, ma sono identificate esplicitamente; una nota particolare merita il settore delle icone e dei monumenti nazionali, tipici bersagli dal punto di vista terroristico, ma non percepiti in Europa da alcuno come “settori critici”. L’Olanda ha un settore dedicato alla gestione delle acque e delle dighe e separa l’ordine legale da quello pubblico. La Germania non inserisce la sanità tra i settori critici ma, in compenso, ha i materiali pericolosi (laddove Francia e Olanda hanno esplicitamente citati i siti nucleari) e il settore “altro” che elegantemente copre tutto ciò che non è esplicitamente indicato. L’Europa non inserisce l’amministrazione pubblica in quanto ragiona a livello “europeo”, cioè indica solo settori che possono incidere su almeno due Stati Membri e le PA sono tipicamente nazionali. Al concetto di infrastruttura si collega quello di informazione (peraltro tema delicato, per la gestione di informazioni che potrebbero essere non pubbliche). Le informazioni riguardano aspetti geografici e geologici, antropologici, sociali e non solo, oltre che, naturalmente, l’uso (o gli usi), il possesso (chi ne determina mission e vision), gli stakeholder. Ritroviamo il concetto di uso e a questo leghiamo la indissolubile e fondamentale scienza della qualità del servizio/prodotto, base della contrattualistica e anello di congiunzione al fruitore della catena di produzione, l’utente finale [QOS]. In generale, la misura della qualità indica una misura delle caratteristiche o delle proprietà di una entità (una persona, un prodotto, un processo, un progetto) in confronto a quanto ci si attende da tale entità, per un determinato impiego. Il concetto di qualità è un concetto generale, ma applicabile a tutte le realtà umane; ciò che cambia è il metro di misurazione, dipendendo esso da due soggetti: chi fornisce il prodotto e chi lo commissiona e/o lo utilizza. Ecco, quindi, la necessità di individuare quali sono i soggetti e gli elementi base della qualità di un prodotto/servizio e dei processi relativi: chi esprime i requisiti, le esigenze o i bisogni, di solito il Cliente, e chi fornisce il prodotto, il servizio: impresa, istituzione, ente di diritto pubblico o privato. Il prodotto deve avere una qualità definita, ovvero essere stato progettato e realizzato in accordo a specifiche e standard definiti ed essere privo di non conformità o difetti. Fattori percepibili costituiscono lo strumento principale per valutare da parte del cliente, se quanto richiesto è stato ottenuto, come previsto ed in modo soddisfacente. Il documento che riassume le caratteristiche del prodotto/servizio è di solito il contratto, la specifica, la convenzione, la carta dei servizi, il piano della qualità. In tale documento devono essere specificati anche i relativi criteri di accettazione. In accordo con la raccomandazione ITU E.800, la qualità del servizio (QOS) nelle telecomunicazioni viene definita come “L’effetto complessivo delle prestazioni del servizio che determinano il grado di soddisfazione atteso dall’utente del servizio”. Dal punto di vista della rete di telecomunicazioni la qualità del servizio rappresenta la capacità della rete di garantire un determinato livello di servizio. L’altro ramo è quello del concetto di criticità. Per definire l’aggettivo di criticità (o vitalità, come dicono i francesi) occorre primariamente aver definito il proprio ruolo, i propri interessi e i propri obiettivi. Tipici esempi di obiettivi nel caso di un privato sono riportati nella Figura 2 [GNOSIS].

Fig. 2 Tipici esempi di obiettivi di protezione. L’esempio verde riguarda un brand sportivo, l’esempio rosso un distributore energetico, l’esempio blu una banca.

La primaria definizione di interessi definisce la strategia rispetto alla propria mission e alla visione che si ha del proprio ruolo (lo Stato, le aziende, le persone, le associazioni di categoria, ognuno ha una propria definizione di interessi dalla quale discende la scelta di obiettivi strategici e quindi da proteggere). L’analisi di criticità è una analisi del rischio, e cioè di minacce, vulnerabilità ed esposizioni. Le minacce sono notoriamente naturali (legate al territorio o allo spazio) e antropiche (volontarie o accidentali). Queste ultime si dipanano in una panoplia di possibili forme, da quella cibernetica a quella nucleare biologica e chimica, a quella economica. Spesso nella valutazione delle minacce si omettono i cosiddetti cigni neri, cioè gli eventi a bassissima probabilità e altissimo impatto [TALEB]. Accanto all’analisi del rischio, negli ultimi anni e con le ultime normative si è radicata anche la metodologia di valutazione di impatto [DOMINO] sia sul cratere che per effetto domino. Tutte le metodologie di analisi e valutazione si fondano sulla teoria della misura [STR]. Tipiche metriche di misura dell’impatto sono riportate nella tabella che segue. Vittime Impatti economici Sicurezza economica Sofferenza fisica Perturbazione della vita quotidiana Fiducia nelle istituzioni Salute pubblica Sicurezza pubblica Impatti psicologici Sicurezza dello Stato Perturbazione della democrazia Impatto sull’ordine sociale Difesa della Nazione Impatto sull’opera delle istituzioni Violazione del territorio Disordine pubblico e panico Impatto geopolitico Impatto normativo Morale nazionale Impatto ambientale Impatto sociopolitico Effetti negativi sui marchi e aziende nazionali National Gross Happiness Le metriche riportate in stampatello sono quelle indicate dalla Direttiva del Consiglio relativa all’individuazione e alla designazione delle Infrastrutture Critiche europee e alla valutazione della necessità di migliorarne la protezione, n. 114/08 CE [DIR], quelle indicate in corsivo sono alcune di quelle usate (oltre alle prime due) negli Stati Uniti [DHS1] dove la definizione di IC è “the assets, systems, and networks, whether physical or virtual, so vital to the United States that their incapacitation or destruction would have a debilitating effect on security, National economic security, public health or safety, or any combination thereof”. L’ultima metrica è usata in Bhutan. Il Bhutan è una monarchia costituzionale parlamentare di stampo prettamente rurale. Le famiglie sono abituate a vivere in modo autarchico con riserve alimentari che possono coprire anche sei mesi di isolamento a causa della neve, delle altitudini e della precarietà delle strade (unico mezzo di trasporto). Il Re, Jigme Khesar Namgyel Wangchuck, ha dichiarato che il valore da preservare nello Stato è il tasso di felicità media e ad esso ha collegato (quasi come una sorta di IC) la possibilità di esercitare la partecipazione collettiva alle manifestazioni religiose buddhiste. Dalla definizione degli obiettivi discende naturalmente la risposta alla domanda “cosa proteggo” e da questa la valutazione e accettazione del rischio residuo e la definizione della tattica, il “come proteggo” (optando per azioni che aumentano la robustezza, la resilienza – ossia la capacità di recupero parziale e totale a seguito di incidente o attacco, o, per esempio, creando meccanismi di protezione assicurativa). Tutte le scelte operate su cosa e come proteggo vanno a incidere sulla gestione di una eventuale crisi, che nella mappa si trova in un capitolo a sé. Il ramo della crisi è essenziale nel trattare le IC. I momenti di attività relativi alla crisi sono distinti rispetto al verificarsi dell’evento. Preparazione, previsione, protezione, condivisione del cosiddetto “patto sociale” basato sul rischio territoriale residuo, sono tutte attività che si effettuano nel “tempo di pace” ossia a regime. Gestione, mitigazione e recupero sono azioni che vengono proceduralizzate, organizzate e definite in tempo di pace per affrontare l’evento di crisi. Qualunque attività relativa alla crisi (qualunque sia l’espansione geografica della crisi stessa) non può mai prescindere dalla comunicazione, verticale tra attori del sistema di reazione e orizzontale verso i cittadini. Vi sono infine alcuni rami specifici del concetto di IC. Tra questi annoveriamo le metodologie di information sharing, le metodologie fino ad oggi scientificamente proposte per la trattazione del tema e naturalmente la storia. Tipico problema ancora oggi lungi da soluzioni affidabili è quello della costruzione di scenari e della modellizzazione delle interdipendenze tra infrastrutture. La comunità scientifica sta lavorando per la realizzazione di modelli predittivi e di simulazione [DOMINO]. La mappa si chiude con due rami di non minore importanza. I fattori economici, oggetto di studi di settore per la comprensione e l’individuazione delle migliori prassi in termini di rapporto pubblico-privato e di incentivi. E il fattore normativo, legato ai concetti di legittimità e legalità, e ovviamente a meccanismi di controllo sostenibili da tutta la comunità (e quindi sanzioni, obbligatorietà e attori responsabili). Al tema della normativa si lega quello delle certificazioni e degli standard de facto. Nella figura seguente si riporta una tavola sinottica delle normative nazionali che in qualche modo parlano (esplicitamente o implicitamente) di IC. La tavola riporta in ascissa le norme (senza pretesa di esaustività) e in ordinata quei settori della tabella 1 sui quali impatta almeno una norma. Si analizzano solo normative “generaliste”, ovviamente, non quelle settoriali. In fondo alla tabella sono riportate alcune colonne di commento. Innanzitutto, ci si chiede se nella normativa citata vi sia una definizione di IC: spesso le norme partono dal concetto come assodato (universalmente noto) e si occupano solo di stabilire attività e/o adempimenti relativi. Ci si chiede poi se le normative citate siano percepite dagli operatori (genericamente intesi) come migliorative del livello generale di protezione (robustezza e resilienza) del sistema Paese, e se impongano obblighi e sanzioni agli operatori. Laddove si riporta NN (non noto) o “?” (forse) si intende che l’argomento potrà essere oggetto di ulteriori approfondimenti.

