Franco Gabrielli: “Inutile inasprire le pene, la cybersicurezza non è a costo zero”

ROMA — Franco Gabrielli, ex capo della Polizia, già direttore dell’Aisi, e di fatto inventore dell’Agenzia per la cybersicurezza quando era sottosegretario alla presidenza del Consiglio nel governo Draghi, dice di essere «basito». Ma non dalla cronaca di questi giorni. «Sono stupito che ci si stupisca».

Perché?

«Com’è possibile che nel 2024, in un tempo in cui le informazioni sono milioni e facili da reperire, qualcuno pensi che non esista un mercato? Nel deep e dark web da sempre c’è un mercimonio: si vendono e si comprano informazioni per danneggiare o ricattare avversari. I dossieraggi fanno parte della nostra storia. Questa indagine di Milano, d’altronde, assomiglia molto a quella di 18 anni fa sull’affaire Telecom dove, vorrei ricordare, è stato posto anche un segreto di Stato».

Dobbiamo rassegnarci, quindi?

«No, ma dobbiamo dirci la verità. Per esempio che l’aspetto forse più negativo è che questo tipo di mercato abbia come oggetto una banca dati pubblica, per altro così delicata. E qui veniamo al punto».

Quale?

«Che non è possibile buttarla come al solito in caciara gridando all’eversione, al complotto e alle teorie più fantasmagoriche. Qui è necessario prendere coscienza: il problema è che, come diceva il ministro Vittorio Colao, il 90 per cento delle banche dati pubbliche di questo Paese sono insicure. Il fatto che ci mette davanti l’indagine della procura di Milano non è certo lo spione di turno. Ma lo stato di salute delle nostre infrastrutture. È un dato di fatto che ci sono delle persone che delinquono, e direi che su questo non c’è da sorprendersi. Il dibattito non può esaurirsi qui. Dobbiamo chiederci: cosa si sta facendo perché ciò non avvenga?».

Cosa stiamo facendo?

«Io credo siano necessari investimenti importanti. Ma prima di tutto c’è un dato culturale: bisogna capire che la sicurezza costa. Inasprire le pene, creare nuovi reati, non costa invece niente. Ma non serve a nulla, se non a intercettare un dividendo di consenso immediato. Mettere mano alla sicurezza delle infrastrutture, controllarle, sanzionarle è molto più dispendioso. Bisognerebbe chiedersi: in questi anni che attività di controllo sono state effettuate? Magari avremmo evitato che qualche banca dati pubblica fosse esposta al pubblico ludibrio».

Non serve dunque cambiare le leggi?

«Inasprire le pene avrà il solo effetto di aumentare i costi delle prestazioni di chi vìola la legge. Se oggi, per acquisire dei dati, ti chiedo 5mila euro, domani te ne chiederò 20, perché è più pericoloso. La sanzione non costituisce in sé l’elemento di vera deterrenza. Che invece arriva da un’infrastruttura che risponde ai canoni di sicurezza. E da controlli e verifiche continue sui sistemi di alert».

Dall’inchiesta di Milano emerge anche la difficoltà dei controlli su ditte esterne che si occupano della manutenzione delle reti.

«Internalizzare era uno degli obiettivi che c’eravamo dati quando abbiamo costituito l’Agenzia nazionale per la cyber. Nel periodo in cui ero sottosegretario, con l’aiuto anche di alcuni procuratori, penso a Giovanni Melillo che era a Napoli e oggi è alla Dna, provai, ovviamente con perdita, a creare un server pubblico che gestisse un settore delicatissimo come quello delle intercettazioni. In questo Paese manca purtroppo il concetto di infrastruttura critica che deve essere di esclusiva competenza pubblica. Perché quelle banche dati custodiscono i nostri dati sanitari, finanziari, economici, di giustizia, la nostra libertà. Guardate, quello che ha scoperto la procura di Milano è gravissimo. Ma temo sia ancora molto poco».