Convegno: NIS2: La nuova frontiera della resilienza digitale
Legend
Transcript markers
- text Sentence being played
- text Search result
- text Intervention cited by the link you opened
Click a sentence to play the video from that moment. Select text to quote it with the speaker, timestamp and link.
More options
Senato della Repubblica
Domenico Rossi
E da aereo terrestre navale abbiamo aggiunto lo spaziale, abbiamo aggiunto il cibernetico, abbiamo aggiunto l'underwater e per ultimo, forse più pericoloso non solo da solo, ma specie in combinazione con alcuni di quelli che ho citato, quello cognitivo. Questo è il quadro per cui la minaccia di oggi, va bene raccontata da uno che l' vissuta nel 1974, è una minaccia che è di tipo assolutamente assolutamente diverso. E a fronte di questa minaccia, io 1º ho parlato del 2000.22, ma io credo che se dobbiamo prendere poi un episodio nel 2000.22 che ci fa capire come è cambiato il mondo, dobbiamo andare a prendere il fatto che poco 1º dell'inizio dell'invasione,
Viene colpita la rete satellitare KASAT credo che si... Che si pronunci così, gestita da Viasat in Ucraina. Perché quell'attacco che poi mirava ovviamente a impedire le comunicazioni delle forze armate e di tutta la rete civile ucraina, non colpisce di fatto solamente l'Ucraina, ovviamente, ma delle ripercussioni anche nei paesi vicini. E quindi per la 1º volta iniziamo a vedere che colpire degli obiettivi civili delle ripercussioni di altro tipo, e non solo in quel paese, e non solo sull'industria civile... Sull'industria...
Sulla parte militare, ma anche sulla parte dell'industria civile. E viene trasformato quello che era un obiettivo di carattere civile, in un obiettivo strategico ai fini del raggiungimento dell'obiettivo, nel caso specifico, dell'aggressore senza fare nomi. Allora, tutto questo guado ci porta a dire che criminalità informatica, spionaggio, sabotaggio, campagne di disinformazione, rischio industriale, sono tutti aspetti di un unico quadro di tensione geopolitica che poi ovviamente dà degli effetti sui singoli paesi. Allora, se mai avessimo avuto dei dubbi sulla variabilità della minaccia, sulla diversità della minaccia prendendo solo 2 dati. Quello che ci dice l'agenzia dell'Unione Europea per la Sicurezza con il con il trend landscape 2000.26, in cui ci dice occhio che rispetto al 2000.25 la pubblica amministrazione avuto il 32 per 100 in più di...
Chiamiamoli incidenti Europa. In Italia l'agenzia per la cyber sicurezza nazionale ce ne segnala 2007 29.615 per il 2000.25, ovvero circa il 38 per 100 in più rispetto all'anno precedente. Allora, cioè dobbiamo chiederci un attimino come evidentemente proteggere la nostra sicurezza. Una sicurezza che richiama ovviamente, non più la sicurezza militare, ma la sicurezza del sistema paese. Perché questo è il punto centrale della situazione.
E quando si chiama... Si si richiama la sicurezza di un sistema paese, ecco che forse, non dico oggi, ma dico negli ultimi anni, per la 1º volta, è stata chiamata o viene chiamata a raccolta tutto quello che il paese può mettere dall'industria civile, alle università, al mondo militare, per cercare di fronteggiare una minaccia che nessun paese può affrontare da solo e figuriamoci quindi un settore della pubblica amministrazione o diciamo dello stato. Allora io, anche perché poi ci sono dei pannel specifici, non vi parlo delle minacce da cui dobbiamo... Da cui dobbiamo difenderci. Però, ecco, forse per capire le minacce da cui possiamo difenderci, mi sono posto una domanda.
E se domani mattina non fosse più possibile prenotare un esame sanitario, gestire un pagamento, accedere al sistema informatico di un comune, coordinare un servizio di trasporto. E se il problema non riguardasse una sola organizzazione, ma molte amministrazioni e imprese che utilizzano lo stesso fornitore tecnologico, qual è la risposta? Qual è la risposta del paese in questo momento e quale risposta vogliamo... Quale obiettivo vogliamo andare a raggiungere per far fronte a queste minacce. Quindi il tema è la capacità del paese a continuare a funzionare quando una componente digitale essenziale viene compromessa, diventa indispensabile...
Attenzione, virgola, con un'aggiunta. Perché la compromissione certe volte può esserci anche per un errore umano interno e non per un attacco esterno. Il caso specifico è 19 luglio in Inghilterra, autorità britanniche che alla fine dicono sì, eppure un incidente, un banale incidente compromesso la funzionalità di un sistema. Quindi quando si parla di resilienza, ovvero di capacità poi di ripristinare un sistema, non dobbiamo solo pensare a un attacco esterno, ma dobbiamo anche pensare a incidenti che possono avvenire casualmente. È tutto questo che noi andiamo a calibrare la NIS 2 ovviamente.
È in tutto questo, perché la NIS 2 per la 1º volta ci dà delle regole, ma soprattutto ci fa capire una cosa, che una volta la sicurezza informatica era circoscritta agli informatici, poi qui viene la 2º parte dell'animale preistorico, ma verrà a seguire, va bene? Ma oggi non è più circoscritta solo agli informatici. La NIS chiarisce che la questione della, diciamo, sicurezza digitale è anche di chi governa un'organizzazione. È questo il grande salto di qualità della Nis. Ed è questo che ci dobbiamo approcciare.
Allora, ecco che emerge il 2º motivo per cui hanno invitato un animale preistorico. Gli animali preistorici c'hanno dei ricordi atavici. E quindi, nella mia carriera militare, oltre ad aver fatto il carrista sul campo, beh, io sono... Nasco come programmatore e analista del 1º centro di calcolo elettronico dell'esercito nel millenovecentottantuno. Io non so se c'è qualcuno che nell'ottantuno era già analista e programmatore, ma guardando...
Richiamandomi ai giovani innovatori e alla platea, non credo. Quindi io sono ancora di una generazione che, al di là del grande insegnamento che mi è derivato da fare I clochard, da compilare la scheda di programmazione, ma io ho perforato le schede. Io sono andato alla ricerca di un nome, random su un nastro con 250000 nomi, per scoprire se avevo un nome in possesso di certi requisiti. Perché vi dico questo, però? Vi dico questo per 2...
Per 2 motivi. Il 1º, perché nella realtà comunque quel quadro aveva 2 aspetti che si sono conservati nel tempo, e cioè, o diciamo uno, la sicurezza dei dati e la capacità di ripristinarli. Solo che era molto più semplice. Eravamo all'interno di un centro di calcolo elettronico, non... Avevamo I I...
Diciamo, I PC remoti solo all'interno del centro di calcolo elettronico, ma comunque sicurezza e backup erano I 2 elementi principali di riferimento, come di fatto poi lo sono anche adesso. Ma perché dicevo che serve l'animale preistorico? Perché vedete, quando abbiamo iniziato a esportare informatica, sapete che cosa accadeva nelle forze armate? Nelle forze armate accadeva molto semplicemente questo. A quell'epoca probabilmente ero un colonnello.
