Cybersecurity, in caso di attacco non seguite l’esempio del ministero della Difesa

Dovremmo riscoprire la serietà, valore che dalle nostre parti si è eclissato da tempo. Grand commis, generaloni e manager di vario genere, che – punti nel vivo – si affrettano a smentire qualsivoglia notizia che possa riguardare la fragilità dei rispettivi sistemi informativi, dovrebbero prendere esempio da Soren Skou, amministratore delegato della Maersk Line.

Immaginando questi illustri signori con l’abito talare di don Abbondio domandarsi chi sia mai il Carneade di questo articolo, mi affretto a spiegare che il signor Skou è l’amministratore delegato della Maersk Line. Il tizio in questione, al vertice di una delle più importanti compagnie di trasporto via container e di logistica nell’industria estrattiva, ha pensato bene di informare gli investitori che il ransomware NotPetya ha causato un danno stimabile in 200-300 milioni di dollari. In un mondo in cui tutti si nascondono dietro un dito, finalmente qualcuno che in totale trasparenza ammette che le proprie misure di sicurezza non sono state all’altezza delle sempre più mutevoli minacce sul fronte tecnologico, che qualcosa non ha funzionato come invece previsto, che qualcuno ha sbagliato.

Il gruppo imprenditoriale Maersk il 28 giugno scorso aveva già comunicato ufficialmente di aver subito un attacco cibernetico e che molti dei suoi sistemi informatici erano paralizzati. A titolo cautelativo erano stati “spenti” gli apparati non ancora contaminati al fine di arginare la propagazione della micidiale infezione virale, mentre il management aveva immediatamente coinvolto i partner informatici e le più qualificate realtà di consulenza per fronteggiare un’emergenza impossibile da non riconoscere. La dichiarazione coram populo dei possibili 300 milioni di mancati introiti causati da questo incidente hi-tech sono una coraggiosa testimonianza di coscienza del problema e di grande responsabilità.

Il giro d’affari del gruppo Maersk ne ha risentito per circa 15 giorni, fino alla metà di luglio, con riverberazioni sugli utili del terzo trimestre 2017. Il comunicato spiega che ci sono voluti due giorni per riacquisire prenotazioni e ordini ricevuti in precedenza e diventati inaccessibili, e precisa che non ci sono state riverberazioni su dati di soggetti terzi. Maersk Line, evidenziando di non aver pagato il famoso riscatto di 300 dollari in bitcoin, ha riconosciuto che gli inconvenienti subiti sono riconducibili a ben determinate vulnerabilità di Windows e all’erronea convinzione che i programmi antivirus sarebbero stati sufficienti a scongiurare i problemi che invece si sono verificati.

Possibile che in Italia nessuno – istituzioni e imprese – abbia il coraggio di riconoscere la propria fragilità? La recente reazione piccata del ministero della Difesa all’inchiesta del quotidiano La Repubblica, di cui ho già parlato, è uno sconfortante indizio di immaturità. Ostentare muscoli (frutto di steroidi e non di sano esercizio) è quanto meno commovente, soprattutto a proposito di circostanze che possono avere troppi testimoni o che non sono ancora state raccontate nella loro totalità proprio per non recare pregiudizio. E’ una sorta di regola aurea, che i più dotti sintetizzerebbero nell’aulica espressione romana “fare pippa“.

Proclami da MinCulPop lasciano il tempo che trovano e – peggio – solleticano malintenzionati, pronti a dar prova della loro bravura o semplicemente whistleblowers in attesa di un’occasione per raccontare dettagli o altre storie.

La quinta dimensione della guerra (dopo terra, mare, cielo e spazio), quella dell’informazione, è una cosa seria. Non seriosa. Qualcuno lo dica a chi di dovere.

Una mossa sbagliata in termini di comunicazione è l’equivalente del “fuoco amico” che di vittime ne miete già abbastanza.