Tavola

La prima colonna della tabella si riferisce all’appello del Generale Alexander, per dare visione comparativa dei settori già intesi, all’epoca, come critici.
Affiancato al tema delle normative che regolamentano e in qualche modo sostengono l’impegno di protezione delle IC in una Nazione, è il tema degli standard. Il grande dibattito europeo oggi in corso in occasione della revisione della direttiva 114/08 CE è proprio relativo alla questione seguente: “È più vantaggioso formulare normative obbligatorie e imporre, in qualche modo, determinati livelli di protezione, o al contrario lavorare per una collaborazione pubblico-privato che favorisca l’innalzamento del livello minimo di protezione generale del sistema Paese attraverso misure volontarie e standard de facto?”. Il dibattito è in piena attività e si presume che in capo a un anno l’Unione Europea formulerà la nuova versione di direttiva e di misure di accompagnamento.
Gli Stati Uniti hanno una legislazione in merito alla protezione delle IC che sancisce dei livelli minimi di protezione con riferimento agli standard del NIST (www.nist.org). In questo modo la norma non necessita aggiornamenti continui, ma impone agli attori coinvolti di adeguare le proprie misure agli standard vigenti pubblicati di volta in volta dal NIST.
La Gran Bretagna adotta una filosofia decisamente basata sulla collaborazione pubblico-privato e limita al massimo le obbligatorietà di legge, basando i livelli minimi di sicurezza sull’adeguamento de facto alle richieste di mercato (anche attraverso le catene di fornitura che vengono interessate a cascata, attraverso i contratti, dal mantenimento dei livelli minimi richiesti dai fruitori).
La normativa internazionale è, tuttavia, carente anche nella definizione dei profili professionali legati alla sicurezza (i security manager, gli uffici relativi, le competenze, le responsabilità…). Gli organismi ISO si stanno muovendo verso standardizzazioni anche in questo senso e le comunità di settore, specialmente in settori particolarmente vitali per la quantità di dipendenze dirette e per le tempistiche di azione di tali dipendenze, come quello elettrico ed energetico in genere, si stanno “organizzando” di fatto per ottimizzare il rapporto costi/benefici delle proprie azioni, anche congiunte, di protezione.
L’UNI – Ente Nazionale Italiano di Unificazione, ha elaborato una norma licenziata come “Norma Italiana UNI 10459 – Funzioni e profilo del professionista della Security Aziendale”2, finalizzata alla valutazione e qualificazione di tale professionista.
Il concetto di Security è così sintetizzato: “Studio, sviluppo ed attuazione delle strategie, delle politiche e dei piani operativi volti a prevenire, fronteggiare e superare eventi in prevalenza di natura dolosa e/o colposa che possono danneggiare le risorse materiali, immateriali, organizzative e umane di cui l’azienda dispone o di cui necessita per garantirsi una adeguata capacità concorrenziale nel breve, nel medio e nel lungo termine”. La norma è attualmente in revisione.