Tu dicevi, allora guarda, bisogna mandare quella segnalazione all'ente superiore, eccetera. Il maresciallo tirava fuori dal computer, col maresciallo per dire un collaboratore qualsiasi, tirava fuori dal computer il dato, lo mandava, ma poi mi diceva, comandante, mi sono tenuto una copia cartacea per tutti I rischi che che ci possono essere, perché non mi fido. E allora, la sfida più grande di quel periodo, non è stata una sfida sul fatto di estendere l'informatica, ma è stata la cultura informatica. È stata quello di far capire a chi stava vicino a noi, alla dirigenza, che quello non era uno strumento di cui non ci si poteva fidare. Quello era uno strumento di cui a ci si doveva fidare, b bisognava usufruirne ai fini dell'efficienza del sistema.
E allora se vado a concludere su, ma di fronte a questo quadro, qual è l'obiettivo? Beh, ho chiesto all'intelligenza artificiale quali potevano essere gli obiettivi, mi scritto 2 pagine e mezzo, ma debbo dire più o meno condivisibili, ma nella realtà non m'aveva scritto quello che 2º me ritengo sia l'obiettivo principale. E l'obiettivo principale è la cultura della resilienza. È un fatto culturale, 1º ancora che essere un fatto tecnico che ovviamente non può che dipendere poi dalla formazione, da... Ma è un fatto culturale.
Capire che dobbiamo essere in grado di difendere I nostri dati, di ripristinarli, e farlo capire a tutta la filiera, in tutte le aziende, in tutti I settori della pubblica amministrazione e non perché poi ci sono ovviamente industrie strategiche al di fuori delle
Pubblica amministrazione, questo è la... È la vera sfida. Questo è il vero obiettivo. E se non raggiungiamo quell'obiettivo, noi non ci metteremo al riparo. Perché?
Per un semplice motivo, perché io... Se io sono l'industria A e ho bisogno di una parte dell'industria B e ho... Che bisogno a sua volta di una parte dell'industria C che a sua volta si rifornisce da D. Se questa filiale non è in linea e tutti non abbiamo la cultura della residenza, noi alla fine falliremo. E allora, l'obiettivo di fondo, vi dicevo, è questo.
Il rapporto... Questa riflessione, come capite, è una riflessione che riguarda lo Stato, le autonomie territoriali, le imprese, I cittadini, ma nella realtà la sicurezza nazionale. Ecco, io credo che quando si parla di un problema come questo, I convegni come questo siano essenziali, e ringrazio, perché da questi convegni possono poi venire le spinte per il miglioramento del sistema, per l'individuazione anche degli aspetti tecnici e per la diffusione della resilienza digitale, che non è solo sicurezza, dev'essere interpretata come garanzia dei cittadini, che solo attraverso una resilienza di carattere generale, possono trovare fiducia nelle istituzioni, nello Stato, e respingere anche tutta quella parte che oggi ho appena accennato, ma che deriva da una infiltrazione cognitiva, costante, giornaliera, diffusa e che può effettivamente invece cambiare nell'intelligenza del cittadino quelli che devono essere gli obiettivi dello stato. Ringrazio.
Alessandro Del Frate
Grazie, grazie signor generale. Diciamo che il suo intervento toccato tutti I punti più importanti, soprattutto diciamo il concetto della filiera, il concetto diciamo anche della visione delle imprese e di quello che poi è effettivamente la la... Tutto quello diciamo che poi il sistema. Grazie signor generale.
Alessandro Del Frate
Grazie ancora, arrivederci. Allora come detto diciamo che il mondo che è toccato dalla NIS 2 intercetta tutti diciamo tutte le filiere, tutti I settori e ovviamente sono importanti 2 aspetti, quello ovviamente tecnico, più strettamente legato quindi alla resilienza dei sistemi, I sistemi informativi, I sistemi informatici, ma ovviamente come detto il generale anche la cultura, la cultura giuridica e soprattutto diciamo la cultura del mondo delle imprese che deve essere ovviamente in linea con quelli che sono I requisiti e quindi cedo la parola al presidente Martellino di AIG che ci andrà appunto a trattare il tema diciamo declinandolo su questo fronte. Grazie.
Speaker 4
Buongiorno a tutti. Innanzitutto ringrazio gli organizzatori, il senatore per averci ospitato. In cui parlo ovviamente in in nome con... Per conto dell'associazione dei giuristi d'impresa, l'AIGI, che tra l'altro quest'anno compie cinquant'anni, compie cinquant'anni, quindi insomma è un'associazione che una sua... A proposito di, come si diceva, di dinosauri, insomma cominciamo a invecchiarci anche noi come associazione però è è il sentore del fatto che è un'associazione viva e che effettivamente rappresenta circa 1600 giuristi d'impresa, cioè tutti coloro che all'interno delle aziende rivestono ruoli nel...
Nella direzione legale o a livello apicale o anche a livello di team legale. Quindi io sono onorato ovviamente di essere qui con... Grazie insomma all'invito del senatore e degli amici dell'associazione giovani e innovatori e questo fatto anche del giovani innovatori ovviamente è diciamo in qualche maniera evoca ovviamente una... 1 approccio evidentemente a questa materia e cerco di portare la mia esperienza in parte come presidente dell'associazione, visto che comunque ecco avendo questo osservatorio privilegiato di 1600 soci riusciamo chiaramente ad avere un nostro... Una nostra idea rispetto a questi...
A questi argomenti. E in più porto anche anche un po' indirettamente la mia esperienza come General Counts di Avio, che è un'azienda comunque impegnata nel settore spazio e difesa e quindi diciamo ci troviamo con molte delle... Mi trovo personalmente con molte delle affermazioni fatte 1º dal generale e che chiaramente invocava un approccio sistematico di sistema, che è sostanzialmente, 2º me, la vera chiave di lettura di questa... Di questa normativa, come del resto un po' di tutte le normative che si stanno recentemente affacciando, che sono caratterizzate, come sapete, da un'estrema background tecnologico. Se pensate a cominciare dalla privacy, ma poi per proseguire con la cyber security, adesso con la NiS 2 sostanzialmente tutte le normative hanno...
Cominciano ad avere un background tecnologico molto forte. Per cui, il giurista che volesse affrontare queste tematiche senza avere un approccio multidisciplinare, senza farsi supportare in maniera sistematica ad altre figure professionali, rischierebbe di fallire fino a... 1º ancora di iniziare la sua attività di consulenza legale. Io parto da una considerazione che è stata fatta già dal generale e che vorrei riprendere, che è il tema della... Partiamo dalla NIS 2 che chiaramente è un po' il cappello di questo...
Di questo convegno. E di 1º acchitto, chi legge il titolo della... Di questo convegno pensa che questo sia un convegno dedicato a chi si occupa della NIS 2, quindi chi si occupa tecnicamente dell'applicazione di questa normativa, no? Quindi verrebbe da pensare che diciamo gli invitati particolari o comunque il focus sia centrato molto da un punto di vista tecnico. Ecco, questo 2º me è quello che dobbiamo assolutamente sfatare come tabù, ed è quello che è stato accennato dal generale.
