Quando a inizio estate 2025 Microsoft ha bloccato l’account email del procuratore capo Karim Khan della Corte penale internazionale dell’Aia, come conseguenza delle imposizioni del presidente Usa Donald Trump in seguito all’incriminazione da parte dell’istituzione del premier israeliano Benjamin Netanyahu, il significato di dipendenza tecnologica è diventato improvvisamente chiaro a tutta l’Europa.
Un tema che non tocca solo l’ambito tecnologico, come quello del cloud computing, ma ha a che fare col potere, con le relazioni internazionali e la cyber-diplomacy. Lo sviluppo di soluzioni e infrastrutture tecnologiche al di fuori dei confini degli Stati membri espone le organizzazioni europee e anche le aziende, portando alla luce una nuova consapevolezza di fragilità.
Ma come fare, con le big tech statunitensi che dominano le piattaforme, la guerra e relativa cyber warfare alle porte di casa a Est e valori e diritti diversi? “Uno dei modi con cui l’Europa può costruire un futuro digitale autonomo è rendere visibili le dipendenze – spiega ad AgendaDigitale.eu Alexander MacDonald, wargaming analyst di Osint for Ukraine -. Ciò comporta la pubblicazione di informazioni su chi fornisce apparecchiature tecniche critiche, come terminali di comunicazione satellitare, servizi cloud, telecomunicazioni e chip, nonché su dove sono installate”.
Indice degli argomenti
I pericoli della dipendenza da fornitori esterni di tecnologia
Questo, spiega MacDonald, è importante perché “la creazione di elenchi di fornitori accessibili al pubblico rende più facile per i vari attori individuare e affrontare la concentrazione rischiosa su fornitori specifici. Per questo motivo è importante evitare i single point of failure“.
E del resto sono numerosi anche i rischi legati alla dipendenza tecnologica per le aziende, non solo delle istituzioni Ue, da provider esterni, in Stati extra comunitari: “Le aziende private possono diventare dei colli di bottiglia, dove un singolo operatore che controlla le comunicazioni sul campo di battaglia finisce per influenzare sia la vita militare che quella civile, come si è visto in Ucraina con Starlink“, spiega l’analista.
L’effetto domino
Uno dei rischi è che, oltretutto, venga colpito un singolo ma non sia l’unica vittima, con un vero e proprio effetto domino. La compromissione di un provider infatti “può anche influenzare molte organizzazioni contemporaneamente, con un singolo incidente informatico che si ripercuote a cascata su tutte le aziende”.
E poi c’è il nodo dell’uso improprio della tecnologia. O il riuso: “Le attrezzature destinate ai civili o ai soccorsi da fornitori esterni possono anche essere dirottate e riutilizzate nelle zone occupate o dai soldati, come confermato da foto pubbliche e immagini satellitari. Inoltre, le aziende legate a Stati ostili possono incorporare malware o backdoor nell’hardware e nel software, creando rischi a lungo termine che sono quasi impossibili da rilevare o controllare”, aggiunge MacDonald.
I rischi della dipendenza tecnologica per la corporate cybersecurity
Semplificando molto, tra i rischi della dipendenza tecnologica per le aziende ci sono:
- mancanza di governance
- sfruttamento delle vulnerabilità
- Blocco dell’operatività
- Difficoltà di compliance
- Lock in del cloud
- data breach
- social engineering
Con conseguenti danni economici e reputazionali che si ripercuotono sul business. La dipendenza tecnologica infatti “evidenzia le vulnerabilità non solo delle persone che interagiscono con le piattaforme digitali, ma anche dell’infrastruttura stessa – spiega l’analista di Osint for Ukraine -. Un aspetto di ciò risiede nel malware e nelle vulnerabilità di rete, che possono essere sfruttati per infiltrarsi nel software e nell’hardware dei dispositivi o per raccogliere ed esporre i dati. Inoltre, le informazioni pubbliche possono aiutare gli aggressori, poiché le credenziali trapelate o la visibilità della posizione dei dispositivi possono accelerare gli attacchi, ma allo stesso tempo queste fonti consentono anche di individuare tempestivamente i problemi”.
