Sicurezza informatica, perché serve un cloud europeo

La versione in inglese

L’incidente di venerdì 19 luglio ha messo in evidenza come una negligenza possa esporre le fragilità delle infrastrutture cloud globali a guasti accidentali. Immaginate cosa sarebbe potuto accadere se dietro il blocco ci fosse stato un attacco hacker coordinato. In questo caso, la causa e il rimedio erano immediatamente noti e il danno è stato comunque impressionante, si stima attorno a 5 miliardi.

Il guasto è stato innescato da una negligenza di CrowdStrike che ha rilasciato un aggiornamento automatico e fallato a milioni di computer. L’aggiornamento lavora nel cuore (kernel) del sistema operativo (microsoft windows), e non è stato sufficientemente testato per garantirne la sicurezza. Un errore in un aggiornamento di questo tipo può causare il blocco del kernel e quindi dell’interno sistema operativo, come è accaduto a 8,5 milioni di computer.

Secondo voci di Microsoft raccolte dal Wall Street Journal, questa modalità operativa risale a un accordo con la Commissione Europea del 2009, che giustamente imponeva gli stessi accessi privilegiati al sistema operativo per i prodotti Microsoft e quelli di terze parti.

Questa giustificazione poteva essere valida nel 2010, ma in 15 anni sarebbe stato possibile riorganizzare il software del sistema operativo per consentire alle applicazioni di terze parti di funzionare senza interagire direttamente con il kernel, come ha fatto Apple nel 2020.

Queste fragilità e negligenze derivano anche da un mercato del software in cui il time-to-market e le prestazioni prevalgono sull’affidabilità e sulla sicurezza. Anche la formazione universitaria spesso privilegia corsi di tecnologie alla moda, oggi quelli di machine learning, piuttosto che discipline fondamentali come l’ingegneria del software e l’affidabilità dei sistemi, relegandole a corsi opzionali e meno frequentati. Non sorprende quindi che errori umani e guasti nelle infrastrutture digitali si verifichino più frequentemente di quanto si possa pensare.

C’è una inerente fragilità sistemica nella concentrazione del mercato degli operatori del cloud. Meno di una manciata di operatori gestiscono, in media, centinaia di milioni di clienti ciascuno. Questo quasi-monopolio tende a escludere nuovi concorrenti dal mercato e crea situazioni di lock-in per gli utenti. Inoltre ogni incidente o guasto si riverbera su milioni di utenti, inclusi cittadini e infrastrutture critiche.

Questi operatori sono oggi veri e propri single point of failure per le nostre società. È quindi prioritario aumentare il numero di operatori del cloud per favorire un mercato più competitivo e resiliente.

Un incremento degli operatori non solo ridurrebbe il rischio di guasti su larga scala, ma incoraggerebbe anche migliori pratiche di sicurezza, affidabilità e interoperabilità, favorendo la diversificazione dei fornitori. Elementi che dovrebbero essere al centro delle politiche di mercato.

Viviamo infine in un’epoca geopolitica complessa, dove non esiste più una parità di condizioni sul mercato globale. Avere un settore nazionale privato del cloud in grado di competere globalmente diventa cruciale.

Il cloud rappresenta ormai per una nazione la cassaforte dei dati, il sistema nervoso delle infrastrutture critiche e la piattaforma abilitante per l’accesso e l’integrazione di nuove tecnologie come AI, quantum computing, supercomputer e IoT, rendendolo il primo asset, quello irrinunciabile, per l’autonomia strategica. In un contesto mondiale sempre più infiammato, i grandi player tecnologici sentiranno il peso delle decisioni politiche dei loro governi. Non avere almeno un operatore cloud espone una nazione a una dipendenza per l’accesso, ad esempio, a nuove tecnologie o applicazioni.

Questo include anche la decisione su quali zone del cloud rimettere in operatività in via prioritaria, poiché le infrastrutture cloud saranno i primi obiettivi di attacco, sia fisico che cibernetico, in caso di minaccia ibrida o crisi per destabilizzare o paralizzare l’avversario.

Nel 2020, Ursula von der Leyen ha dichiarato: «L’Europa deve costruire un’infrastruttura di cloud computing che sia autonoma e sicura per proteggere i dati di cittadini e imprese». Come già sottolineato su queste pagine, gli Stati membri non hanno la scala e le potenzialità economiche per favorire la nascita di tali giganti tecnologici.

Solo una strategia industriale e dei capitali unica europea e un piano industriale ambizioso e con adeguate risorse può permettere la creazione di ecosistemi industriali del cloud in Europa competitivi a livello globale, consentendo alle nuove aziende di sfruttare la potenza di un mercato europeo non frammentato.

Per raggiungere questi obiettivi, l’Ue deve riformare le sue regole operative e politiche verso una maggiore integrazione. Ogni ritardo potrebbe lasciarci impreparati di fronte a crisi future. Dobbiamo passare dall’Europa regolatoria a quella industriale in particolare nei settori critici del digitale, dello spazio e della difesa. È l’ora di trasformare parole in fatti.