Cioè il tema ormai di queste normative, della compliance a queste normative, non è più un tema tecnico, perché fino a qualche tempo fa quando si pensava a problemi informatici, si pensava al... Alla direzione che si occupava della gestione dei sistemi informatici all'interno delle aziende o all'interno degli enti. Ecco, come vedete, l'approccio a queste normative è cambiato, e quello che a monte di queste normative è il tema della governance. Perché senza una governance efficace, le norme tecniche di fatto non riescono poi a essere diciamo operative, a essere implementate. Pensate che, diciamo, se il capostiglio di questo cambiamento, 2º me, è un po' il decreto legislativo, il 138 del del 2024, che ormai è in vigore da poco più, 2 anni, che un po' 2º me chiuso la stagione in cui la sicurezza informatica era fondamentalmente qualcosa di appannaggio in particolare particolare modo delle delle direzioni del...
Di information technology delle aziende o degli enti. Perché? Che cosa è stato stabilito in questo articolo? C'è un articolo molto importante sul quale, tra l'altro, l'ACN fatto focus in maniera molto forte e so che poi farà oggetto di una tavola rotonda successiva che approfondirà anche questi aspetti. Ricordiamoci che l'articolo 23 di questo decreto stabilisce che gli organi di amministrazione e direttivi delle aziende, degli enti, approvano le modalità di attuazione delle misure di riduzione del rischio, ne sovraintendono alle attuazione e rispondono delle violazioni.
Ecco questo diciamo escalation di responsabilità che arriva fino ai consigli d'amministrazione, vi posso assicurare che provocato a livello delle aziende una certa, come dire, reazione, perché ovviamente non è più... E questa è la dimostrazione plastica di quello che dicevo 1º, che il tema si sposta diciamo dagli uffici tecnici, addirittura a livello della governance fino al consiglio d'amministrazione. Chiaramente questo è un approccio chiaro del legislatore, che può essere più o meno condiviso, ma fondamentalmente forse è il modo per, come dire, effettivamente sensibilizzare le aziende a fare sistema da questo punto di vista. Del resto, come sapete, le sanzioni sono anche pesanti. Si parla di sanzioni che arrivano fino a 10000000 di euro, o al 2 per 100 del fatturato della società.
Quindi stiamo parlando di cose a 2º ovviamente del tipo di società, soggetto essenziale, insomma del soggetto strategico e quant'altro. E addirittura, per I vertici delle società, nei casi più gravi, è prevista l'incapacità temporanea a esercitare le funzioni di amministratore. Quindi, non solo ci sono sanzioni, come dire, che riguardano la società, ma sanzioni che riguardano anche personalmente gli amministratori. Tra l'altro, in questo momento storico, come sapete, scatta il termine per le cosiddette... Per l'attuazione di misure di sicurezza di base, che sono state peraltro definite da una recente determinazione dell'ACN, che sono...
Per I soggetti che sono inseriti nel famoso elenco del 2025. Quindi fondamentalmente dal da gennaio la notifica di incidenti sarà a tutti gli effetti operativa, quindi diciamo finisce la fase un po' di monitoraggio che sta facendo l'ACN come sapete, e probabilmente inizierà anche quella un po' più dei controlli, per essere chiari. Tra l'altro recentemente come AIGE abbiamo fatto proprio un convegno, abbiamo abbiamo avuto ospite una... 1 altro rappresentante dell'ACN che c' illustrato un po' tutti questi aspetti e c' un po' anticipato, da questo punto di vista, quello che sarà un po' l'approccio dell'ACN.
Allora fondamentalmente cosa succederà 2º me a livello operativo? Che probabilmente quello che succede è che la domanda che ci dovremmo porre non sarà più se l'azienda è in regola o meno, ma anche se siamo in grado di dimostrarlo di essere in regole o meno. E questo 2º me, è un passaggio che tante volte si tende un po' a trascurare. Cioè si pensa di... Che l'adempimento in qualche maniera effettuato, attuato, si...
Di per sé ci diciamo, come dire, ci tranquillizzi e ci ma poi dà responsabilità. Purtroppo questo non è vero, perché come sa tutti quelli... Come sanno tutti quelli che poi operano e che hanno subito delle investigazioni, sanno benissimo che talvolta il problema non è tanto di aver diciamo adempiuto, ma dimostrare di aver adempiuto correttamente. E questa è la fase un pochino più delicata che comporta una serie di attività. In tutto questo contesto quello che si diceva 1º ovviamente un capitolo fondamentale di tutta questa discorso è la formazione.
Perché se noi pensiamo di combattere, come dire, di essere resilienti a questo tipo di compliance, attraverso il... Gli organi apicali, o magari appunto il tecnico che gestisce, o il CIF information security officer che si deve occupare di fare da cane da guardia per l'implementazione delle misure di sicurezza nel proprio rispetto, stiamo fallendo miseramente. Tant'è che l'area normativa, sapete bene, previsto una onere di formazione, addirittura a livello apicale. Cioè, consiglio d'amministrazione devono essere formati, devono conoscere la normativa, devono sapere non solo quali sono le loro responsabilità, ma anche almeno a grandi linee devono avere un'infarinatura più o meno, come dire, sostanziale di quella che che è la normativa e dei loro obblighi e di quello che l'azienda tra l'altro deve mettere in piedi. Quindi fondamentalmente il titolo di questo convegno giustamente parla di resilienza, e 2º me la chiave di lettura, diciamo il ponte tra il termine della residenza e la compliance, 2º me...
E la residenza scusate, tra... È il... Un argomento che diciamo in realtà con noi come AIGI cavalchiamo da tanto tempo, e io personalmente sono un fautore, che è il tema della compliance integrata. Cioè, mai come in questo preciso ambito, la compliance... La compliance integrata diventa essenziale per poter sopravvivere, lasciatemi dire, anche come azienda, perché altrimenti questo significherebbe creare veramente tanti layer, tanti silos che non non si parlano.
E questo lo dico perché, se ci pensate, l'azienda da questo punto di vista oggi è soggetta a 3 regimi già che mi vengono in mente di 1º acchito differenti. Il modello 2 3 1, che tra l'altro delle implicazioni molto importanti nell'applicazione, adesso lo vediamo anche con l'uso dell'intelligenza artificiale, voi sapete che benissimo che molte aziende stanno integrando I propri processi utilizzando strumenti di intelligenza artificiale. Ma molte aziende non si stanno chiedendo questo che impatto può avere dal punto di vista della... L'assetto organizzativo dell'azienda. Il fatto che utilizzo l'intelligenza artificiale, questo processo è mappato?
Tra l'altro, ed è rilevante questo aspetto anche dal punto di vista del modello 2 3 1. Perché voi ricordate che il modello 2 3 1 cosa chiede a Monte? Chiede un modello che sia efficacemente adeguato per evitare la commissione di certi reati presupposto, no? Per escludere la responsabilità dell'ente. E questo è già un regime.
