Fra norma e realtà

Quando una norma nasce, lo fa con le migliori intenzioni. E se poi riguarda la sicurezza cyber, quasi certamente sarà accompagnata da un rush di entusiasmo nella convinzione che potrà cambiare il mondo.

Dopodiché, quando il mondo si dimostra ben poco reattivo e ancor meno entusiasta, vuoi per mancanza di un sistema di enforcement(attenzione: non impatta sull’entusiasmo), ecco che l’effettività sfuma rivelando il gap fra norma e realtà.

Quando viene meno il glamour, si crede un po’ meno nella norma e non c’è battito delle mani che ne salvi neanche quell’iniziale apparenza un po’ troppo fairy che mal si concilia col silicio. Silicio che sappiamo, grazie a sir Terry Pratchett, essere un elemento fondamentale per il cervello dei troll.

Parlando di troll, per l’appunto, il problema è quando la risposta istituzionale diventa accusare chiunque sollevi una critica di farlo solo per amor di polemica o provocazione. Il che ci potrebbe anche stare, ma magari dopo aver preso in carico la vexata quaestio sollevata. O indicata, alla pari di quel bambino che dice che il re è nudo.

Se, in effetti, fra intento e predicato normativo, e la sua applicazione in concreto emerge un problema non solo di fattibilità ma di effettività nel realizzare quegli intenti che nemmeno sulla carta sono prevedibilmente possibili, ecco che forse il problema è a monte. Torri d’avorio del legislatore? Platoniche ombre di burocrazie destinate al perimetro della caverna?

Forse abbiamo già scomodato troppo immobiliare filosofico. Il problema è anche a monte, ma si riverbera a valle. Laddove le cose accadono, con poca cura di compiacere l’esprit des lois o qualche norma ben scritta.

Questo, però, non significa giustificare la deregulation selvaggia, anche perché è fondata su un altrettanto erroneo ragionamento soluzionistico, sostituendo l’item “norma” con “assenza di regole”.

Non serve reinventarsi la ruota

Sebbene si parli molto spesso di innovazione disruptive e tecnologie emergenti, nel contesto cyber non serve reinventarsi la ruota ma applicare (e declinare) correttamente alcuni principi già consolidati.

Quel che evidenzia ENISA nel paradosso del ritardo operativo nonostante un’ampia produzione normativa, rende il quadro della situazione: la norma, di per sé, non plasma la realtà. Quello lo fa una gemma dell’infinito, o qualche altro artefatto di livello epico. Ma si trovano in mondi fantastici, o universi paralleli, mentre noi siamo qui a interrogarci su attacchi cyber che si sarebbero ben potuti evitare.

Certo, nel realizzare gli obiettivi individuati dalla norma, come nel caso del CRA e del PHP2Shell, la gestione della sicurezza cyber migliora. Ma c’è bisogno di “cacciavitari”, ovverosia che sanno come e dove mettere le mani, per risolvere i problemi prima che si realizzino.

Approcci concreti, per cui una norma che ci dice di mantere una corretta postura di sicurezza cyber diventa solo un qualcosa che esprime ciò che già viene fatto, battendo un high five ai giuspositivisti.

Ben vengano le attribuzioni di responsabilità, la spinta più o meno gentile, le sanzioni e tutto ciò che è l’impatto percepito di una norma veramente ben fatta. Ma prima di tutto dev’essere fatta bene, e non è cosa semplice soprattutto nella sicurezza cyber.

Dopodiché, se abbiamo bisogno che una norma ci ricordi di mantenere in sicurezza dati e sistemi, allora siamo messi molto peggio del previsto.