Di Anna Calabrese
ROMA. La forte dipendenza di numerosi settori economici e governativi dalle tecnologie digitali rende urgente la pianificazione di una strategia di cyber difesa e di sicurezza in costante evoluzione.
L’Associazione Italiana per la Sicurezza informatica CLUSIT ha infatti rivelato che il nostro Paese è “nel mirino” di una sorta di nuova fase di “guerra cibernetica diffusa” derivante dalle odierne tensioni internazionali e riceve circa il 7.6% (contro il 3.4% del 2021) degli attacchi globali.
L’interferenza nei sistemi informativi di Pubbliche Amministrazioni, istituzioni e infrastrutture pubbliche strettamente legate all’esercizio della sovranità statale e la possibile attribuzione della responsabilità ad Enti statali che controllano e finanziano criminal hacker di Stato rende cruciale un’analisi del cyberattacco sotto il profilo dell’uso della forza per il diritto internazionale.
Un attacco cyber è sempre in agguato
Il concetto di aggressione è definito dell’Assemblea Generale delle Nazioni Unite come “l’uso della forza armata contro la sovranità, l’integrità territoriale o l’indipendenza politica di un altro Stato”, pena violazione del granitico art 2.4 della Carta ONU.
Nel 2013 è stato pubblicato un lungimirante corpo di linee guida per inquadrare il cybercrime come uso della forza: il Manuale di Tallin della NATO tenta di identificare quali caratteri del concetto di uso della forza e aggressione possano essere attribuiti al cyber attacco al fine aggiornare la prassi internazionale in materia.
Il Centro di eccellenza per la difesa informatica cooperativa della NATO con sede in Tallin
Il Manuale afferma, infatti, che “un’operazione cyber costituisce uso della forza laddove la sua scala ed effetti sono comparabili alle operazioni non-cyber considerate tali”, in linea con quella che fu la prassi della CIG per il caso concernente le attività militari e paramilitari in Nicaragua.
L’identificazione di un atto cyber come “uso della forza” autorizza la parte lesa a rispondere secondo il principio di autotutela atta a far cessare l’illecito e i suoi effetti, mentre nel caso di un attacco armato si configura la legittima difesa secondo l’art 51.
Considerata questa possibilità risulta interessante analizzare la cyber difesa e la sua liceità attraverso un ulteriore strumento pattizio fornito, questa volta, dal Consiglio d’Europa: la Convenzione di Budapest del 2001.
Ad oggi l’unico strumento vincolante a livello internazionale in materia, definisce quando un’azione cyber costituisce un crimine, fungendo da incentivo all’armonizzazione delle giurisdizioni nazionali dei contraenti.
La disparità di capacità cibernetiche dei difensori ha comportato l’utilizzo di misure di difesa cibernetica attiva, costituita da una serie di contromisure da parte di autorità nazionali di cybersicurezza con lo scopo di identificare e neutralizzare gli attacchi in corso.
Sono in costante aumento gli attacchi cibernetici
Essa si differenzia dalla difesa “passiva” per lo spettro di attività della condotta difensiva, che si estende all’esterno della propria rete con l’obiettivo di neutralizzare una minaccia piuttosto che limitarsi alla semplice reazione alla stessa.
E’ chiaro quanto questa fattispecie di risposta possa ledere il principio di proporzionalità.
Il diritto internazionale indaga l’uso delle misure cibernetiche nei conflitti armati laddove esse si elevano a rango di uso della forza.
Ma cosa accade se le intrusioni sono volte alla difesa?
La Convenzione può essere un ottimo strumento interpretativo in questi casi poiché alcune tipologie di azioni illegali condannate dalla stessa sono spesso utilizzate nella difesa attiva: accesso illegale ai sistemi, compromissione della riservatezza dei contenuti, inserimento, alterazione, cancellazione o soppressione di dati informatici.
Queste azioni risultano in un’interferenza che si eleva a danno diretto dei sistemi in giurisdizioni straniere, in chiara violazione della Convenzione di Budapest.
Restano tuttavia legali altri strumenti difensivi in materia cyber: ne è un esempio la tecnologia del firewall, un dispositivo che permette di monitorare il traffico in entrata e in uscita utilizzando una serie predefinita di regole di sicurezza per consentire o bloccare gli eventi. Altri mezzi, invece, si situano al confine tra liceità e compromissione.
Ne è un esempio l’Honeypot, che mira ad attirare potenziali aggressori per poter indagare le intrusioni e proteggere preventivamente la propria rete.
Lungi dall’essere uno strumento perfetto, la Convenzione di Budapest lascia spazio a qualche perplessità.
L’art. 32 ha infatti destato dissapori poiché fragilizza il principio cardine della comunità internazionale della sovranità.
Esso prevede che, al fine di collaborare e condurre indagini transfrontaliere, le forze dell’ordine di uno Stato possano accedere a dati archiviati nella giurisdizione di un altro Stato, a patto che si ottenga il consenso della persona che ha la legittima autorità di divulgare i dati.
E’ manifesto quanto questa possibilità sia controversa: basti pensare che secondo determinati ordinamenti l’incitamento di una persona a fornire dati da parte delle LEA (Law Enforcement Agency) di un altro Stato è considerato una violazione di sovranità e dunque un reato penalmente perseguibile.
Si rivela critico, poi, il concetto di autorità della divulgazione dei dati: oggi ci si affida a fornitori di servizi come Google che possono destare l’interesse delle LEA straniere durante investigazioni transfrontaliere.
E’ evidente che oggi i cyber attacchi sono un’emergenza e devono essere considerati come tali dalla comunità internazionale, ancora giuridicamente troppo fragile e poco all’avanguardia su questo fronte.
L’evoluzione delle pratiche di risposta e il progresso scientifico non dovrebbero solo interessare il settore tecnico e industriale, bensì è necessario che si accompagni il processo con un’evoluzione degli strumenti giuridici per il trattamento delle nuove fragilità del nostro tempo.
La spinta che può risultare da trattati internazionali vincolanti è, dunque, fondamentale e va stimolata, tenendo sempre in considerazione, però, dei diritti sovrani e degli interessi strategici cui gli stati difficilmente rinunciano.
© RIPRODUZIONE RISERVATA