Pensiamo al 2º regime che opera comunque nel contesto di questo di questo ambito, che è il GDPR sulla privacy. Anche qui occorre adottare delle misure adeguate e bisogna avere la capacità di dimostrare che queste misure siano state efficacemente attuate. E poi abbiamo da ultimo abbiamo la NIS 2, che chiaramente arriva come ciliegina sulla torta, già ad innestarsi su 2 sistemi di compliance che sono già di per sé complicati e che devono già essere integrati. Questi sistemi apparentemente hanno delle... Parlano apparentemente delle lingue diverse, apparentemente, ma in realtà hanno fondamentalmente...
Diciamo tutte hanno un filo conduttore a mio avviso, che è quello di rispondere a 4 domande. Chi decide all'interno dell'azienda? Sulla base di quali informazioni, con quali controlli e soprattutto con quali evidenze poi le decisioni vengono prese, in base sulla... Su in merito ovviamente a quegli... A quegli ambiti lì.
Quindi integrare a mio avviso, quindi qui torno al tema della compliance integrata, non significa sommare tutte queste domande, perché se noi sommiamo tutte queste domande e diamo una risposta non integrata per ogni regime, rischiamo di di ogni regime normativo, rischiamo di non arrivare mai a dama. Ma significa fondamentalmente cercare di di dare una risposta sola a queste domande. Non a caso, tutte le aziende che hanno implementato dei sistemi di compliance integrata cosa hanno fatto? Hanno cercato di integrare, diciamo, I modelli sia nel momento del design, cioè quando li costruiscono, sia nel momento dei controlli, per evitare anche che banalmente le funzioni operative o di business siano poi, come dire, bombardate di domande sullo stesso argomento, sullo stesso processo, provengono da enti diversi. E del resto, se ci pensiamo, questo discorso relativo all'adeguato assetto organizzativo, è ormai diventato un principio cardine del codice civile.
Voi sapete con la riforma del codice civile, con l'articolo 2086 del codice civile nuovo, c'è l'imposizione di un adeguato assetto organizzativo, che peraltro è finalizzato anche a evitare che poi l'azienda vada in sofferenza e diventi potenzialmente insolvente, no? Esattamente. Ed è sempre il consiglio d'amministrazione, badate bene, che il compito di valutare se la... Gli assetti organizzativi dell'azienda siano adeguati. Quindi, il consiglio d'amministrazione deve verificare questo, deve adottare il modello 2 3 1, e deve ovviamente nella nella liste 2, come abbiamo detto, deve approvare tutta una serie di misure tali per le quali addirittura potrebbe addirittura arrivare a risponderne.
E ricordiamoci anche che dal punto di vista 2 3 1, forse questo ogni tanto sfugge, è che il modello 2 3 1 in Italia è una normativa facoltativa, cioè le imprese non sono obbligate ad adottare il modello 2 3 1, però ormai c'è cassazione ormai come dire costante, che in caso di poi accadimento rilevante a livello 2 3 1, diciamo... Il... Esatto sposta la responsabilità, prevede la responsabilità degli amministratori che non hanno, dal punto di vista di chiaramente di azione di responsabilità sociale, che non hanno efficacemente adottato un modello 2 3 1. Quindi la mancata adozione di un modello che è facoltativo, comunque fa rischiare l'amministratore di poi vedersi, come dire, contestata una responsabilità da parte dell'azionista. Okay?
Ecco, voglio fare anche qui da un punto di vista sempre degli esempi pratici per per rendere plastico quello che sto cercando di dire. Il generale parlato del tema della resilienza, parlato del tema della filiera e parlato del fatto che bisogna fare come dire fare squadra. Ecco, fare team, fare sistema. Considerate una cosa che e si diceva anche dell'errore umano. Per esempio, nell'ambito degli attacchi cosiddetti ransomware, no?
Cioè quegli attacchi hacker che sostanzialmente paralizzano la vita di un'azienda, ecco molte volte la la porta delle aziende, diciamo l'altre volte, gli acri la trovano chiusa, la trovano sbarrata perché le aziende adottano, soprattutto quelle più grandi, dei sistemi tali per I quali l'hacker non riesce a penetrare. Problema che le stesse aziende talvolta si dimenticano delle finestre, come succede a casa. Le finestre nel nostro caso quali sono? Sono le imprese che lavorano nella filiera. Se io m'avvalgo di un fornitore o di un...
Di un agente, di un partner commerciale che non adotta le stesse mie misure, che magari però è ai miei sistemi, di fatto io faccio entrare l'ACR dalla dalla finestra. Tant'è che se noi guardiamo la statistica degli attacchi di agheraggio, si vede che la maggior parte degli attacchi di agheraggio avvengono non direttamente nei aziende, ma avvengono nei confronti della filiera e risalgono all'impresa principale, o avvengono perché c'è stato un errore umano. E allora l'errore umano ci riporta a quello che generalmente... Il generale diceva 1º. Se io non formo le persone, non diciamo le...
Faccio comprendere qual è il... Le le misure minime che devono essere rispettate, che possono essere il fatto banalmente di fare una... Di inserire in un sistema una password che che è facilmente decifrabile, questi errori apparentemente umani sono la causa principale degli attacchi di hackeraggio e e che rendono di fatto il sistema vulnerabile. Quindi sono da... Non è vero che bisogna essere giovani per apprezzare 2º me l'impatto di questa normativa, ma bisogna avere l'esperienza di comprendere che bisogna formare le persone a tutti I livelli.
Questa 2º me è un po' la messaggio per cui mi trovo molto in linea con quello che diceva il generale. E pensate anche a tutti gli gli adempimenti che per esempio scattano, immaginate che una notte che scatta una... 1 attacco Ramswell in un'azienda, improvvisamente scattano a carico delle aziende tutta una serie di adempimenti. Bisogna modificare al al SIRT in Italia, entro 24 ore, dalle 72 ore ore, e e poi scattano altre adempimenti. Poi entro un mese bisogna fare una relazione finale.
Nel frattempo, mi devo porre il problema nel caso in cui mi viene chiesto un se il riscatto lo posso pagare, se non lo posso pagare, come lo posso pagare, se pagando un riscatto viola ho qualche altra normativa o meno, tant'è che ci sono addirittura dei paesi che stanno cominciando a vietare il pagamento del riscatto al Ransomware per legge, diciamo, tra virgolette. E in Italia questa normativa non c'è e che cosa succede? Che le aziende, quelle più illuminate, lasciatemi dire, si dotano di una procedura per gestire la
Attacco ransomware e per stabilire quali sono I flussi che devono essere adottati per deciderlo. Perché voi immaginate l'emergenza di un attacco ransomware che mi arriva dalla mattina alla sera e che sostanzialmente mi blocca l'azienda, il quale... E mi si chiede un riscatto di milioni di euro. Tra l'altro magari spesso da pagare in criptovalute. Ecco, immaginate un amministratore delegato che deve prendere una decisione in in in tempi rapidi, qui ci sono tutta una serie di temi di governance che si aprono, alcune amministrative delegato la fa...
