Così Biden prende il controllo del cyberesercito americano

Tenere sempre a portata di mano la valigetta di pelle nera con le istruzioni per lanciare un attacco nucleare non è più sufficiente. Il presidente americano Joe Biden avrà controllo diretto anche su un altro tipo di guerra cruciale per i futuri equilibri geopolitici, quella che si combatte ogni giorno nel cyberspazio. Alla Casa Bianca è stato infatti istituito un nuovo ufficio destinato al National Cyber Director, una figura con il compito di coordinare gli sforzi dei diversi organismi federali nel campo della cybersicurezza. A ricoprire il ruolo sarà Chris Inglis, un veterano dell’Air Force con alle spalle trent’anni di carriera nella National Security Agency (Nsa), un’organizzazione interna al dipartimento della Difesa che si occupa in particolare di crittografia ed intelligence nell’ambito della comunicazione. La scorsa settimana la nomina di Inglis è stata approvata all’unanimità in Senato, a dimostrazione del rispetto di cui gode a Capitol Hill al di là delle divisioni tra partiti. E a prova del fatto che la cybersicurezza è ormai una priorità indiscussa e urgente, anche se l’ex presidente Donald Trump l’aveva tenuta fuori dalla Casa Bianca. Continuità con Obama La nomina di Inglis rappresenta piuttosto un segno di continuità con l’amministrazione di Barack Obama, sotto la quale era stata creata una posizione da coordinatore per la cybersicurezza all’interno del Consiglio per la sicurezza nazionale, l’organo con il quale il presidente si confronta per prendere decisioni in materia di sicurezza nazionale e politiche estere. Nel 2018 Trump ha deciso di sopprimere quella posizione definendola «non necessaria», mentre era sempre più palese che le elezioni che aveva vinto fossero state influenzate da attacchi di hacker russi. È anche in risposta alla decisione di Trump che la Cyberspace Solarium Commission (Csc) – organismo bipartisan creato appunto dai membri del Congresso per affrontare le minacce dal cyber spazio – aveva raccomandato l’istituzione di una posizione come quella appena assunta da Inglis (che del Csc era membro). Al momento a Capitol Hill non sono ancora state definite le autorità specifiche del nuovo ufficio, e non è neppure ancora stato stabilito il budget che avrà a disposizione. Biden ha proposto 15 milioni di dollari, ma deve ancora arrivare l’approvazione del Congresso. L’idea è che alle dipendenze del National Cyber Director vengano assunte 75 persone. Falsa percezione di cybersicurezza In una recente intervista al podcast “On the Cusp” dell’American Enterprise Institute – un think tank conservatore di Washington – Inglis ha spiegato che c’è una diffusa e radicata convinzione che «i sistemi siano sufficientemente resilienti e robusti e che non richiedano molta protezione, a patto di essere ben progettati e costruiti. Ovviamente non è vero». Il cyberspazio è piuttosto la versione virtuale del Wild West: appena abbassi la guardia puoi essere colto di sorpresa da aggressori che non hai neppure visto arrivare. In un’altra intervista dello scorso anno alla rivista accademica Strategic Studies Quarterly, Inglis aveva parlato di «milioni di intrusioni» che ostacolano le attività quotidiane più diverse, dalle transazioni finanziarie ai sistemi elettorali. «Facciamo ogni giorno esperienza di un cyber Pearl Harbor. Soltanto non si tratta di un evento registrato e condiviso nella coscienza collettiva degli americani». A meno che, come accaduto nelle ultime settimane, non si manifesti nella “vita reale” in modo così concreto da coinvolgere potenzialmente chiunque. Come ha sintetizzato in un’intervista televisiva l’ex direttore dell’agenzia federale per la cybersicurezza (Cybersecurity and Infrastructure Security Agency) Christopher Krebs: «Hanno preso di mira il nostro gasolio e i nostri hot dog. Qui nessuno è escluso». Infatti, dopo gli attacchi eclatanti a SolarWinds e a Microsoft, a inizio maggio un altro cyberattacco ha costretto alla chiusura temporanea di un oleodotto di quasi 9mila chilometri che partendo dal Texas fornisce carburante a circa