La professione della sicurezza, soprattutto in ambito di aziende e Pubbliche Amministrazioni che possono rappresentare, a vario titolo, una infrastruttura critica o comunque vitale, non può prescindere da aspetti normativi e formativi. Da un lato la norma dovrebbe prevedere i requisiti professionali, dall’altro l’offerta formativa dovrebbe sempre più rispondere alla domanda soddisfacendo tali requisiti, siano essi sanciti da norme o de facto. L’autrice ha chiesto al Presidente della SIOI (Società Italiana di Organizzazione Internazionale), On. Franco Frattini, la Sua opinione riguardo l’importanza del tema “protezione infrastrutture critiche” e, in particolare, riguardo alla necessità di una nuova offerta formativa estremamente specifica nonché di un eventuale aggiornamento del panorama normativo nazionale ed europeo. Sotto l’alta supervisione dell’Onorevole verrà infatti avviato in SIOI, a partire dal 2013, un Master sulla “Protezione strategica del Sistema Paese – le Infrastrutture Critiche”, particolarmente innovativo perché coniuga la visione “ingegneristica” della protezione con l’analisi geopolitica e previsionale di natura economica, strategica, antropologica e sociologica. “Riguardo il primo punto, la formazione cioè, era il momento di iniziare a promuovere una analisi e una formazione strategica sul tema della protezione delle Infrastrutture critiche e il lavoro che abbiamo fatto insieme qui alla SIOI per promuovere il primo master in “Protezione Strategica del Sistema Paese – Le infrastrutture critiche” è il segno che l’Italia nel suo insieme fa sistema e prende sul serio questa materia. È una materia di alta strategicità perché riguarda la sicurezza del Paese in tutti i suoi snodi, non solo la sicurezza in senso tradizionale ma, evidentemente, tutte le infrastrutture che costituiscono l’ossatura di un Paese, quelle fisiche come quelle della conoscenza, quelle della comunicazione come quelle della ricerca. Sono infrastrutture molto vulnerabili perché la minaccia è diversificata, vi sono esempi, anche recenti, di attacchi importanti ad uno Stato, non ad una singola azienda. Ricordo da Commissario Europeo (Commissario europeo per la Giustizia, la Libertà e la Sicurezza dal 2004 al 2008, nda), ho promosso, avendo anche la delega alla sicurezza, una comunicazione sul tema della protezione delle infrastrutture critiche (dalla quale è poi derivata la direttiva 114/08CE, nda) quando assistemmo all’attacco contro i sistemi informatici di uno Stato, cioè l’Estonia, che fu, sia pure soltanto per alcune ore, messo nella impossibilità di funzionare. Se immaginiamo la ripetizione, su larga scala, di un attacco agli snodi informatici di un Paese che regolano i servizi ai cittadini, il sistema bancario, l’erogazione dell’acqua o dell’elettricità, vediamo come le infrastrutture critiche sono davvero determinanti, tutte interconnesse e purtroppo, tutte vulnerabili. La strategicità deriva da questo. Avremo una forte collaborazione nel Master tra personalità e docenti che non vengono solo dal mondo della teoria, ma dal mondo della conoscenza profonda del tema, che hanno professionalità e che potranno sollevare tutte le questioni, anche relative ai singoli settori, in modo concreto. Riguardo il secondo punto, che cosa manca nel panorama normativo nazionale?... Bisogna dire che la protezione delle infrastrutture non si fa perché si scrive una nuova legge. Le leggi certamente possono essere rivisitate, certamente si possono definire di interesse strategico questa o quella rete o infrastruttura, ma non è “per legge” che si determina una strategia di prevenzione e di protezione, la si determina con la circolazione delle informazioni, con la collaborazione, con la messa in comune di strumenti con cui agire e, quindi, anche con un ancor migliore uso dell’intelligence, dall’intelligence economica all’intelligence mirata, dal SIGINT allo HUMINT, entrambi gli strumenti dell’intelligence vengono qui alla luce. Quel che probabilmente finora è mancato al sistema Italia è un focus specifico che sarebbe molto interessante creare in modo permanente, sia presso le strutture di intelligence, che già se ne occupano ovviamente per finalità istituzionali, sia mettendo insieme tutti gli attori strategici e diffondendo conoscenza e compartecipando strategie e metodi. Per intenderci, questa è materia di cui, oltre agli apparati intelligence, debbono essere protagonisti amministrazioni centrali, il Tesoro con il suo comitato di sicurezza finanziaria, il ministero degli Esteri con il suo comitato strategico per i fondi sovrani, che avevo costituito nel 2009, il ministero dello Sviluppo Economico, con i suoi centri di analisi strategica su ciò che può incidere o danneggiare ad esempio le infrastrutture energetiche nazionali o dei trasporti nazionali. Una sinergia è indispensabile. Poi occorrono i privati, occorre che le associazioni imprenditoriali siano sempre più compartecipi di questa strategia nazionale. Io offrii all’allora presidente di Confindustria un tavolo permanente con il ministero degli Esteri proprio per analizzare, in questo caso, le esigenze di protezione degli interessi dell’Italia quando l’Italia investe in questo o quel Paese: conoscere il tessuto in cui si va ad investire è un elemento prezioso per il “made in Italy” che investe nel mondo; ma al tempo stesso questo va fatto anche per le ricadute che presenze straniere in Italia possono avere sul panorama infrastrutturale. Infrastrutture importanti e sensibili richiedono tutto questo e ritengo che, grazie anche a questo Master, si potrà mettere a fuoco la necessità di un sistema-Italia consapevole che le infrastrutture critiche sono l’ossatura di un paese moderno e come tale debbono essere custodite. Non ci possono essere spazi di vulnerabilità: noi immaginiamo che l’analisi sulle minacce che viene condotta dagli apparati di intelligence prenda in considerazione anche attacchi non convenzionali, per esempio, ma gli attacchi non convenzionali presuppongono prevenzione. In caso di attacco non convenzionale la reazione è sempre tardiva, perché se si parla di attacco biologico o cyber, o la prevenzione funziona, oppure la reazione non sempre consente di riparare il danno perpetrato alla rete infrastrutturale.

Il processo di analisi dei rischi e di preparazione agli eventi in termini di robustezza e resilienza è basato sulle metodologie PDCA [ANR], [ANR2]. Moltissimi standard come lo Standard UNI CEI ISO/IEC 27001:2006 (Tecnologia delle informazioni – Tecniche di sicurezza – Sistemi di gestione della sicurezza delle informazioni – Requisiti) che è una norma internazionale che definisce i requisiti per impostare e gestire un Sistema di Gestione della Sicurezza delle Informazioni (SGSI o ISMS dall’inglese Information Security Management System), ed include aspetti relativi alla sicurezza logica, fisica ed organizzativa, si basano sul ciclo PDCA:

- Pianificazione e Progettazione,
- Implementazione,
- Monitoraggio,
- Mantenimento e il miglioramento,

similmente a quanto previsto dai sistemi per la gestione della qualità. Nella fase di progettazione richiedono però lo svolgimento di un risk assessment schematizzabile in:

- Identificazione dei rischi,
- Analisi e valutazione,
- Selezione degli obiettivi di controllo e attività di controllo per la gestione dei rischi,
- Assunzione del rischio residuo da parte del management,
- Definizione dello Statement of Applicability.

