Resilienza e rischi sistemici: l’impatto del cyber-crime

La pervasività del cyber-crime

Il cyber-crime non è più un fenomeno marginale o episodico, bensì una dinamica strutturale in grado di incidere sulla continuità operativa di Stati ed economie avanzate. Data la pervasività totale dell’elemento digitale nella società odierna, il rischio principale derivante dal cyber-crime ormai non è la violazione informatica in sé, ma la potenziale interruzione di servizi essenziali. La pericolosità del cyber-crime per la stabilità sistemica è ulteriormente acuita se si considera la zona grigia in cui si sviluppa, in particolare in relazione ai collegamenti tra criminalità organizzata e azione statale, vincolo che nel caso degli attacchi cyber è tanto presente quanto difficile da dimostrare. Questa dinamica, che rischia di evolversi senza controllo, rende ancora più pressante la necessità strategica di concentrare gli interessi nazionali verso un vero sviluppo di apparati di resilienza cyber.

Gli effetti del cyber-crime

Sono numerose e pervasive le forme che il cyber-crime può assumere, dai più comuni ransomware a coordinati attacchi lungo la supply-chain di un ecosistema politico e industriale. A prescindere dalla metodologia, sono attacchi in grado di destabilizzare funzioni essenziali dell’ordine socio-economico nazionale. Emblematico di ciò è l’attacco ransomware che ha colpito a fine 2024 Change Healthcare, nodo critico dell’infrastruttura digitale sanitaria statunitense. A seguito dell’attacco il blocco operativo si è propagato oltre l’obiettivo iniziale attraverso tutte le infrastrutture collegate, portando ad un’interruzione di alcuni servizi sanitari e alla conseguente risposta emergenziale. Questo effetto a catena, oltre ad avere evidenti effetti economici diretti e indiretti, ha un inevitabile impatto su cittadini, imprese e territori, fino ad arrivare a stimolare, in caso di gestione tardiva o inadeguata, una perdita di fiducia nelle istituzioni.

Rischi ed esposizione al cyber-crime

In un quadro più ampio e strategico, il cyber-crime colpisce molto di più di un singolo bersaglio o la filiera collegata, perché ha la potenzialità di ridurre la capacità decisionale e la stabilità operativa delle funzioni di un sistema, sia questo un’organizzazione o uno Stato. 

Un attacco informatico, infatti, causando interruzioni operative e conseguenti risposte emergenziali porta a dei costi economici e politici rilevanti, tanto più se si considera l’alta probabilità di ripetizione e persistenza di questo tipo di offensive che mira ad erodere la resilienza complessiva. 

La rilevanza del cyber-crime è direttamente proporzionale al peso dei fattori strutturali che lo amplificano: la profonda digitalizzazione delle funzioni essenziali di uno Stato, l’interconnessione tra sistemi pubblici e privati e la concentrazione di funzioni critiche in pochi nodi digitali altamente centralizzati moltiplicano l’impatto di singoli attacchi. Oltre a ciò, ricorrere al cyber-crime presenta anche dei vantaggi tattici importanti, in quanto non richiede escalation militare, agisce sotto la soglia del conflitto evitando le possibili reazioni conseguenti pur causando effetti comparabili a shock infrastrutturali.

In questo contesto l’UE si rivela come uno spazio particolarmente esposto poiché permeato dai fattori strutturali sopra menzionati, grazie al processo di elevata integrazione digitale e infrastrutturale in atto già da anni, alla forte dipendenza da attori privati e filiere transnazionali, e senza contare la vulnerabilità derivante dalle differenti capacità di risposta e prevenzione degli Stati Membri. 

Conseguentemente, contrastare il cyber-crime non è una questione di deterrenza simbolica, ma un’esigenza necessaria per assicurare continuità dei servizi, fiducia istituzionale e stabilità economica, e dunque per il funzionamento stesso dello Stato contemporaneo.

Trade-off per l’Unione Europea

Ampliare la regolazione del rischio cyber richiede garanzie di applicazione uniforme

• Si guadagna: la regolazione aumenta la consapevolezza e la visibilità del rischio e uniforma il quadro normativo comunitario, permettendo il conseguimento di standard comuni.
• Si perde: l’efficacia dei quadri normativi se l’enforcement degli stessi rimane diseguale tra Stati Membri. 
• Chi paga: imprese e operatori che investono in compliance, oltre che le amministrazioni su cui ricade l’implementazione prive di capacità adeguate. 
• Chi sfrutta la frattura: attori criminali in grado di sfruttare gli anelli più deboli e entità internazionali abituate a sfruttare la zona grigia dell’attribuzione nello spazio cyber.

Investire nella prevenzione del rischio cyber accettando costi immediati

• Si guadagna: spostare la sicurezza cyber dalla gestione dell’emergenza alla prevenzione porta a una riduzione dell’impatto sistemico degli attacchi e a una maggiore capacità di assorbimento degli shock.
• Si perde: le risorse politiche e finanziarie necessarie a sostenere la manovra nel breve periodo.
• Chi paga: inevitabilmente si tratta di investimenti che dovranno essere giustificati nei bilanci pubblici, ed eventualmente da settori meno visibili politicamente su cui ricadrà il grosso dello sforzo iniziale (amministrazioni locali, PMI, servizi IT di base, ecc.)
• Chi sfrutta la frattura: attori sufficientemente organizzati e con risorse tali da poter sfruttare eventuali ritardi e sotto-investimenti nel processo.

Gli autori

Daria Vernon De Mars

Ricercatrice in cybersecurity governance, sono Consigliere di direzione de Il Caffè Geopolitico e Vicecoordinatrice del desk Nord America.