La festa deciso, la prende da solo, deve deve convocare qualcuno, deve convocare un consiglio d'amministrazione, chi c' I poteri per farlo? Insomma, se uno non si attrezza con una procedura che a monte stabilisce questi processi, quando le bocce sono ferme, nel momento dell'immediatezza del fatto, questa ovviamente si entra nel panico e tutte queste cose non si riesce a farle in maniera lucida. Quindi il mio consiglio, anche se sono poche le aziende che l'hanno fatto, è dotarsi di una procedura ransomware per gestire queste situazioni di crisi. Stavo dicendo, fondamentalmente a tutte le varie cose che vi dicevo, appunto, attacco a Rums mi può creare dei problemi con SILT, ma nel frattempo magari può essere... Possono essere stati intaccati dei dati personali, quindi c'ho il problema che devo fare la notifica al garante.
E poi ci possono essere rilevanti 2 3 1, perché come sapete I delitti informatici sono reati al presupposto della 2 3 1. E qui parte un 1 meccanismo di flussi informativi sia verso gli organi di controllo, collegio sindacale, o se la società è quotata presso il comune di controllo e presso l'organismo di vigilanza. C'è una gestione, se la società è quotata, informazioni privilegiata, cioè il fatto che io sono stato soggetto a un attacco ransom, è un'informazione privilegiata, la devo comunicare al mercato, non la devo comunicare, ecco. E da ultimo, c'è l'impatto reputazionale. Zionale.
Come mi mi approccio rispetto al mercato, ai clienti, come informo il cliente di questo problema? Quindi, come vedete, ci sono fondamentalmente un solo evento, fa scatenare la... Gli adempimenti su 4 regimi diversi di compliance normativa, con una sola azienda, che è il target di questi adempimenti. Quindi, se io ho un comitato di crisi, ho un registro, so chi fa cosa all'interno dell'azienda, mi sono dotato di una procedura solo in questa maniera e mi... Ho diciamo adottato un approccio integrato, sono in grado di poter gestire in maniera tempestiva e dando evidenza, come dicevo 1º, di quello che sono riuscito a fare rispetto a un attacco di questo gene.
E quindi, fondamentalmente, cerco di andare a chiudere. Integrare significa, 2º me, fare 3 cose. Innanzitutto adottare un solo linguaggio del... Per l'analisi del rischio. Voi sapete che la maggior parte dei sistemi di compliance, presuppongono a monte un'analisi del rischio, no?
Evidentemente. Se io ho una mappatura dei processi diversa per ogni sistema di compliant, è uno per la 2 3 1, 1 per la NIS 2, 1 per la privacy e quant'altro. Voi potete immaginare che questa mappatura di di di recessi e dei rischi diventa di fatto un 1 incubo per per le aziende e anche per le delle direzioni operative che, tra virgolette, devono aiutarci a mappare questi processi. Perché, come vi ho già detto, se io invece ho... Cerco di avere un unico linguaggio del rischio e una...
Un'unica metrica rispetto a quei rischi, diciamo, mi sono portato col lavoro, no? Perché ho almeno a livello di di rischio, ho una matrice unica. Altra cosa fondamentale sono I controlli. Se io riesco ad avere un'unica matrice di rischio, riesco anche a integrare I controlli evidentemente, no? Perché chiaramente a monte c'è un framework di riferimento unico.
E quindi pensate al discorso della filiera, se io faccio una solo 2 diligence sul fornitore, e piuttosto che farne n, ne posso fare una solo 2 3 1, 1 sulla GPR, una sulla sicurezza dei criteri di approvvigionamento dal punto di vista della NIS 2, ecco. Mi devo sforzare di integrare tutti I sistemi di controllo in un'unica... Con un unico approccio. E questo tra l'altro mi consente anche di avere un solo unico flusso informativo verso gli organi di controllo, perché una volta che ho integrato questa cosa posso mandare il pacchetto diciamo integrato di flussi su quello che io ho fatto al consiglio d'amministrazione, al all'organo di controllo, al collegio sindacale, all'organismo di vigilanza. E ovviamente, come vi dicevo, 1º, a quel punto sono anche facilitato ad avere le cosiddette evidenze di cui parlavo 1º, cioè le prove che io sono stato compliant, perché ho accorpato in un unico fascicolo tutto quello che io ho fatto rispetto a quelle cose.
Altra cosa fondamentale, che non bisogna confondere, integrare non significa fondere poi le funzioni. Non necessariamente, perché l'organismo di vigilanza col 2 2 3 1 resta autonomo, il DPO per la privacy resta un soggetto autonomo e viceversa le autorità preposte, per esempio resta autonomo, quindi non è che devo integrare anche le funzioni di vigilanza. Questo non è necessario. Però posso creare tra I 3 organi le... Delle...
Dei flussi informativi e di... E di coordinamento. Vediamo un attimo che altro convegno. Ecco, l'ultima cosa che volevo chiudere con la... E qui, consentitemi diciamo un po' un richiamo alla mia categoria di giuristi d'impresa.
Ecco, la giusta impresa in Italia purtroppo questo lo dico anche a beneficio del senatore col quale ovviamente lo dirò diciamo quando sarà occasione lo dirò se possibile arrivare questa diciamo questa indicazione al senatore perché come noi siamo impegnati al riconoscimento della figura della giusta impresa. In Italia purtroppo non c'è ancora un riconoscimento della figura. C'è un... C'è una norma nell'ambito della riforma forense e nella legge questione che in qualche maniera garantisce a chi fa consulenza stragiudiziale, a un datore di lavoro, una protezione diciamo fuori dall'esclusiva dell'avvocato, perché altrimenti tutto quello che è consulenza stragiudiziale, è consulenza giudiziale, è riservato all'avvocato e questo per carità non lo discute a nessuno, però non possiamo sotto tacere il fatto che ci sono in Italia mal contati 15000 giuristi d'impresa che operano presso le nostre aziende. E quindi, diciamo, non come dire, ignorare questo aspetto dal punto vista numerico, dal punto di vista di importanza, come vi ho detto 1º, veramente miope.
Tra l'altro considerate che in tutto il resto d'Europa il giurista d'impresa è riconosciuto e tutelato. Altra cosa voi sapete che ormai le aziende si si chiede sempre di più di adottare dei sistemi di compliance, che significa prevenire tutta una serie di cose, e la NIS 2 non fa sconti da questo punto di vista, anzi è, come dire, l'estrema applicazione, diciamo, di questo aspetto, e noi ci troviamo in una situazione nella quale la giusta impresa non è riconosciuto, e soprattutto non una cosa fondamentale che hanno altri colleghi degli altri paesi, cioè il legal privilege. Il legal prive sarebbe la possibilità di avere le proprie corrispondenze, come dire, con I apicali dell'azienda, o su amministrazione o con l'amministratore delegato, riservate, coperte da un segreto. Quello che hanno ovviamente gli avvocati, perché gli avvocati quando parlano con il cliente, tutto quello che si scambiano con il cliente è riservato. Questo chiaramente penalizza non la figura del giusta impresa in sé, cioè la mia...
