“Gli Stati Uniti possiedono capacità che il resto del mondo può solo lontanamente immaginare.” Lo ha scritto Donald Trump di suo pugno, nell’introduzione alla nuova strategia nazionale di cybersicurezza pubblicata venerdì.
“I nostri guerrieri nel cyberspazio lavorano ogni giorno per assicurarsi che chiunque voglia fare del male all’America pagherà il prezzo più alto e più terribile”, ha poi aggiunto
Il tono è quello che ormai ci si aspetta. E il documento (sette pagine, orizzonte triennale) promette di modernizzare i sistemi federali, espandere le operazioni offensive e difensive e semplificare le normative. Ambizioni di vasta portata, firmate direttamente dal presidente.
Insieme alla strategia, Trump ha firmato anche un ordine esecutivo separato che incarica le agenzie federali di dare priorità alla lotta contro le frodi informatiche e i gruppi criminali transnazionali, attraverso sanzioni e pressioni diplomatiche sui paesi che li ospitano o li tollerano.
Sei pilastri e un piano ancora da scrivere
La strategia si articola su sei pilastri che coprono sia la difesa che le operazioni offensive. Sul fronte tecnico, il documento individua alcune priorità concrete: l’adozione dell’architettura zero-trust (un modello di sicurezza che non presuppone fiducia automatica ad alcun utente o sistema, nemmeno interni), il passaggio a infrastrutture cloud sicure, la crittografia resistente ai computer quantistici e la protezione dei sistemi di intelligenza artificiale.
Sul piano geopolitico, la Casa Bianca parla di diplomazia digitale e standard tecnologici internazionali per contrastare “l’influenza autoritaria nelle infrastrutture digitali”, un riferimento trasparente a Cina e Russia.
L’amministrazione afferma che “dispiegherà l’intera gamma di operazioni cyber offensive e difensive” per condizionare il comportamento degli avversari, creando incentivi affinché il settore privato aiuti a identificare e neutralizzare le reti malevole. Ma il documento è, per ammissione implicita, un documento di visione.
Le direttive operative specifiche sono rinviate a un piano attuativo che l’Office of the National Cyber Director (ONCD) sta ancora elaborando.
Chi scrive la strategia cyber e chi dovrebbe attuarla
Per capire il problema al centro di questa vicenda, occorre distinguere due strutture che spesso vengono confuse. L’ONCD è un ufficio della Casa Bianca, nell’orbita diretta del presidente: il suo mandato è definire la strategia cyber, coordinare le priorità tra le agenzie federali e consigliare il presidente. È l’ufficio che ha lavorato alla strategia pubblicata venerdì e che ora sta anche preparando il piano di attuazione.
La CISA (Cybersecurity and Infrastructure Security Agency) è un’altra cosa. Dipende dal Dipartimento per la Sicurezza Interna (DHS) ed è l’agenzia operativa: difende concretamente le infrastrutture critiche, gestisce gli incidenti informatici, condivide informazioni sulle minacce con il settore privato. È, per capirsi, l’equivalente americano della nostra Agenzia per la Cybersicurezza Nazionale.
Non si tratta di due strutture in competizione, né di un potenziamento dell’una a scapito dell’altra: sono complementari. L’ONCD indica la direzione. La CISA dovrebbe percorrerla.
L’agenzia che dovrebbe attuare la strategia è stata svuotata
Ed è qui che la retorica della supremazia incontra la realtà dei fatti. La CISA ha infatti subito tagli drastici negli ultimi mesi: ha perso almeno un terzo del personale tra licenziamenti, incentivi all’uscita e allontanamenti di funzionari di alto livello.
Il direttore facente funzioni è stato riassegnato ad altro incarico all’interno del DHS appena una settimana fa. E questa settimana è stata licenziata anche Kristi Noem, la Segretaria del DHS, il dipartimento da cui la CISA dipende.
L’agenzia che dovrebbe tradurre in pratica la visione presidenziale è, nei fatti, in uno stato di profonda instabilità istituzionale. Mentre allora si annuncia la supremazia nel cyberspazio, si smantella la struttura operativa deputata a garantirla.
Il piano delinea obiettivi ambiziosi. Rimangono però irrisolti i dettagli su come finanziarli e attuarli, in assenza di un piano operativo definito e con un’agenzia di riferimento che fatica a mantenere la propria continuità.
L’ONCD dovrà pubblicare un piano d’azione dettagliato per ciascuno dei sei pilastri: sarà quello il banco di prova reale per capire se la strategia di Trump sulla cybersicurezza è una visione credibile o un documento di posizionamento.
Fonte: Axios
