Regione Lazio, la Waterloo hi-tech è una dolorosa lezione

Chi parla di evento epocale probabilmente non ha idea di quel che può davvero succedere. Il caso della Regione Lazio è soltanto un finger food di un faraonico pranzo nuziale del “boss delle cerimonie” di televisiva memoria. L’assaggino ha comunque dato l’opportunità di parlare in toni ragionevolmente preoccupati di un problema che i tanti “miles gloriosus” della cybersecurity hanno sempre dichiarato essere sotto controllo.

Mentre tutti danno la caccia ai pirati informatici che hanno impietosamente mortificato la sicurezza nazionale, fossi Nicola Zingaretti e avessi un fucile a pompa girerei per i corridoi della Regione per scovare i dirigenti cui spettava evitare una simile apocalisse. Non vedo il Presidente nei panni del “canaro” della Magliana, ma sarei portato a giustificare certi suoi “eccessi” finalizzati a scoprire quanto si è speso per proteggere i dati e a sapere a chi sono finiti i soldi che il contribuente era felice venissero impiegati per salvaguardare la riservatezza delle sue informazioni sanitarie. Persino Quentin Tarantino avrebbe difficoltà a gestire il set di via Cristoforo Colombo: se l’efferatezza fosse mai proporzionale alla manifesta incapacità di chi ha consentito il brutale stupro digitale, nessuno avrebbe lo stomaco per superare la prima manciata di fotogrammi…

Quel che è accaduto è di una gravità inaudita non tanto per la dinamica criminale di chi ha sferrato l’attacco, quanto per l’imperdonabile mancata adozione di precauzioni tecniche, organizzative e comportamentali da parte di chi aveva il dovere di predisporre ogni misura per assicurare l’impenetrabilità e l’integrità dei dati sensibili di milioni di persone. Non sarà difficile individuare i fornitori, leggere i relativi contratti e affidamenti, prendere atto delle procedure di selezione/valutazione/collaudo, verificare le dinamiche di sensibilizzazione e di formazione degli utenti che notoriamente sono l’anello debole dell’architettura di sicurezza, chiedere ai responsabili amministrativi e tecnici cosa hanno combinato e così a seguire.

Una intrusione di questo genere deve essere analizzata in maniera severa e costituire una dolorosa lezione da tenere presente per il futuro (e forse non c’era affatto bisogno di aspettare un tale casino per prendere iniziative…).

Dopo un draconiano repulisti “locale”, sarà il caso di dare un’occhiata al quadro di insieme della cybersecurity tricolore. La Waterloo hi-tech in questione chiama inesorabilmente in causa chi siede alla regia della protezione da queste minacce, a cominciare dalle articolazioni della Presidenza del Consiglio dedicate allo svolgimento del delicato mestiere di prevedere, allertare, istruire e coordinare le difese. Forse è il caso di posare le trombette, i cappelletti di cartone con l’elastico sotto al mento e le stelle filanti che finora hanno caratterizzato l’euforica atmosfera dell’imminente varo della Agenzia Cyber.

Un mese e mezzo fa sul sito del Governo si era parlato dell’imponente ampliamento del cosiddetto “perimetro di sicurezza cibernetica nazionale”. La sanità – insieme a energia, telecomunicazioni, trasporti e finanza – rientra nelle cosiddette infrastrutture critiche e quindi il campo di battaglia di questi giorni “sembra” includere il sistema informatico della Regione Lazio. Il 15 giugno scorso c’era persino chi aveva titolato “Blindate 223 funzioni essenziali dello Stato”. Se i server oggi ko erano ricompresi nel novero delle risorse “corazzate”, qualcosa non ha funzionato. Se quei sistemi erano il numero 224 o altro successivo, qualcuno dovrà spiegare perché non gli è stata data sufficiente importanza. La competenza regionale in materia di salute non potrà essere una buona scusa.