Come dire la nostra non è una battaglia di rivendicazione sindacale, sia chiaro, ma è una penalizzazione molto forte per le imprese italiane che si trovano invece a competere su mercati dove ci sono altre imprese, che sono americane, adesso anche quelle francesi, o comunque inglesi, o comunque del nord... Del nord Europa, o in Europa dove ormai spagnole da ultimo, anche la Spagna adottato il legal privilege, in cui praticamente I giuristi impresa interni godono tra virgolette di questo privilegio, che non è privilegio ma è una garanzia per l'azienda. Questa cosa non siamo... Purtroppo in Italia non siamo ancora arrivati a questo punto, purtroppo perché ci sono delle, come dire, delle resistenze diciamo dal mondo dell'avvocatura rispetto ad a equiparazione totale con l'avvocato da questo punto di vista, però a mio avviso dal punto di vista proprio di sistema, e qui si parla... Si torna al sistema del sistema di cui parlavo 1º come sistema di Paesi Italia, una visione molto miope, perché pensate che da ultimo in Francia che questa normativa è stata approvata l'anno scorso, la battaglia per approvare questo legal prive per I giusti impresa, non hanno fatto le giuste imprese.
L' fatta la Confindustria Francese. Perché detto in questa maniera voi state penalizzando le le imprese francesi. Voi sapete che la Francia da questo punto di vista è molto brava a fare sistema, e dopo quarant'anni di battaglia, perché loro pure questa battaglia hanno iniziato tanto tempo fa, finalmente sono riusciti. Quindi diciamo in Italia purtroppo siamo rimasti veramente solo noi fanalino di coda di questo, e e devo dire che se si continuano ad implementare... A diciamo emanare direttive comunitarie o normative nazionali in cui si chiede sempre alle aziende di adottare sistemi di compliance, di prevenire, prevenire, ma poi non si dà a coloro che sono all'interno I giusti imprese che sono I primi che poi si trovano ad affrontare queste cose, I metodi e gli strumenti per fare...
Per rendersi diciamo effettivamente attuatori di queste normative, veramente comincia a diventare un 1 esercizio complicato da gestire. Detto questo io vi ringrazio per l'ascolto e ringrazio ancora gli organizzatori. Grazie. Grazie presidente.
Alessandro Del Frate
Grazie ancora. Adesso abbiamo il videomessaggio del sottosegretario di stato senatore Butti che comunque non è potuto essere qua con noi ma ci tenuto a mandare un suo saluto. Prego. In diretta anche questi...
Prego. Va bene, comunque grazie presidente, è stato sicuramente diciamo toccato tutti I punti anche diciamo quelli dei relativi successivi, quindi è stato diciamo onnicomprensivo specialmente chi si è No, ci sono tanti giuristi d'impresa e appunto ringrazio tutti diciamo è sicuramente molto importante anche quello che detto del fatto che le comunicazioni siano riservate e non riproducibili in giudizio perché comunque è sicuramente un aspetto che riguarda la tutela degli E allora siccome abbiamo un pochino di problemi tecnici con il messaggio, con il videomessaggio, senso che non abbiamo l'audio possiamo un attimino bloccarlo e intanto andiamo avanti, lo lo possiamo magari vedere dopo e così almeno andiamo sul... Andiamo al pannel successivo e quindi invito a sedersi qua con me il dottor Sir Fabrizio Salvagnini, l'avvocato Simona Fell, il generale Al Verona e il generale La Vacca. Sì, era... Sì sì, era...
Speaker 56
Salve agnin... Prego se... No, no, no, sì sì sì ora Era in apertura, era in apertura.
Alessandro Del Frate
Posso andare? No no no era in apertura, era in apertura. Allora procediamo con... Procediamo con I lavori e passiamo al 1º panel che è quello sulle tecnologie e innovazioni per la resilienza digitale, lo introdurrà il generale Pasquale Lavacca che dopo aver delineato le priorità strategiche per il sistema paese ci darà appunto anche la sua visione relativamente a quello che è il... A quello diciamo che è la tematica della NIS 2.
Grazie generale.
Pasquale La Vacca
No, io chiedo scusa ma pensavo di essere a chiudere perché lo stratega militare è lui sulla NIS, No no, va bene,
ma va bene, va bene, non
Pasquale La Vacca
c'è problema. Io vi ringrazio, ma siccome sono anch'io un animale preistorico come Domenico Rossi, essendo di 3 corsi dopo di lui in Accademia Militare, quindi abbiamo iniziato con le schede perforate, I collegamenti da Modena a ONEYWELL a Milano, quindi... Però insomma, poi ci siamo evoluti come la specie umana e quindi non... Allora, io adesso al di là di quello che detto il generale Rossi che è stato anche sottosegretario alla difesa, quindi avuto una visione direi multidimensionale, no? Io ho avuto l'esperienza nei Carabinieri, quindi diciamo che la mia vita è stata una vita abbastanza operativa oltre che da comando generale e quindi organizzativa eccetera.
Peraltro, diciamo, è quello che un po' informatizzato l'Arma dei Carabinieri a cominciare dalle stazioni, poi a continuare, perché ho avuto la fortuna di essere una ventina d'anni a trattare di questi argomenti e quindi a fare ricerca e sviluppo soprattutto al comando generale. E ripeto, voglio tracciare, parlare di questa... Di questo argomento sotto un aspetto più poliziesco, tra virgolette, cioè di esperienza. Io purtroppo ho vissuto anch'io gli anni in cui si parlava di terrorismo, si operava sul terrorismo, ai 68 ero al liceo, quindi ho vissuto varie... Oggi sento parlare di rivendicare o rivedere certi argomenti in giro per l'Europa e poi...
Allora ho voluto affrontare questa... Intanto con 2 concetti, che è l'orizzonte digitale... Che cos'è l'orizzonte digitale? Almeno oggi si parla di orizzonti digitali. Io non sono un laureato in informatica quindi...
Però ovviamente vent'anni nel settore ho avuto qualche esperienza. E sono tutte quelle tendenze tecnologiche di carattere sociale che implicano anche responsabilità geopolitiche. Perché lo strumento informatico è diventata una infrastruttura sociale e geopolitica e poi vedremo perché. Soprattutto oggi con l'introduzione, o meglio la... L'esplosione del concetto di intelligenza artificiale.
Dico esplosione perché ritengo che siamo solo agli inizi di questo percorso. A... Qualche sera fa, in una conversazione privata, ricordavo la pecora Dolly. Chi è antidiluviano come me ricorda questa esperienza della clonazione della pecora in Inghilterra. Ecco, probabilmente siamo molto molto molto oltre e arriveremo anche oltre.
Se... E qui il problema è se non si danno delle regole chiare, precise e accettate, perché poi il problema è questo. Leggi il computer, la connettività... Che Jean-Germain Rossi parlato di connettività, la connettività è essenziale. Qualche sera fa sempre in questa discussione ricordavo una costellazione che...
Di satelliti che fu messa a suo tempo per costruire lo scudo spaziale, che poi è scomparsa. Fu portata avanti da da alcune aziende, grandi aziende americane, poi è scomparsa. Nessuno pagato, ma perché? Perché quell'esperienza di mini satelliti o comunque di satelliti medi, era servita poi a creare qualche cosa nell'ambito militare. Non certamente in ambito civile, dove poi è nata Starlink, sono nate altre cose.