metà della East Coast, fino al New Jersey e a New York. Poche settimane dopo gli stabilimenti statunitensi del più grande produttore di carne al mondo – la società brasiliana Jbs – sono andati offline per un giorno mandando in tilt tutte le attività. Le fabbriche di carne bovine sono state costrette a sospendere la produzione, mentre quelle di carne di maiale e pollame hanno subito interruzioni. Secondo le indagini condotte dall’Fbi gli hacker apparterrebbero ad organizzazioni criminali russe, che sarebbero riuscite ad agire con il tacito accordo del Cremlino. In entrambi i casi si è trattato di azioni condotte con un ransomware, un tipo di dispositivo in grado di crittografare dati e bloccare interi sistemi, chiedendo poi un riscatto (ransom). La Jbs ha accettato di pagare l’equivalente di 11 milioni di dollari in bitcoin per proteggere i propri dati e quelli dei clienti. Sicurezza aziendale È ormai chiaro che quello che avviene nel cyberspazio può incidere tanto sul funzionamento delle istituzioni governative quanto sulle attività economiche delle aziende private. Ed è per questo, come sottolinea Inglis, che cercherà di abbattere l’idea che c’è una «sicurezza nazionale» e una «sicurezza delle aziende», ma che pubblico e privato debbano allearsi e collaborare in modo stretto per difendere le infrastrutture virtuali attraverso cui operano. Ha anche sottolineato come sia necessaria una maggiore educazione in materia di cybersicurezza da parte dei singoli cittadini. Per farlo cita l’esempio dell’automobile, uno strumento che molti utilizzano quotidianamente proprio come piattaforme e servizi informatici. Una conoscenza basilare del funzionamento del motore, o di come si cambia una ruota, può permettere di prevenire danni gravi o incidenti. Tuttavia, la strategia di difesa più importante che Inglis è determinato a sviluppare si basa sul principio di deterrenza, come la valigetta con le istruzioni per gli attacchi atomici sempre a portata di mano. D’altronde, precisa, anche dietro a ciò che avviene nel cyberspazio ci sono menti umane, che rispondono anche a sentimenti come il timore di fallire o di subire una vendetta. Anche in campo cibernetico, spiega Inglis, una strategia di deterrenza deve quindi passare da un irrobustimento delle infrastrutture, così che si scoraggi in primo luogo il tentativo di penetrarle, oltre che dalla definizione di nuove regole riconosciute e condivise a livello internazionale e dall’imposizione di sanzioni – anche pesanti – ai trasgressori. L’incontro con Putin Si sta muovendo su questa linea lo stesso Biden nei suoi impegni diplomatici, non si sa con quale successo vista l’evidente inutilità dei dialoghi avvenuti negli ultimi anni tra Stati Uniti, Russia e Cina in materia di cybersicurezza. Secondo quanto dichiarato alla stampa, nel corso del recente incontro bilaterale con il presidente russo Vladimir Putin, Biden ha definito una linea rossa, presentando una lista di sedici categorie di «infrastrutture critiche», pubbliche e private, che non devono subire attacchi. Nulla di segreto, ma parte di una lista pubblicata lo scorso anno dalla Cybersecurity and Infrastructure Security Agency che include, tra gli altri settori, salute, energia, agricoltura, servizi finanziari e sistemi elettorali (quest’ultimo aggiunto nel 2017 dopo gli attacchi subiti alle presidenziali dell’anno precedente). Nel corso dell’incontro tra i due leader, la strategia di deterrenza è passata soprattutto attraverso l’avvertimento, o meglio la minaccia. Putin, ha detto Biden, sa che gli Stati Uniti hanno un significativo potenziale cibernetico – anche se non può quantificarlo – e risponderanno ad eventuali futuri attacchi «in a cyber way». In linea con il l’umore dell’intero incontro, meramente ed esplicitamente finalizzato alla difesa dei rispettivi interessi, Biden ha raccontato di aver chiesto a Putin: «Come si sentirebbe se un ransomware mettesse fuori gioco i suoi oleodotti?». La questione, avrebbe aggiunto Biden, «non ha solo a che fare con il nostro personale interesse. Ha a che fare con il nostro interesse reciproco».