Intelligence, Roberto Setola al Master dell’Università della Calabria: “La resilienza delle infrastrutture critiche è una questione di intelligence”.
Rende (13.3.2024) – “Intelligence e sicurezza delle infrastrutture nazionali” è il titolo della lezione tenuta da Roberto Setola, Professore dell’Università Campus Bio-Medico di Roma, al Master in Intelligence dell’Università della Calabria, diretto da Mario Caligiuri.
Setola ha spiegato il concetto di infrastrutture critiche, definendole come un complesso di reti e sistemi che includono industrie, istituzioni e strutture di distribuzione che, operando in modo sinergico, producono un flusso continuato di merci e servizi essenziali per l’organizzazione, la funzionalità e la stabilità economica di un paese e la cui distruzione o temporanea indisponibilità, può indurre un impatto debilitante sull’economia, la vita quotidiana o le capacità di difesa.
Successivamente ha sottolineato la crescente complessità delle tematiche inerenti alle infrastrutture critiche, testimoniata da quanto previsto dalla prossima entrata in vigore delle Direttive Europee CER (Critical Entities Resilience) e NIS2 (Network and Information Security), che ampliano i settori e le aree d’intervento e regolamentazione di tale settore.
Setola ha poi precisato che c’è sempre più interesse per la protezione delle infrastrutture critiche (CIP, Critical Infrastructure Protection), sebbene non si tratti di una novità, in quanto, fin dall’antichità, sono state sempre un settore di preminente importanza, essendo state oggetto di attacchi, danneggiamenti e sabotaggi, in particolar modo in sede di strategie militari.
Questo odierno aumento di attenzione verso la necessità di proteggere adeguatamente le infrastrutture critiche é dovuta al ruolo sempre più importante che queste ultime si sono ritagliate in un mondo divenuto globale e interconnesso, a dispetto di una cultura pregressa la cui attenzione si era imposta già negli anni ’70 con la morte dell’editore Giangiacomo Feltrinelli, deceduto nel tentativo d’installare una bomba per compiere un attentato terroristico presso un traliccio dell’alta tensione elettrica.
Il docente ha quindi illustrato la differenza tra protezione degli obiettivi sensibili e protezione delle infrastrutture critiche e conseguenti visioni, precisando che non si tratta della stessa cosa. Infatti per protezione di un obiettivo sensibile s’intende la protezione di quegli asset che hanno un valore economico, simbolico e culturale tali da configurarsi come un potenziale target.
La visione è riduzionistica quando si concentra su un singolo elemento. Per protezione delle infrastrutture critiche/visione olistica invece s’intende la protezione della capacità dell’infrastruttura di erogare i servizi essenziali alla popolazione, anche in presenza di eventi avversi di carattere accidentale, naturale o doloso, ossia la protezione non della singola infrastruttura ma della possibilità che il cittadino fruisca del bene primario da essa erogato.
Quindi, si tratta di una visione olistica, globale, dove si prendono in considerazione eventi tanto di natura accidentale quanto dolosa. In tale ottica, ha proseguito Setola, la differenza non riguarda solo gli obiettivi e le strategie, ma anche l’orizzonte temporale, in quanto. nell’ambito delle CIP, un aspetto sempre più importante è la capacità di reazione post-evento, limitando il danno ed ottenere una capacità di ripresa la più veloce possibile. Inoltre, secondo il docente, l’interesse per la Critical Infrastructure Protection, può essere attribuito ai seguenti fattori: 1. crescente complessità, ossia elementi di fragilità intrinseca dovuti al fatto che le strutture sono divenute più complesse e per questo più fragili.
A tale proposito, ha citato come già nel 1984 il sociologo Charles Perrow sottolineasse che per un sistema in cui due o più guasti possono interagire in modo “imprevedibile”, si possono rendere superflui molti sistemi di ridondanza, facendo si che un evento diventi inevitabile. In altri termini, è nella complessità stessa del sistema la sua fragilità intrinseca; 2. interdipendenze, ossia nessun operatore è in grado di garantire “autonomamente” la capacità di erogare i propri servizi essenziali alla popolazione, in quanto dipende, a sua volta, dalla erogazione di servizi terzi. Questo poiché, fino agli anni ’90 ogni infrastruttura era un ente autonomo verticalmente integrato e gestito da operatori monopolistici, mentre a partire dagli anni Duemila, le differenti infrastrutture sono operate da una pluralità di soggetti ed esse appaiono interoperanti sotto molteplici aspetti. Si è passati quindi da una struttura ad “albero”, in cui un guasto in un componente si ripercuote solo su quelli gerarchicamente inferiori a quelle a “grafo”, dove sono possibili cicli di guasti negativi che creano problematiche ad altri settori; 3. la tempesta perfetta, ossia la contemporaneità odierna di diversi fattori nel mondo, quali la transizione energetica, il cambiamento climatico, la trasformazione digitale che espone le varie infrastrutture critiche a scenari non previsti e prevedibili con effetti immediati e impatti significativi, quali, ad esempio, quanto accaduto per il gasdotto Nord Stream nel Mar Baltico, che portano a dover considerare anche eventi HI-LP (High Impact Low Probability); 4. minacce ibride e dannose, ossia la necessità di gestire eventi ibridi, non solo minacce fisiche o cyber, ma anche minacce spurie come ad esempio le condotte che si possono determinare condizionando le persone. Setola ha ricordato ad esempio quanto accaduto per il TAP in Puglia, dove gli abitanti erano stati indotti, tramite i social, a credere della sua pericolosità per le loro vite, in assenza di qualsiasi riscontro scientifico valido, così da essere spinti a contrastare la realizzazione dell’opera; 5. minacce cyber, ossia la gestione di tutte le odierne grandi infrastrutture che, in realtà, sono dei sistemi cyber fisici, cioè sistemi in cui coesistono, cooperano contemporaneamente una dimensione cyber ed una fisica.
A questo proposito è emblematico l’esperimento condotto da un gruppo di scienziati americani, che simulando un attacco cyber, tramite internet, ad un generatore di corrente elettrica, alterandone la velocità, riuscivano a distruggere fisicamente quell’infrastruttura (Idaho National Laboratory, Aurora Test in 2007). Ugualmente, ha aggiunto, è accaduto con il virus informatico Stuxnet, progettato per rallentare il processo di arricchimento dell’uranio da parte dell’Iran, attaccando digitalmente le centrifughe dell’impianto di arricchimento e facendole esplodere. Infine Setola ha insistito sull’odierno impiego della dimensione cyber, precisando che questa tipologia di conflitto è stata sicuramente molto impiegata nell’attacco di Hamas contro Israele il 7 ottobre 2023, in quanto sono stati messi fuori uso tutti i sistemi di allarme ed elaborazione, così come anche nella guerra tra Russia e Ucraina, in cui, oltre ai droni, sono stati usati dagli ucraini i telefonini e le telecamere di videosorveglianza per condividere informazioni sugli spostamenti delle truppe russe. Si ipotizza, ha aggiunto il docente, che ci sia stato un maggior coinvolgimento diretto in aiuto all’Ucraina di apparati di intelligence di nazioni esterne, sfruttando il fatto che è molto difficile risalire agli autori degli attacchi informatici.
In conclusione, Setola ha illustrato la definizione di resilienza, intesa come la capacità di un soggetto critico di prevenire, attenuare, assorbire un incidente; di proteggersi da esso; di rispondervi;,di resistervi, di adattarvisi e di ripristinare le proprie capacità operative, precisando, in particolare, che è necessario fare molta attività d’intelligence per prevenire.
About Author