Ovviamente parliamo di sicurezza informatica, di calcolo quantistico e questa è un'altra frontiera tutta in divenire. Seguo con attenzione alcune startup, spesso vado da Federico 2º a Napoli dove ci sono dei dei professori che stanno seguendo in particolare il quantum computing, cioè che costruito un computer quantistico. Ho avuto innanzitutto un'esperienza con IBM, che forse è quella più avanti nel settore, perché sta andando alla grande. Ma mi manda... È un fatto ordinario, sono in un hub di startup a Terni dove su 160 aziende o mini...
Mini aziende, insomma mini startup, ce ne sono almeno 4 o 5 che vanno avanti col quantum. Tant'è che si pensava di fare un quantum... Distretto quantum aterni in... Un altro concetto, ecco, l' accennato il generale Rossi, è quella di... Dei nuovi domini verso I quali dobbiamo confrontarci.
E a quello che era il dominio di terra di mare e poi di cielo, si è aggiunto poi lo dominio spaziale, con tutto ciò che concorre a creare il dominio spaziale e il dominio della sicurezza informatica. Oltre al Sunder Water, perché il nuovo... Diciamo, quando parliamo di mare dobbiamo intendere anche ciò che sta sotto il mare. E voi ricordate ormai sempre più avanti il problema delle... Dei collegamenti fisici tra continenti con le fibre ottiche sottomarine.
Quale problema è... E quale preoccupazione dà. Dato questi cognetti in generale annunciava la guerra cognitiva. Ora chi... Che cos'è guerra cognitiva?
Già il termine guerra forse può indicare qualunque cosa, ma vuol dire molto di più di quello a cui può pensare. E in guerra cognitiva noi intendiamo quell'insieme di azioni volute, sistemiche, anche random, che tendono a influenzare, manipolare, degradare le capacità percepitive e decisionale di fiducia di individui, di gruppi o società. Viviamo ogni giorno queste situazioni, ogni giorno. Lo viviamo sempre più con I social. E di qualche giorno fa un'ulteriore evidenza dell'impiego di un social per organizzare manifestazioni eccetera.
Ma ce n'è, guardi, non è la 1º, non è l'unica, non sarà l'ultima. Perché? Perché questo
è un
modo
Pasquale La Vacca
Per erodere la fiducia nelle istituzioni e nei processi democratici. Quindi polarizzare e frammentare opinioni pubbliche, comunità, loro viviamo ogni giorno in questo tipo di problema. Distorcere informazioni, soprattutto quelle critiche. Immaginate un'informazione errata, lui fatto riferimento, era un carrista, su un campo di battaglia, no? Si dice che stanno attaccando da una parte e arrivano un tipo di informazione, magari tramite I social, invece si stanno infrandellando.
Questo fa parte di una strategia militare che poi dà luogo ad azioni tattiche. O mercati manipolativi. Immaginate nel settore finanziario cosa succede. Settore finanziario dove un solo annuncio di un capo di Stato provoca problematiche, positivo o negative, sul mercato finanziario. E ma soprattutto quella che è più grave, quelle informazioni che creano indecisione.
E nel mondo moderno l'indecisione è letale. Chi sono gli attori? Ovviamente gli Stati. Vediamo sempre più le intelligence, no? In questi giorni si parla dell'influenza dell'intelligence di alcuni paesi su altri per manipolare le elezioni, per manipolare la vita quotidiana, no?
Addirittura si è ventilato che qualche intelligence straniera stia agitando le piazze attraverso attraverso sistemi assolutamente ordinari. E quindi gruppi politici ideologici, gruppi criminali. Guardate, io ricordo... Vi ho comandato la provincia di Brindisi dal 95 al 98, ed era una provincia dove il contrabbando di sigarette era essenziale per la vita di tutti, no? Ebbene, il grande...
Il più grande contrabbandiere brindisino, tale signor Prudentino, viveva in Montenegro, laddove gestiva I suoi traffici, che all'epoca erano traffici sostanziosi. Ecco, il figlio più grande del dottor Prudentino, chiamiamolo così, era diventato un economista e viveva in Svizzera. Questa era l'evoluzione positiva, ma noi abbiamo visto anche nelle grandi comunità mafiose o 'ndranghetiste, eccetera, diciamo le generazioni successive si sono evolute in questo senso perché possono gestire a livello finanziario quello che è il risultato di operazioni fatte da... Nel sul territorio. Ci sono attori ibridi, che possono essere benintenzionati o malintenzionati.
Malintenzionati sono criminali, I benintenzionati magari vanno oltre ciò che che vorrebbero. Capagne varie, pubblicitarie. Noi assistiamo sempre più al warning, no? All'attenzione alle truffe... Alle truffe telematiche, no?
Perché arrivano? Sono ovviamente tentativi di entrare e captare informazioni, dati e indirizzare scelte personali e anche di gruppi. Poi c'è l'altra, la tabella informatici combinati, quelli ormai si vedono chiaramente man mano quando andiamo avanti. Ma c'è un'altra che la saturazione informativa che è la tacco, diciamo, multilaterale per bloccare I sistemi. E qui direi quali sono gli impatti.
E lo stesso della collezione sociale, danno reputazionale a persone e aziende con ricadute economiche. Io ricordo, lo cito quando si parlò del... Dell'amministratore delegato di Augusta Westland, che aveva fatto in India dei dei contratti per cui erano stati, si pensa... Pensavano che erano state pagate delle tangenti, che poi è rimasto assolutamente escluso. Ecco, qual è il danno reputazionale per quella persona e per quell'azienda?
Nel caso specifico quei contratti di Vinsori Francesi. Gli elicotteri sì, Gusta Gusta, parliamo di elicotteri, contratti di elicotteri. Ora, l'intervento sulle elezioni, in questi giorni, ieri, l'altro ieri, presto mi interme, eccetera, verranno fuori queste denunce di influenze straniere nella... Nel potere di... Elettivo delle vere cose.
Ovviamente questo dei costi eccezionali per la nazionale. Quindi cosa può fare una governance? Intanto, abbiamo detto, una strategia di resilienza cognitiva che mette insieme intelligence, difesa, istruzione e regolazione dei media, perché questo è molto importante. Assistiamo oggi alcune nazioni, alcuni paesi che limitano o escludono, per esempio, l'uso dei telefonini da una certa età in giù. Sarà vero, possono essere fatti, non possono essere fatti, si cerca di intervenire su piattaforme per limitare o verificare lì la...
L'ingresso in quelle piattaforme. Centro di allerta e risposta che è importante, noi abbiamo l'esempio del XIRT, ma abbiamo sempre della CN che ci dato ovviamente delle direttive. Soprattutto ci sono direttive di carattere europeo perché ogni nazione da sola non riesce a coordinare le cose se non parla lo stesso linguaggio degli altri. Normative su trasparenza delle campagne politiche e pubblicitarie, questo è assolutamente importante. Adesso si vada al di là del del protestante che brucia la...
L'effige, no? Di una... Di un governatore a quella che scimmiotta. Io ho tracciato qualche giorno fa la notizia che la Presidente del Consiglio, come dire, messo in in cantina in... La propria voce, no?
Perché? Immagino in che senso? Ecco. Perché oggi con quella famosa procedura di intelligenza artificiale si riesce a fare di tutto e di più. E quindi l'aver messo in sicurezza un dato, che è quello della voce, è importante.
Poi ci sono le regole per le piattaforme. E qui devo dire che, nel momento in cui si assiste a una diversità di opinioni, per esempio sulle regole della intelligenza artificiale, noi abbiamo vissuto nei giorni scorsi questa diatriba tra Antropic e altri, che lascia intravedere a monte un diverso interesse di carattere di business. Non certamente quello di dare regole precise. Cosa deve fare? Protezione dati, investire ricerche contro misure tecnologiche, campagne pubbliche per l'alfabetizzazione mediatica e la residenza cognitiva, e poi la cooperazione internazionale, e qui è assolutamente importante.
Cosa facciamo difesa e sicurezza? Ecco, vorrei darvi questa questa scena, che è una scena che potrebbe sembrare di carattere militare, dove la tecnologia, e lo vediamo in Ucraina, lo vediamo in Medio Oriente, lo vediamo anche in altre parti africane o nel Sud America, lo scenario prettamente militare che voi vedete si accompagna a uno scenario assolutamente di carattere civile. Io lo dico dualiuso, perché oggi si... Il concetto di dualiuso è un concetto dominante, no? Si fa qualcosa di carattere civile perché possa essere usato anche a carattere militare o viceversa.
E vedete, manipolazione dell'informazione è assolutamente importante per guidare l'ingresso sul sul circuito civile. Cyberwarfare sulle infrastrutture. E poi avete visto ciò che non è più solo una film mistica. Da diversi anni certi film ci ci abituano a vedere I robot che girano, che non è più una film mistica, c'è qualcosa di molto di più. La simmetria strategica, c'è una...
Come dire, una diversa concezione di... Così, del modo di intervenire su queste cose. E alla fine ciò che bisogna gestire, controllare, è prevedere. Questi sono 2 concetti assolutamente importanti. Di Lowford ne parlato il presidente poco fa, che è importante...
Organizzare le normative di carattere legale o legislativo per metterli insieme. Vado più di rifletto. Perché? Perché ci sono forme accentrate di potere, noi lo vediamo tranquillamente, che sfruttano la nuova tecnologia per arrivare a determinati obiettivi. Lo vediamo...
L'abbiamo visto, qualcuno che si è vestito da Papa. Abbiamo visto altri che danno... Cioè chi il potere nelle mani è decisionale, è un potere assoluto, è quello che poi va ad influire sull'opinione pubblica. Non solo quella interna, ma soprattutto l'opinione pubblica internazionale. Questo è molto importante perché la gestione del potere è molto importante.
Bisogna intanto riconoscere lì dove c'è questo vulnus, a livello internazionale, bisogna tener conto di queste cose. E a livello nazionale ci vuole un approccio integrato, in cui, si è detto 1º, bisogna la cultura della sicurezza. Sviluppare questa sicurezza a livello multidominio, ho parlato di quel multidominio, cui si aggiunge anche l'underwater, che sia integrata, non ci possono essere normative singole, non coordinate, non... E poi sviluppo di un approccio nazionale di deterrenza multidimensionale che si accompagna necessariamente nella comunicazione. Una dorsale digitale, noi non abbiamo solo la Riform sul territorio, ma abbiamo anche tante esperienze di satelliti.
Io sorrido quando sento parlare di Musk e di Starlink. Ritengo che noi siamo stati più capaci, però noi abbiamo sviluppato. Fimeccanica mi dato su dei satelliti, si chiamano Sicral, che avevano questo obiettivo, di creare una dorsale, dorsale per le comunicazioni. Noi come Carabinieri siamo l'unica organizzazione, per esempio, abbiamo sul territorio 4000.600 apparati satellitari. Si chiama ARMASAT.
La conosco perché l'ho fatta io il... Al Verona, l'ho fatta insomma, diciamolo, l'ho promossa, che abbiamo dovuto far lavorare su Eutelsat, con un hub a vigna di valle, quindi un ambiente assolutamente militare. Perché? Perché, diciamo, il Sicra non era in grado di supportarlo. 4000.600 stazioni satellitari significa che tutto il territorio è costellato di possibilità, di necessità di fare comunicazione sicura.
E poi bisogna accelerare il processo di innovazione. Guardate, l'innovazione non è una cosa che si ferma strada facendo, è qualcosa di divenire continuo. Io ho fatto ricerca e sviluppo per una ventina d'anni e quindi non mi fermavo mai. Perché quando si parla di compliance, bisogna avere consapevolezza, l' accennato 1º il presidente, mappatura, monitoraggio, sicurezza e per notifica, e qui abbiamo ovviamente la 2 3 1 di cui si è parlato. Perché, 2º me, per difendersi bisogna conoscere.
Questo vale per I militari, ma vale per, soprattutto, anche per I civili, dimostrare che quello che si va, che queste informazioni sono reali, reagire e proteggere. Come siamo organizzati come forze di polizia? Ecco, forse poi ci saranno, diciamo, questa struttura che mette insieme le forze di polizia e l'agenzia di informazione. Sono... Al Ministero dell'Interno ci sono 2 polizie a carattere generale, più la guardia di finanza e la polizia penitenziaria, che concorrono ovviamente...
Ricordatevi il termine sensori. Ecco, sensore è chi sta sul territorio, qualcosa sta sul territorio, e coglie la 1º informazione, la trasmette. Al Ministero dell'Interno c'è questo Servizio Centrale di Polizia e di Prevenzione, che tratta direttamente e in maniera coordinata da tutte le forze le problematiche, soprattutto di carattere terroristico. Attraverso la DIGOS e noi attraverso il ROS, ecco attraverso tutti I comandi che sono sul territorio. La Guardia di Finanza la sua struttura, fa la polizia fiscale, avete sentito qualche giorno fa che si era riunita perché c'erano problematiche anche in questo senso, ma perché l'obiettivo è contrastare quella minaccia terroristica interna internazionale.
E per terrorismo intendo qualunque cosa. Io vengo da esperienze di terrorismo interno e quindi so di cosa parliamo. Oggi siamo un momento diverso in cui oltre a quel terrorismo interno che comunque c'è permane, Io ho fatto molti anni di servizio operativo a Torino che 2º me è sempre il crogiolo, no? Di queste situazioni. E lo vediamo ogni giorno, sia...
Vedete, in questi giorni, no? Io ho vissuto già a Scatasu, Scatasuno, a Torino, qualcuno ricorda cos'è, ecco. La TAV in Val di Susa, no? La TAV che va in Liguria. Sono argomenti che vengono presi a pretesto poi per fare, diceva una ragazza a un telegiornale, per fare casino.
È vero che molte si comportano così, però è vero che c'è qualcosa di diverso probabilmente dietro, è l'arresto di quel ricercatore italiano naturalizzato, o comunque italiano perché è nato in Italia probabilmente, lo dimostra. E poi non ricordiamo, no? