Ll memorandum di Trump che apre ai privati da coinvolgere nei cyber attacchi offensivi a fini difensivi è un’eccezione in tutto il mondo occidentale dove l’Hack back in questi termini è proibito.
L’idea che aziende del settore privato partecipino a operazioni informatiche contro obiettivi criminali e di altro tipo non è nuova. Infatti è stata oggetto di controversie in passato, a causa dei timori di un’escalation, di conseguenze indesiderate e di problemi di coordinamento tra le agenzie.
Si tratta di “un’azione tipo di supporto alla polizia giudiziaria, anche se non so come si concretizzi nell’ordinamento USA”, secondo Claudio Telmon, Senior Partner – Information & Cyber Security at P4I – Partners4Innovation.
“Il punto è che esiste un ecosistema più ampio di proxy, contractor, società private di offensive cyber, gruppi criminali e hacktivisti, attraverso cui uno Stato può esternalizzare parte delle proprie capacità offensive”, commenta Pierluigi Paganini, analista di cyber security e Ceo Cybhorus.
Vediamo il confronto fra lo scenario Usa e quello italiano ed europeo, dove, secondo Marco Cartisano, avvocato penalista dello Studio Cartisano esperto di cyber sicurezza, “il Piano Crosetto dà maggiori sicurezze” rispetto all’Hack back, non permesso in nessun Paese al mondo, a parte la nuova eccezione degli Usa di Trump.
Indice degli argomenti
Memorandum di Trump: le aziende Usa possono lanciare cyber attacchi
Trump firma un memorandum che consente alle aziende statunitensi di sferrare attacchi informatici. La nuova direttiva autorizza le aziende a condurre operazioni sotto la direzione del governo. “Ma il tema non è nuovo in Usa, dove l’esercito già da oltre 25 anni opera insieme ai contractors privati”, osserva Marco Cartisano.
Il Memorandum presidenziale sulla sicurezza nazionale impone all’amministrazione del presidente Trump di «sfruttare le capacità e l’innovazione del settore privato per contribuire alla conduzione di queste operazioni informatiche sotto la direzione, il controllo e l’autorità del governo degli Stati Uniti», ha affermato la Casa Bianca.
«Il settore privato americano è il più innovativo e tecnologicamente avanzato al mondo, e la sua portata, velocità e capacità garantiscono agli Stati Uniti un vantaggio informatico offensivo fondamentale», si legge nella direttiva.
“Innanzitutto non si fa riferimento al Dipartimento della Difesa, ma a un coordinamento fra Dipartimento di Giustizia e Homeland security, quindi è vista come un’azione tipo di supporto alla polizia giudiziaria, anche se non so come si concretizzi nell’ordinamento USA”, spiega Claudio Telmon.
In secondo luogo, “si parla di ‘rispetto degli obblighi internazionali USA’, qualunque cosa voglia dire in questo periodo storico” (in cui il diritto internazionale è stato messo in freezer, ndr), aggiunge Telmon.
“Innanzitutto si dovrebbe operare in un quadro normativo ad hoc che si incroci con la normativa Privacy dei soggetti ed aziende, per capire se questo utilizzo sia un assegno in bianco e soprattutto se debbano esserci limiti legali senza inficiare i diritti dei singoli”, commenta Marco Cartisano.
Le organizzazioni criminali transnazionali nel mirino
“Grazie alla collaborazione con aziende statunitensi accuratamente selezionate e soggette alla direzione e alla supervisione del governo federale, rafforzeremo la nostra capacità di contrastare le minacce poste dalle organizzazioni criminali transnazionali (TCO) e di combattere la criminalità informatica transnazionale, le frodi e altre pratiche predatorie ai danni dei cittadini americani”, illustra il memorandum.
In una scheda informativa relativa al memorandum, la Casa Bianca ha citato attacchi ransomware, frodi finanziarie ed altri reati perpetrati da organizzazioni criminali con sede all’estero, definite nel memorandum «organizzazioni criminali transnazionali».
Il framework del memorandum di Trump sui cyber attacchi
La nota istituisce un quadro normativo che incoraggia le aziende del settore privato a stipulare accordi con altri soggetti privati, nonché con agenzie federali, statali, locali, tribali e territoriali, al fine di raccogliere informazioni sulle minacce rappresentate dalle organizzazioni criminali transnazionali e proporre operazioni informatiche per contrastare tali minacce, ha aggiunto la Casa Bianca.
Il memorandum incarica il Dipartimento per la Sicurezza Interna (DHS), attraverso il Centro di coordinamento nazionale della Task Force per la Sicurezza Interna, di creare un programma «per condurre operazioni informatiche specifiche volte a destabilizzare le organizzazioni criminali transnazionali straniere», che sarà supervisionato dal DHS e dal Dipartimento di Giustizia.
Leggendo quanto riporta la direttiva, “sembra quindi che si debbano muovere nell’alveo delle azioni di polizia (vera), concetto in qualche modo ribadito in 3.ix nella sostanza. Però, tutto è lasciato alle ‘procedure operative‘ che come tali possono essere cambiate con (maggiore) facilità“, continua Telmon.
Sotto la supervisione del governo federale, le aziende partecipanti, una volta sottoposte a verifica, condurranno «operazioni di sorveglianza informatica» e «operazioni di impatto informatico» contro obiettivi specifici, secondo quanto indicato nella nota.