Fig. 3 Fonte http://digilander.libero.it/bargiovanni/Page_file/pagina%20ProblemSol.html

Per quanto riguarda la continuità operativa, e sempre senza intento esaustivo, l’ISO adotta due versioni di standard, una per le “buone pratiche” e la seconda per i processi di verifica e, quindi, di certificazione e, infatti, ha predisposto uno schema a due standard:(Figura 3) - lo standard ISO 22399, emesso nel 2007, descrive le buone pratiche in materia di CO. Si tratta, anzi, di un ISO/PAS (cioè un “publicly available specification”, che rende questa norma ancora più tenue in termini di osservanza e ne fa una mera indicazione di opportunità), che ha il titolo di “Societal security - Guideline for incident preparedness and operational continuity management”; - lo standard ISO 22301 (“Societal security - Preparedness and continuity management systems - Requirements”), che sarà emesso nel corso del 2012, è basato sulla seconda parte del BS 25999 (emesso dall’organismo di normalizzazione inglese, equivalente all’UNI in Italia), e tratta invece del sistema di gestione della CO e delle verifiche, per creare e gestire un Business Continuity Management System (BCMS). Tutti gli standard esistenti hanno dimostrato, nella applicazione alle minacce e agli eventi degli ultimi anni, di dover essere affiancati de facto a processi di analisi previsionale che consentano alle aziende di virare verso una sicurezza “adattativa”. Il World Economic Forum nel suo settimo report Global Risk 2012 analizza i 10 maggiori rischi in 5 diverse categorie (Figura 4), identificando così rischi di natura economica, ambientale, geopolitica, sociale e tecnologica. Il report è stato realizzato attraverso un sondaggio condotto interpellando 469 esperti e leader del settore. Le figure che seguono riportano i grafici dei 10 maggiori rischi divisi per le 5 diverse categorie, grafitando il loro impatto in funzione della probabilità di accadimento.

Nella figura che segue, (Figura 5), invece, si mostrano tutti i rischi identificati nei 5 diversi ambiti, graficandoli sempre in funzione del loro impatto e della loro probabilità. La figura mostra le interconnessioni tra i vari rischi, così come emerse dal sondaggio. Nel sondaggio è stato chiesto anche di identificare 5 Centri nevralgici (“Centre of Gravity”), uno per categoria.

Fig. 5 Panorama dei rischi 2012

La figura che segue (Figura 6) mostra l’intero network di interconnessioni tra i rischi globali. Dai risultati del sondaggio, i Centri nevralgici maggiormente indicati sono: - Chronic fiscal imbalances (economic) - Greenhouse gas emissions (environmental) - Global governance failure (geopolitical) - Unsustainable popolutaion growth (societal) - Critical systems failure (technological) L’analisi del 2012 Global Risk Map mostra che sono 4 i rischi che giocano un ruolo significativo nel connettere i Centri nevralgici tra loro. Questi sono: - Severe income disparity (economic) - Major systemic financial failure (economic) - Unforeseen negative consequences of regulation (economic) - Extreme volatility in energy and agriculture prices (economic) Dalla figura emergono anche i Weak Signal, definiti come i rischi meno connessi nel network (in base al numero di connessioni e a quante volte sono stati scelti dagli intervistati). Sono: - Vulnerability to geomagnetic storms (environmental) - Proliferation of orbital debris (technological) - Unintended consequences of nanotechnology (technological) - Ineffective drug policies (societal) - Militarization of space (geopolitical) Le grandi imprese e le multinazionali devono confrontarsi, nella redazione delle proprie strategie di business e nella focalizzazione dei loro investimenti in sicurezza e protezione, anche con questi “macro” rischi e con le conseguenze che questi potrebbero portare sulla loro operatività e sul loro business. Emerge la necessità di una analisi previsionale smart di tipo economico, tecnologico, geopolitico, sociale, ambientale (in senso anche antropologico), per comprendere e prevedere gli scenari futuri nei quali ci si potrebbe trovare ad operare. In scala ridotta, le PMI fronteggiano lo stesso problema, ma con risorse minori da poter allocare.

Fig. 6 Interconnessione dei rischi.

L’approccio di analisi del rischio, tipicamente PDCA, si rivela perfetto ma statico e va integrato con una visione e organizzazione “adattativa” in tempo reale alle minacce per ridurre costi ed energie organizzative. Per fare questo si devono prevedere cicli analoghi al PDCA ma ridotti nei tempi e veloci nelle contromisure da adottare, che devono essere predefinite e real time ready, dove il real time è da definire preventivamente alla attività svolta e alla minaccia che si studia o al rischio che si vuole mitigare. Si tratta di un metodo innovativo estremamente efficace nel ridurre i costi e nell’aumentare i risultati delle misure attuate di robustezza e resilienza, oltre che in grado di supportare la decisione strategica e tattica sul cosiddetto “rischio residuo” (sul quale cioè non si attuano contromisure in termini di robustezza e resilienza, ma si realizzano, nel migliore dei casi, coperture assicurative). Naturalmente un processo del genere richiede una analisi continua di scenari (una sorta di OSINT ragionata e di economic and risk intelligence realizzata in modo insourced o outsourced e condivisa attraverso Centri di condivisione e analisi delle informazioni ISAC [ISA1] [ENISA] o altre forme di condivisione delle informazioni a livello settoriale e sovrasettoriale). L’analisi previsionale supporta generalmente, soprattutto presso alcuni Governi, la decisione strategica e la formulazione tattica anche dal punto di vista economico. Spesso si parla oggi di guerra cognitiva, basata sull’uso (e non solo sull’appropriazione) di informazioni e conoscenze ragionate, analizzate, sintetizzate in scenari possibili e previsioni. Il Prof. Alessio Piccirilli, docente di numerose università ed esperto di geopolitica e intelligence economica, così descrive la materia dell’analisi previsionale applicata alle IC: Che cosa si possa intendere per analisi previsionale di tipo geopolitico nell’ambito della protezione delle IC, dipende ovviamente dalla singola infrastruttura e dalla sua intrinseca organizzazione, anche in fatto di outsourcing e di dipendenze dirette (fornitori, materie prime, fattori abilitanti, ecc.). La geopolitica è una metodologia particolare che individua, identifica e analizza i fenomeni conflittuali e le strategie offensive e difensive incentrate sul possesso di un territorio (uno spazio, una dimensione) sotto il triplice sguardo dell’influenza dell’ambiente geografico, in senso sia fisico che umano, delle argomentazioni politiche, economiche, culturali, religiose dei contendenti e delle tendenze costanti della storia (nell’ottica vichiana). In tal senso l’Analisi si fenomenizza nella Noosfera (mondo del pensieri che si realizza tramite la capacità umana di riflessione profonda, luogo della conoscenza e consapevolezza) in cui si è protesi verso il Punto Omega (definibile come il massimo livello di complessità e coscienza informativa e punto di non ritorno). Nel contesto delle IC sempre più enfasi sarà posta sulla guerra informativa e sulle nuove frontiere della guerra cognitiva (letteralmente esplose con la rivoluzione tecnologica dell’informazione, con le nanotecnologie e con il superamento dei limiti corporali). Oggi è evidente il legame Intelligence economica e infrastrutture critiche che, insieme, costituiscono il ‘Sol dell’avvenire’. A questo proposito non c’è dubbio che la guerra dell’informazione sia di fondamentale importanza nell’arena economica, nuovo fronte delle società attuali. Senza addentrarci troppo nell’ambito possiamo accennare al fatto che oggi si parli di Economia della Conoscenza non come una nuova frontiera, ma come strada obbligata per la sopravvivenza, la vita e la vittoria nello scenario competitivo globale all’interno dei più svariati ambiti, da quello sociale a quello scientifico, ponendo l’accento su come i capitali intangibili siano diventati parte fondamentale delle politiche aziendali e non, modificando vecchi paradigmi di pensiero che li vedevano solo come uno sperpero e un’inutilità. L’Economia della Conoscenza è direttamente interconnessa alla Società dell’Informazione in cui siamo immersi, ma mentre quest’ultimo temine indica una risorsa, fare Economia della Conoscenza significa sfruttarla, trasformarla da metallo grezzo in oro, per poi utilizzarlo e farne uno strumento di accrescimento del nostro benessere. La conoscenza, dunque, è il presupposto fondamentale, è la linfa vitale per ogni attività che porti al successo, ma da sola non basta. Essa è nulla senza la sua analisi previsionale. Deve, infatti, essere attentamente supportata da una corretta pianificazione degli obiettivi e da un successivo processo di trasformazione dei dati raccolti in informazioni utili. L’analisi e la gestione delle informazioni risulta tanto più necessaria quando, come nel periodo attuale, all’aumentare della quantità dei dati disponibili, aumenta di pari passo quello dell’incertezza a loro legata. È l’incomprensione a dominare lo scenario mondiale. Le nostre economie come le nostre strutture sociali saranno sempre più fortemente digitalizzate/interconnesse e presenteranno rilevanti vulnerabilità legate all’esigenza strutturale che il sistema economico presente e futuro non potrà che essere aperto e fluido. A partire dagli dagli anni ‘90 è diventato sempre più chiaro che le logiche conflittuali presenti nell’ambito della geopolitica si sono trasferite nel contesto della conflittualità economica dove tutti gli attori (statuali e non) devono essere in grado di porre in essere strategie di dominanza fondate sul controllo delle infrastrutture informative e dei flussi di sapere tecnologici, culturali ed economici. Un vero disegno strategico, anzi la strategia per eccellenza, che prenda atto delle nuove esigenze moderne, deve ormai prendere in serissima considerazione la vulnerabilità delle infrastrutture critiche in ambito informativo. Sebbene l’utilizzo di campagne di disinformazione e di discredito siano sempre esistite nel contesto politico-economico, tuttavia, proprio l’accelerazione esponenziale della digitalizzazione informativa ha determinato la necessità da parte degli Stati e da parte degli attori non statali di dotarsi di un apparato offensivo e difensivo all’altezza delle sfide. Come noto agli studiosi di guerra psicologica la disinformazione è certo un’arma offensiva che ha delle peculiari caratteristiche, poiché è a senso unico. I suoi effetti sono particolarmente insidiosi e possono venire alla luce ed identificati solo successivamente; ma in particolar modo gli obiettivi della disinformazione sono da un verso finalizzati alla perdita di reputazione e di legittimità dell’avversario e dall’altro a far venir meno il supporto finanziario. Mentre nei conflitti tradizionali l’economia delle forze riposava su una dimensione inerziale e la supremazia logistica costituiva la dimensione naturale per la vittoria o la sconfitta, nelle guerre cognitive non è possibile imporre una simmetria sistemica e, contrariamente ai conflitti convenzionali, quelli informativi hanno una loro autonomia indipendentemente da chi costruisce o invia il messaggio; distruggere il portavoce del messaggio non modifica la dimensione della conflittualità cognitiva ma, sortisce l’effetto diametralmente opposto, in quanto finisce per rafforzare l’avversario. In questa prospettiva strategica diventa fondamentale il controllo assoluto delle infrastrutture delle notizie: tuttavia, risulta evidente che il controllo dell’infrastruttura globale dell’informazione è incompatibile col suo modo ampio e destrutturato di dipanarsi nel mondo attuale. Inoltre la crescita esponenziale delle infrastrutture dell’informazione non consente la possibilità di un coordinamento di tipo verticale e gerarchico. Quanto affermato parte dall’assunto che il controllo globale dell’infrastruttura dei flussi di notizie permetterebbe di raggiungere un dominio globale dell’infrastruttura dell’economia e della sfera politica. Tuttavia, questa concezione si rivela ingenua poiché ignora il fatto che il controllo della notizia è diverso dalla formazione dei giudizi e delle credenze. Ora di fronte all’emergere della guerra cognitiva e della complessità e fluidità dell’informazione l’intelligence tradizionale non ha una cultura adeguata poiché il sistema di credenze su cui si fonda si basa sulla raccolta informativa e sull’analisi in due tempi, non più adatta all’estrema velocità dei conflitti cognitivi. In altri termini la capacità di dare un senso informativo in tempo reale è il fondamento stesso della guerra cognitiva e, dunque, occorre migliorare e velocizzare il sistema di controllo. Il controllo dei flussi informativi è determinante per la vittoria ed è obsoleto continuare a ritenere che la distruzione delle infrastrutture di notizie possa veramente liquidare l’avversario. È molto più realistico, semmai, porre in essere la contro-intossicazione informativa. In un contesto liberalizzato e balcanizzato esiste la dispersione. L’efficienza si decide sempre più sulla padronanza delle capacità cognitive decentralizzate e sempre meno sul controllo piantonesco dell’infrastruttura informativa. L’economia delle forze, nell’ambito del conflitto politico moderno riposa su una padronanza di sistemi cognitivi fra loro molto diversi ma interconnessi. L’eventuale imposizione di uno schema unico di interpretazione non è una strategia ma è la morte della strategia stessa. Di fronte a noi abbiamo i giorni dell’avvenire…
La definizione di IC si rivela un concetto “relativo” (al tempo, allo spazio, alle contingenze, a chi effettua la definizione, agli interessi da proteggere, alla normativa, ecc.) e, in ogni caso, qualunque attività in un Sistema Paese può, in certi casi, essere critica a vari livelli. Banalmente ogni attività è comunque ‘critica’ verso il proprio operatore, che di essa vive e attraverso essa garantisce la sopravvivenza della propria azienda con tutti gli aspetti connessi. Detto ciò, qualunque azienda, dalle multinazionali alle PMI, può avere interesse ad analizzare scenari relativi per esempio al proprio possesso, anche parziale, da parte di attori stranieri, oppure relativi all’influenza, all’ingerenza e al profilamento di clienti e dipendenti che competitor, stranieri e non, possono perpetrare nei suoi confronti. L’analisi previsionale supporta anche le attività di marketing, la creazione e la protezione di immagini e brand, la valutazione della probabilità di interesse da parte di competitor sul proprio know how, la possibilità di operare il cosiddetto jamming o intossicazione informativa, ecc.. Consente, inoltre, di operare un reverse engineering (una sorta di analisi ingegneristica che dal risultato finale risale al progetto iniziale) per la comprensione degli “attacchi” eventualmente subìti da tutti i punti di vista.
È stato chiesto dall’autrice agli Ingg. Giancarlo Caroti e Marino Sforna, esperti di protezione infrastrutture critiche e membri della Associazione esperti IC italiani (AIIC), il loro parere in merito al concetto di sicurezza “adattativa” e dell’uso dell’analisi previsionale. “Partendo da una definizione generica ma efficace (una strategia di difesa si ritiene “adattiva” in quanto flessibile, nel senso di risultare costantemente appropriata alla situazione di rischio), l’obiettivo è declinare in un contesto di servizi vitali per la collettività, quali meccanismi organizzativi e tecnologici possono elevare prassi di protezione storicamente radicate nel tessuto aziendale al grado di adattative. Prendendo come esempio il settore Energy ed in particolare quello delle grandi reti integrate su base sovranazionale per il trasporto dell’energia elettrica si tratta, in sostanza, di delineare una nuova filosofia di protezione e di renderla attuabile e concreta all’interno delle tante di iniziative e dei processi avanzati che gli operatori elettrici europei hanno sempre curato per le loro attività di operations. Nelle esperienze vissute nei grandi operatori di rete elettrica europei, sono almeno due i piani operativi di analisi: (1) il piano della gestione in condizioni di sicurezza di “grid” sempre più interconnesse ed esercitate in condizioni di stress crescenti e (2) il piano della sicurezza del layer ICT a sostegno delle attività giornaliere di esercizio, all’interno del quale va rapidamente a rappresentare un componente ad alta criticità il nuovo tema della cyber-security. Storicamente, il piano (1) ha avuto una grande tradizione ed ha portato a studiare ed introdurre nel tempo strumenti e metodologie sempre più sofisticate, tra cui le più recenti volte ad implementare schemi finalizzati ad anticipare elementi condizionanti per la dependability dell’infrastruttura elettrica. Un esempio sono i sistemi di protezione della tipologia Wide Area Measurements - WAMS, basati sull’impiego in campo di apparati ad alta sensibilità, denominati Phasor Measurement Units - PMUs. Il principio è quello del controllo contemporaneo e sincronizzato di qualche parametro indicativo (Key index) in più punti della stessa rete. Nel caso elettrico il sistema WAMS elettrico controlla ampiezza e fase del vettore tensione in diversi nodi elettrici. La diagnosi del funzionamento del sistema elettrico deriva dal confronto tra loro dei vari vettori essendo il singolo vettore privo di significato. Questo esempio, può essere mutuato in tutti i sistemi complessi, siano essi sistemi informatici o reti di comunicazione. L’obiettivo è quello di individuare una variabile di controllo distribuita nei vari nodi del sistema ed effettuarne il monitoraggio periodico attribuendo alle misure un parametro di confronto, come un tag temporale. In merito al piano (2), negli ultimi anni la progressiva pervasività delle nuove tecnologie nei processi di monitoraggio, controllo e difesa dei grandi sistemi elettrici ha portato in evidenza, accanto agli storici aspetti di ICT reliability, temi più articolati di ICT reliability&security, con la rincorsa verso misure organizzative, fisiche e logiche sempre più sofisticate ed orientate a incidere in fase di prevenzione e rilevazione degli incidenti informatici, intenzionali e non. A livello Paese, come a livello di IC pubbliche e private, le strategie di cyber-security hanno, così, iniziato ad intersecare sempre più spesso le strategie di lotta al cyber-crime, creando le condizioni per un rafforzamento dei presìdi specialistici e dei modelli di governance e la ricerca di strumenti che possano anticipare condizioni di emergenza o crisi delle reti e dei sistemi industriali. D’altra parte, è innegabile che la maggiore consapevolezza del ruolo delle IC nella vita di un Paese le faccia diventare sempre più bersagli di attacchi, in una sorta di operazioni di “guerra a bassa intensità”. Due le direttrici di azione comuni ad (1) e (2): il rafforzamento delle tecniche di simulazione e diagnosi dello stato di esercizio – da un lato della rete elettrica e dall’altro delle reti ICT – e metodi di analisi delle condizioni al contorno e di ascolto di una moltitudine di segnali che possono innescare perturbazioni dello stato di sicurezza e situazioni di pericolo. È facilmente intuibile che l’efficacia delle iniziative dipende in larga parte dalla possibilità di agire in sinergia con i soggetti pubblici e privati che vivono identiche condizioni di rischio; sul fronte del piano (1), quindi, i soggetti che partecipano al funzionamento del sistema elettrico nazionale e di quelli che oltreconfine risultano mutuamente dipendenti, sul fronte del piano (2) invece, con una platea molto più ampia di soggetti che popolano quella vasta area di “interazioni” che rappresenta il dominio del cyber-space. Per le dinamiche innovative che lo caratterizzano, il livello (2) rappresenta l’area che più si presta ad alcune considerazioni sul presente e sul futuro. Ovviamente, per la vastità del contesto di influenza e per essere, di fatto, un’area in cui si incontrano anche casualmente elementi che hanno obiettivi del tutto diversi, le interazioni e le condivisioni con le comunità che affrontano identiche problematiche risulteranno elementi di forza; tutto ciò ovviamente in attesa che l’attuale ridotto grado di aggregazione cresca, spinto magari da iniziative istituzionali europee e nazionali e si generino sinergie sul fronte della ricerca, cooperazioni su quello delle normative e degli standard, scambi sul fronte delle esperienze e degli incidenti vissuti. Deve passare ad ogni livello il concetto che, in ambito sicurezza, solo la condivisione degli sforzi, delle esperienze e delle informazioni può dare risultati positivi; strutture che agevolino collaborazioni pubblico-privato anche con la costituzione di Information Sharing and Analysis Center, di settore (vedi Electricity Sector Information Sharing and Analysis Center - ES-ISAC) o su base locale (vedi Pennsylvania Information Sharing and Analysis Center - PA-ISAC) giocheranno un ruolo importante. In attesa di un tale scenario “facilitatore”, le aziende che vogliono rafforzare le proprie difese contro i rischi provenienti dal cyber-space devono agire autonomamente, sfruttando qualche primo sostegno esterno autorevole, ma prioritariamente devono darsi un assetto adeguato sul piano organizzativo e, a seguire, istanziare un processo sistematico sostenuto dalle nuove tecnologie, in grado di anticipare ogni tipo possibile di analisi a momenti precedenti ad un incidente. L’organizzazione così, anche senza le opportunità date da rapporti fluidi e relazioni veloci con tutte le altre entità potenzialmente interessate, ma contando su un team essenziale e molto focalizzato, può avviare varie attività di ascolto dei segnali deboli, dagli eventi catturabili sui sistemi di sicurezza perimetrale e correlabili rapidamente in volumi enormi (cfr. SIEM o SEM) anche con dati provenienti da altre sorgenti, alle fonti informative specializzate, alle fonti pubbliche più generaliste, supportate da idonee tecnologie. Come conclusione, ed in parte auspicio, andare verso l’adozione di software con codice “open source” permetterebbe meccanismi di Knowledge Sharing e di collaborazione non possibili nell’attuale scenario caratterizzato dai software proprietario e/o chiuso”.
Risulta, da quanto riportato, che le Aziende si muovono sempre più verso una sicurezza basata sulla continua analisi informativa, analisi che richiede indubitabili sforzi sia dal punto di vista del reperimento delle informazione che dal punto di vista della analisi ragionata delle stesse. Spesso l’analisi previsionale deve essere integrata, per motivi economici e di efficienza, da apporti esterni di tipo outsourcing (esternalizzazione di tutta o parte delle attività) e di tipo cooperativo (settoriale, intersettoriale, pubblico-privato), come detto anche dai colleghi su citati. A tal proposito moltissimi Stati hanno organizzato ISAC (Centri di condivisione e analisi delle informazioni) a livelli settoriali e intersettoriali, realizzando partnership pubblico-private per la condivisione delle informazioni non classificate [ENISA] e [WP-017].
Il Prof. Umberto Saccone, Senior Vice President, Corporate Security di Eni così articola il tema:

Il concetto di protezione, quale fine delle attività di security tese a tutelare infrastrutture, asset, persone e continuità dei processi produttivi, è intrinsecamente connesso alla nozione di flessibilità. Nella misura in cui la protezione di un’infrastruttura, per essere efficace, debba tener conto anche dell’evoluzione delle vulnerabilità e degli scenari di rischio, la duttilità diviene una modalità attuativa imprescindibile della strategia di mitigazione dei rischi e della modulazione del dispositivo di security. In aziende complesse, tale approccio “evolutivo” nella protezione di infrastrutture, processi e persone, trova attuazione in un modello di gestione dei rischi di security, che è idoneo ad analizzare, con ciclicità continua, le vulnerabilità e gli scenari, allo scopo di adottare idonee misure di mitigazione. Per un’impresa del settore oil & gas, in particolare, la gestione di infrastrutture, business e processi in molteplici Paesi e/o contesti locali, fortemente diversificati l’uno dall’altro, rende la variabile ambientale un fattore determinante per l’approccio adattativo-evolutivo nella valutazione dei rischi e nella predisposizione delle idonee misure di protezione. Infatti, le dimensioni internazionali e le conseguenti peculiarità locali dal punto di vista dei fattori criminali, sociali e politici delineano scenari operativi potenzialmente diversificati per ciascuna infrastruttura/asset, che impongono di adottare strategie di mitigazione dei rischi di security opportunamente modulate, anche in conformità alle normative nazionali ed internazionali applicabili. L’aspetto “adattativo”, coniugato con l’analisi previsionale sugli scenari di rischio, costituisce una modalità rilevante della protezione delle infrastrutture, poiché consente di modulare la strategia di protezione con finalità sia preventive (predisponendo le idonee misure di security in anticipo rispetto all’evento paventato), sia contingenti (minimizzando le conseguenze degli eventi che si siano concretizzati). In tale ottica, l’adozione di strumenti e metodologie che, applicate con prudente ponderazione, consentano di anticipare le presumibili evoluzioni dei fattori che condizionano gli scenari di rischio, offre un valido sostegno al processo decisionale di security, in cui la conoscenza predittiva può essere utilizzata per ottimizzare anticipatamente la protezione delle infrastrutture, ponendo l’azione di security prima dell’evento. L’analisi sullo sviluppo degli scenari assume un significato ancor più concreto, ove si consideri che spesso si opera in contesti non di rado caratterizzati da elevata volatilità (3). Parimenti, la modalità adattativa delle strategie di security è un principio talmente rilevante, da esser recepito nei documenti di più alto rango normativo, in cui si statuisce che, ai fini di un’efficace gestione del rischio di security, uno degli elementi da considerare è proprio la “flessibilità, nella misura in cui essa tenga conto dei fattori umani e sia capace di rispondere ai mutamenti di scenario…”. Pertanto, in un approccio di protezione delle infrastrutture che si basi sulla centralità dell’analisi degli scenari, funzionalmente all’obiettivo di modulazione adattativa delle misure di sicurezza, l’impiego degli strumenti sottesi alle principali metodologie di analisi previsionale (competitive intelligence, business intelligence, Open Source INTelligence, per citarne alcune) consente di acquisire informazioni che, opportunamente ponderate, elaborate e correlate, offrono un quadro conoscitivo di supporto al processo decisionale di security, indirizzandone anche i relativi investimenti. In tale ottica, il security manager, utilizzando la conoscenza di peculiari scenari e vulnerabilità, può ottimizzare l’investimento di security (4) ricorrendo alla tipizzazione degli scenari, cui corrispondano “pacchetti” standardizzati di misure di sicurezza, e privilegiando l’utilizzo di dispositivi di security “scalabili”, integrabili, e di intensità modulabile, in funzione delle presumibili evoluzioni degli scenari(5).