L’impatto della dipendenza tecnologica sul business
Per evitare queste situazioni, in primis è importante avere consapevolezza: “Con l’aumento della dipendenza tecnologica, le persone che utilizzano e fanno affidamento sulla tecnologia lasciano una grande quantità di tracce digitali, che possono essere utilizzate per danneggiare gli individui, i loro colleghi e il loro lavoro. C’è sempre spazio per l’errore umano, ma è fondamentale stabilire protocolli di sicurezza e garantire che le persone siano informate sulla cybersecurity”, precisa MacDonald.
Anche perché in caso di fallimenti, sanzioni o difficoltà geopolitiche che possono precludere la fornitura del servizio, “le aziende possono perdere servizi, dover sostenere costi di sostituzione elevati o pagare premi assicurativi più alti. Un altro rischio è il danno alla reputazione derivante da collegamenti visibili”, aggiunge. E non mancano le ripercussioni in ambito compliance normativa, inadempimenti contrattuali e conseguenze legali.
L’importanza della tracciabilità della supply chain
Le organizzazioni dovrebbero quindi dare la priorità a misure come “mappare la loro impronta pubblica elencando i fornitori, identificando dove vengono utilizzate le apparecchiature e annotando quali servizi cloud ospitano i loro dati. Dovrebbero inoltre richiedere trasparenza ai fornitori, chiedendo loro le distinte dei materiali software e le attestazioni di sicurezza”, spiega MacDonald. E ovviamente è importante “ridurre la dipendenza da singoli fornitori utilizzando configurazioni multi-fornitore o ibride per i sistemi critici. Inoltre, gli investimenti nella sicurezza informatica e le soluzioni informatiche sono essenziali per proteggere le infrastrutture”. È fondamentale anche aumentare le soluzioni relative al personale attraverso la sensibilizzazione e la formazione” e, ancora, investire in formazione.
Come realizzare l’indipendenza tecnologica in Europa
Il consiglio dell’esperto quindi è di “non affidarsi a una sola azienda per un determinato servizio. Bisogna utilizzare invece più fornitori, alternative locali e adottate standard aperti ove possibile“. E vale anche per l’Europa, che dovrebbe investire di più “nello sviluppo delle competenze e delle infrastrutture locali attraverso iniziative quali la formazione di ingegneri, la creazione di opzioni regionali di cloud e satellitari e il sostegno alla produzione locale di componenti chiave”.
E a proposito di sviluppare soluzioni locali, si torna all’esempio della Corte penale internazionale, a sottolineare l’importanza di individuare soluzioni basate sulla propria sovranità digitale, tecnologica e del dato, per realtà come le istituzioni Ue, gli enti sovranazionali e le Ong.
Il caso di project Mariupol e della Turchia
Nel citare soluzioni adatte all’obiettivo, per MacDonald è importante “disporre di soluzioni investigative e probatorie sviluppate localmente e open source, come il progetto Mariupol di Osint for Ukraine, che è basato sui tool Bellingcat e Forensic Architecture“. Questo “potrebbe aiutare a proteggersi da tali colpi causati da sanzioni esterne improvvise”.
E in ambito sovranità c’è l’esempio della Turchia, “che ha fatto dell’autonomia della difesa una priorità nazionale, sostenuta da investimenti costanti, politiche coordinate e sostegno agli innovatori nazionali – conclude l’analista -. Considerando la sovranità digitale una priorità nazionale in ciascuno Stato membro, l’Europa può ottenere un effetto simile, costruendo così un futuro digitale resiliente a livello europeo“.
Note
** OSINT for Ukraine (OFU) è una organizzazione no profit indipendente senza scopo di lucro impegnata nell’utilizzo dell’intelligence open source “per promuovere la verità, la memoria e la giustizia”. Partendo da un’iniziativa ad hoc, spiegano, “abbiamo creato con successo una comunità professionale di persone che condividono gli stessi ideali, con sede principalmente nei Paesi Bassi. Utilizziamo l’OSINT per indagare sui crimini internazionali, contrastare la disinformazione e sostenere la giustizia e la responsabilità nella guerra russo-ucraina e in tutta l’Europa orientale. Inoltre, offriamo formazione ed esperienza pratica nell’OSINT”.
