Negli ultimi anni la sovranità digitale è diventata una priorità nelle strategie europee e nazionali. Il confronto si è concentrato soprattutto sulla collocazione dei dati, sulla disponibilità di infrastrutture cloud europee e, più recentemente, sulla capacità di sviluppare modelli e infrastrutture di intelligenza artificiale. Per Antonio Pescapè, Professore Ordinario di Reti di Calcolatori e di Data Analysis and Cybersecurity presso l’Università di Napoli Federico II, il rischio è però quello di guardare soltanto a una parte del problema. La dipendenza tecnologica, soprattutto quando riguarda i sistemi chiamati a proteggere reti e infrastrutture critiche, introduce una dimensione della sovranità che va ben oltre la semplice localizzazione dei dati.
Professore, partiamo proprio da qui: abbiamo interpretato correttamente il concetto di sovranità digitale?
A mio avviso no. Abbiamo in parte frainteso il significato stesso della sovranità digitale. Da anni il dibattito si concentra quasi esclusivamente sul cloud, sulla localizzazione dei dati, sui data center e, più recentemente, sull’intelligenza artificiale. Sono tutti temi importanti, ma rischiano di lasciare in ombra una questione ancora più decisiva. Un Paese non è realmente sovrano semplicemente perché decide dove conservare i propri dati. Lo diventa quando controlla anche le tecnologie attraverso cui quei dati vengono protetti. Ed è questo il punto che stiamo ancora sottovalutando.
Qual è, da questo punto di vista, la situazione dell’Italia?
L’Italia dispone di università eccellenti, gruppi di ricerca riconosciuti a livello internazionale, imprese innovative e competenze scientifiche di assoluto livello. Eppure una parte fondamentale della sicurezza informatica delle nostre infrastrutture critiche, delle grandi imprese e della Pubblica Amministrazione continua a poggiare su piattaforme sviluppate prevalentemente negli Stati Uniti o all’interno dell’ecosistema tecnologico israeliano.
Questo non significa muovere una critica a quelle tecnologie. Molte rappresentano semplicemente il meglio che oggi esiste sul mercato. Il problema non è acquistare tecnologie americane o israeliane, ma non avere alternative italiane o europee quando quelle tecnologie diventano infrastrutture strategiche.
Perché la provenienza di una piattaforma di cybersicurezza assume un’importanza così rilevante?
Perché una moderna piattaforma di cybersecurity non è un software che installiamo una volta e poi dimentichiamo. È un sistema che evolve continuamente attraverso aggiornamenti, nuove firme di rilevamento, modelli di intelligenza artificiale, indicatori di compromissione e regole di risposta agli attacchi.
Chi controlla questa evoluzione controlla, di fatto, una parte della capacità di difesa del Paese.
L’incidente CrowdStrike del luglio 2024 lo ha dimostrato con estrema chiarezza. Non è stato necessario un attacco informatico: è bastato un aggiornamento difettoso per provocare problemi ad aeroporti, ospedali, banche, compagnie aeree e imprese in tutto il mondo.
Il problema, però, non riguarda soltanto gli aggiornamenti. C’è anche il tema dei dati raccolti da queste piattaforme.
Le piattaforme moderne di cybersicurezza raccolgono quotidianamente enormi quantità di telemetria: processi in esecuzione, configurazioni dei sistemi, vulnerabilità, identità digitali, traffico di rete, comportamenti degli utenti e architetture delle infrastrutture informatiche.
Sono informazioni indispensabili per individuare tempestivamente un attacco e rispondere alle minacce, ma costituiscono anche una rappresentazione estremamente dettagliata del funzionamento delle nostre organizzazioni.
Proprio per questo rappresentano un asset di enorme valore anche nella prospettiva opposta: conoscere in profondità un’infrastruttura significa disporre di informazioni potenzialmente preziose per costruire capacità offensive.
A questo si aggiunge anche una questione giuridica?
La localizzazione geografica dei dati non esaurisce il problema della sovranità.
Occorre considerare anche la giurisdizione a cui è sottoposto il produttore della tecnologia. Una piattaforma può elaborare o conservare dati in Europa, ma il soggetto che la controlla può continuare a rispondere alle leggi del Paese in cui ha sede.
È un elemento rilevante quando parliamo di infrastrutture strategiche e di sistemi che hanno accesso a informazioni estremamente sensibili.
Quanto incide, invece, il cosiddetto vendor lock-in?
Incide sempre di più, perché le piattaforme di sicurezza stanno diventando progressivamente più integrate.