Avuto riguardo alla interdipendenza delle infrastrutture, quale potenziale sorgente di effetti domino in caso di eventi critici afferenti alla funzionalità, alla continuità ed all’integrità delle infrastrutture stesse, e considerata altresì la strumentalità di talune infrastrutture – tra cui quella energetica (6) – all’interesse nazionale, si reputa utile un momento di “incontro metodologico” tra gli Attori, sia pubblici sia privati, a vario titolo coinvolti nella gestione e protezione delle infrastrutture. Infatti, in virtù della comune finalizzazione all’interesse nazionale, si ritiene che, in prima istanza, sarebbe necessaria una standardizzazione di linguaggi, modelli e metodologie per l’analisi dei rischi tra i vari Attori coinvolti, sì che sia condiviso un linguaggio comune, che agevoli il coordinamento, l’efficacia e la tempestività di interazione, in caso di emergenza e/o crisi. In seconda battuta, si guarda con favore alla costituzione di organi permanenti di PPP - public private partnership, in cui gli Attori pubblici e privati coinvolti nel tema della protezione delle infrastrutture siano chiamati a partecipare in forma strutturale, per la condivisione di informazioni, per il coordinamento con gli altri Attori, per l’attuazione di una compiuta collaborazione info-operativa con gli Organi dello Stato (Ministero dell’Interno, Servizi di Sicurezza, locali Forze di polizia, per citarne solo alcuni), per favorire l’integrazione dei dispositivi di sicurezza privati con quelli pubblici, per condividere early warnings, componendo sinergicamente l’obiettivo di tutela delle singole infrastrutture con il comune obiettivo di protezione della sicurezza e degli interessi del sistema Paese. La promozione di collaborazioni con gli Interlocutori di security, siano essi pubblici o privati, dalle quali possono derivare benefici reciproci, rientra appieno nelle policies di Eni, che persegue, in modo socialmente responsabile, la massima integrazione pubblico-privato. Inoltre, nella misura in cui la protezione delle infrastrutture critiche si collochi nella più ampia cornice della c.d. homeland security e della tutela di settori industriali strategici del Paese, può valutarsi l’impiego dell’intelligence a supporto del processo decisionale e di eventuale intervento dello Stato, in presenza di operazioni economico-finanziarie di rilievo che coinvolgano – appunto – le infrastrutture strategiche. Infatti, non può escludersi che investimenti o acquisizioni di realtà economiche nazionali ad alta rilevanza strategica, da parte di entità fisiche o giuridiche estere, dissimulino fenomeni di spionaggio industriale, o comunque la volontà di trasferire asset critici sotto il controllo di entità straniere, deprivando così il Paese di know how tecnologico, di capacità competitiva e del “governo” delle infrastrutture critiche, con potenziali ricadute anche sulla sicurezza nazionale (7). In tale ottica, si ritiene utile la valorizzazione dell’intelligence quale strumento che, in caso di operazioni societarie e/o investimenti esteri su infrastrutture strategiche nazionali, possa fornire un adeguato quadro informativo al Governo (8), consentendo a quest’ultimo di comprendere quali siano le reali intenzioni dell’investitore estero e se le sue azioni siano “ostili” alla sicurezza ed agli interessi nazionali. Tale approccio potrebbe rivelarsi particolarmente proficuo nei settori caratterizzati da una forte competizione internazionale, tra cui quello energetico.

Sul piano delle metodologie che si reputano più efficaci per la protezione delle infrastrutture critiche, appare fondante il concetto dell’integrazione, nell’accezione che l’efficacia debba essere valutata globalmente, e riferita ad un complesso integrato, armonico ed interconnesso di misure di sicurezza (attiva, passiva ed organizzativa, definite in funzione del peculiare scenario operativo dell’infrastruttura), piuttosto che a singole componenti isolatamente considerate. Si ritiene auspicabile l’intervento governativo per incentivare, su scala nazionale e con il necessario coordinamento internazionale: - la definizione di standard e specifiche di carattere tecnico e/o ingegneristico, che precisino i contenuti minimi delle tecnologie di sicurezza utilizzabili per la protezione di infrastrutture; - la ricerca e lo sviluppo di soluzioni tecnologiche di sicurezza focalizzate sulle peculiarità delle infrastrutture (specificità dei rischi, estensione territoriale, interconnessione con altre infrastrutture, etc.); - l’utilizzo di piattaforme tecnologiche modulari ed “aperte”, al fine di massimizzare la flessibilità gestionale di security e l’integrazione fra sistemi di sicurezza di infrastrutture interconnesse; - lo sviluppo di tecnologie per la protezione delle reti IT, strumentalmente sottese all’operatività delle infrastrutture, sulla scorta delle crescenti criticità di tipo cyber (9); - la creazione di certificazioni ad hoc per i modelli organizzativi-gestionali della security e per le relative professionalità; - le iniziative di diffusione, negli ambiti pubblici-privati coinvolti, di una cultura della sicurezza (addestramento del personale, sensibilizzazione e iniziative di preparedness & awareness calibrate sul settore delle infrastrutture critiche); - la definizione di linee guida e/o documenti di indirizzo per la redazione dei piani di sicurezza, tenendo adeguatamente conto della possibile convergenza di diverse prescrizioni normative, nazionali e sovranazionali, sulla materia.

La protezione delle infrastrutture critiche è uno degli aspetti della protezione strategica del Sistema Paese e della sua continuità operativa. La definizione di IC si rivela comunque un concetto “relativo” (al tempo, allo spazio, alle contingenze, a chi effettua la definizione, agli interessi da proteggere, alla normativa, ecc.) e in ogni caso qualunque attività in un Sistema Paese può, in certi casi, essere critica a vari livelli. Banalmente ogni attività è comunque “critica” verso il proprio operatore, che di essa vive e attraverso essa garantisce la sopravvivenza della propria azienda con tutti gli aspetti connessi (stakeholder, indotto, impiegati, utenti e clienti, contributo al PIL, ecc.). L’analisi previsionale (sia essa operata inside all’azienda, in outsourcing o in condivisione con aziende del settore attraverso meccanismi di information sharing) si rivela una attività fondamentale in qualunque processo di protezione/sicurezza per rendere efficace ed efficiente l’allocazione delle risorse disponibili e per ottimizzare il rapporto costi/prestazioni delle attività di incremento della robustezza e della resilienza del proprio business, oltre che per effettuare ragionate decisioni sul rischio residuo.

- Umberto Saccone, La security aziendale nell’ordinamento italiano, Gruppo Il Sole 24 Ore, 2010. - Umberto Saccone, Il ruolo del Security manager, Rassegna dell’Arma dei Carabinieri, giugno 2010. - Umberto Saccone, Il dovere di protezione dei lavoratori, Orizzonti, 2012. - Nassim Nicholas Taleb, Il cigno nero, Saggiatore, 2007. - [IDSEC] Luisa Franchina, Alessia Amodio, L’identità digitale e le infrastrutture critiche - intervento 2° ID Security - Mostra convegno sulla sicurezza dell’identità digitale, Information Security (www.edisef.it). - [DOMINO] Luisa Franchina, Marco Carbonelli, Maria Crisci, Laura Gratta, Daniele Perucchini, An impact-based approach for the analysis of cascading effects in Critical infrastructures, Int. J. Critical Infrastructures, Vol. 7, No. 1, 2011, pp. 73-90. - [QOS] Linea Guida su: Qualità del servizio nelle reti TLC, ISCOM, AA.VV. 2005. - [STR] Giancarlo Ciccarella, Piero Marietti, Alessandro Trifiletti, Strumentazione e misure elettroniche, Masson 1993. - [DIR] Direttiva del Consiglio relativa all’individuazione e alla designazione delle Infrastrutture Critiche europee e alla valutazione della necessità di migliorarne la protezione, n. 114/08 CE, Bruxelles, dicembre 2008. - [DHS1] National Infrastructures Protection Plan, Department of Homeland Security, 2009, http://www.dhs.gov/xlibrary/assets/NIPP_Plan.pdf .
- [ANR] Linea Guida su: Sicurezza delle reti e dell’Informazione, dalla analisi alla gestione del rischio, ISCOM, AA.VV. 2005.
- [ANR2] Linea Guida su: Approfondimenti dell’analisi dei rischi, ISCOM, AA.VV. 2006.
- [ISA1] A Functional Model for Critical Infrastructure Information Sharing and Analysis, ISAC Council White Paper, January 31 2004.
- [ENISA] Cooperative Models for Effective Public Private Partnerships - Good Practice Guide 2011.