Inoltre, “in sezione 3.iv parla di un ‘classified annex’, dove probabilmente c’è la sostanza; quindi, di fatto, non si sa cosa sia permesso e cosa no, anche se in quel punto si parla più di gestione dei poteri fra dipartimenti ovvero della possibilità di assicurarsi che nessuno impedisca di fare cose”, sottolinea Claudio Telmon.
Hack back: il duplice vantaggio
“Il vantaggio strategico è duplice: aumentare le capacità disponibili e mantenere una certa plausible deniability. Premesso ciò, gli Stati operano da sempre in una zona grigia che consente loro operazioni anche di hack back. Ovviamente il caso in discussione fa scuola per l’esplicita dichiarazione di intenti”, sottolinea Paganini.
In nessuna parte del mondo è permesso: ecco i rischi
“Gli impatti informatici (del memorandum di Trump sui cyber attacchi difensivi, ndr) comprendono la potenziale manipolazione, interruzione, blocco, compromissione o distruzione di sistemi informativi, reti, infrastrutture fisiche o virtuali controllate da sistemi IT, o delle informazioni in essi contenute”, secondo quanto riporta la nota.
Le aziende partecipanti dovranno costituire una cauzione o un deposito a garanzia di almeno un milione di dollari, secondo quanto riportato nella nota.
Lo scenario italiano: vediamo se da noi sarebbe possibile
In Italia le aziende private non possono assolutamente fare hacking offensivo (il cosiddetto “hack back”) per difendersi.
Nel sistema giuridico italiano, la difesa informatica deve essere esclusivamente di tipo passivo e preventivo. Qualsiasi azione offensiva o di ritorsione digitale configura gravi reati di natura penale.
Se un’azienda subisce un attacco e decide di violare o neutralizzare i sistemi dell’attaccante, rischia l’incriminazione per diversi reati previsti dal Codice Penale italiano, tra cui:
- Accesso abusivo a sistema informatico (Art. 615-ter c.p.): Punisce chiunque si introduca in sistemi protetti altrui senza autorizzazione. Non importa se il proprietario di quel sistema è un criminale.
- Danneggiamento di informazioni, dati e programmi informatici (Art. 635-bis e successivi c.p.): Riguarda il blocco o la distruzione di risorse informatiche.
- Responsabilità amministrativa degli enti (D.Lgs. 231/2001): Se l’hacking offensivo viene compiuto da dipendenti o manager per conto o a vantaggio dell’azienda (anche solo per recuperare dati o non pagare un riscatto), la stessa società subisce pesanti sanzioni pecuniarie e interdittive.
In nessuna parte del mondo è concesso alle aziende private di effettuare hacking offensivo in totale autonomia. Tuttavia, gli Stati Uniti hanno appena introdotto una storica eccezione. Da noi non possono i contractor privati di autorità pubbliche, ma ci sono zone grigie.
Cosa possono fare le aziende italiane
Le aziende italiane hanno l’obbligo giuridico e strategico di tutelarsi usando esclusivamente la cybersecurity difensiva:
- Cyber Resilienza: adottare firewall, sistemi di rilevamento delle intrusioni (IDS/IPS), crittografia dei dati e policy di backup immutabili. [1, 2]
- Ethical Hacking Autorizzato: svolgere Penetration Test e attività di Vulnerability Assessment condotte da esperti interni o esterni, ma esclusivamente sul proprio perimetro aziendale per trovare falle prima dei criminali.
- Segnalazione e Denuncia: Cooperare con la Polizia Postale e delle Comunicazioni e inoltrare in maniera tempestiva le notifiche di incidente al CSIRT Italia (Agenzia per la Cybersicurezza Nazionale) in conformità con le normative vigenti
Piano Crosetto e sicurezza nazionale
Il memorandum di Trump sui cyber attacchi difensivi ricorda in parte il Piano Crosetto, “ma l’Europa ha una normativa molto più avanzata: dalla Nis2 e dalle normative nazionali recepita dai singoli Stati, fino all’AI Act e alle normative Privacy europee che in ambito Ue sono molto avanzate e puntano sulla centralità delle persone, dell’essere umano”, spiega Marco Cartisano: “Invece, la sicurezza nazionale sta diventando un grande contenitore con un’etichetta che vuol dire tutto e niente.
Gli Stati europei potrebbe delegare la propria cyber security alle agenzie nazionali, come l’italiana Acn, però in Italia andrebbe sviluppato il Piano Crosetto che consiste nel formare un corpo di cyber security militare in tutta sicurezza con limiti invalicabili. Serve la sovranità digitale europea e un eventuale Hack back dovrebbe avvenire in un quadro europeo con una legge ad hoc italiana che stabilisca quali aziende, quali certificazioni, dove sono ubicati i server, quali i limiti di questi attacchi offensivi a limiti difensivi, se si possono usare infiltrati digitali o agenti provocatori”, conclude Cartisano.
Sicuramente con il Piano Crosetto “c’è un potenziamento, però penso si debba distinguere fra Difesa e Giustizia. Per noi almeno, il secondo opera in accordo con le strutture e gli accordi internazionali, e non mi risulta che ci sia l’intenzione di intervenire all’estero attraverso strutture private. Negli USA bisognerebbe capire meglio, probabilmente l’esercito può già usare ‘contractor’, magari stanno solo estendendo l’uso al DoJ“, evidenzia Claudio Telmon.
Partecipa alla community