Endpoint, cloud, identità digitali, intelligenza artificiale e Security Operation Center tendono ormai a convergere all’interno di ecosistemi tecnologici molto complessi. Più aumenta questa integrazione, più diventa difficile sostituire una piattaforma senza dover ripensare una parte significativa dell’architettura di sicurezza dell’organizzazione.
Il tema della sovranità riguarda quindi anche la capacità di scelta. Se un Paese o un’organizzazione non dispone di alternative tecnologiche realmente utilizzabili, la sua autonomia si riduce.
Per questo continuo a sostenere che la cybersicurezza non sia semplicemente uno degli strumenti attraverso cui difendiamo la sovranità digitale. La cybersicurezza è essa stessa una componente della sovranità nazionale.
Nel suo ragionamento cita il modello israeliano. Che cosa può insegnarci?
Il caso di Wiz racconta molto bene questa dinamica. Parliamo di una startup nata in Israele che, nel giro di pochi anni, è riuscita a diventare uno dei principali protagonisti mondiali della cloud security, fino ad arrivare all’acquisizione da 32 miliardi di dollari da parte di Google.
Non dobbiamo guardare a questa vicenda soltanto come a una straordinaria operazione finanziaria. Dimostra come un ecosistema possa trasformare ricerca, capitale, innovazione e politica industriale in leadership tecnologica globale.
La domanda che dovremmo porci è perché alcuni ecosistemi riescano a trasformare le proprie competenze scientifiche in grandi imprese tecnologiche, mentre altri facciano più fatica a compiere questo passaggio.
Arriviamo allora alla questione centrale: che cosa dovrebbe fare concretamente l’Italia?
La risposta, secondo me, non consiste semplicemente nell’aumentare gli investimenti. Serve una politica industriale.
Israele non è diventato una potenza mondiale della cybersicurezza perché ha pubblicato più bandi. Gli Stati Uniti non dominano questo settore semplicemente perché spendono più denaro.
Entrambi hanno costruito ecosistemi nei quali università, ricerca, difesa, intelligence, venture capital, industria e amministrazioni pubbliche operano come parti dello stesso sistema.
La ricerca genera startup, le startup diventano imprese, alcune si trasformano in campioni industriali globali e reinvestono capitale, competenze e persone nella ricerca, alimentando un nuovo ciclo di innovazione.
Ed è proprio questo passaggio che in Italia continua a essere difficile?
L’Italia è spesso molto brava a finanziare l’inizio del percorso, mentre incontra maggiori difficoltà nella fase successiva, quella della crescita.
Possiamo finanziare ricerca di altissimo livello e sostenere la nascita di nuove imprese. Ma se queste non dispongono del capitale, del mercato, delle competenze manageriali e delle opportunità necessarie per crescere, difficilmente potranno trasformarsi in grandi player internazionali.
Quindi non conta soltanto quanto si investe, ma soprattutto come vengono utilizzate le risorse?
Ogni euro investito nella cybersicurezza può produrre due risultati profondamente diversi.
Può contribuire a costruire proprietà intellettuale italiana ed europea, nuove piattaforme tecnologiche e imprese capaci di competere sui mercati internazionali.
Oppure può tradursi nell’acquisto di tecnologie già sviluppate altrove, aumentando il fatturato dei grandi vendor stranieri.
Sono due strategie profondamente diverse. Solo una costruisce sovranità.
La NIS2 e gli investimenti dell’Agenzia per la Cybersicurezza Nazionale possono rappresentare un’occasione per cambiare questo scenario?
La NIS2, gli investimenti dell’ACN e la crescente attenzione verso la cybersicurezza rappresentano probabilmente una delle più grandi occasioni che l’Italia abbia avuto negli ultimi anni per costruire una vera filiera nazionale.
Sarebbe un errore storico utilizzare queste risorse esclusivamente per acquistare tecnologie sviluppate altrove.
Dobbiamo sfruttare questa fase anche per far crescere capacità tecnologiche nazionali ed europee, creare proprietà intellettuale, consolidare imprese e costruire prodotti capaci di competere sui mercati internazionali.
In definitiva, qual è la differenza tra un Paese digitalmente dipendente e uno realmente sovrano?
Esiste una differenza enorme tra un Paese che compra cybersicurezza e un Paese che la progetta, la sviluppa e la esporta.
La dipendenza energetica si misura in metri cubi di gas. La dipendenza digitale si misura nelle tecnologie strategiche che non siamo ancora in grado di costruire.
Ed è da lì, molto più che dalla posizione geografica di un data center, che comincia la vera sovranità digitale.
Partecipa alla community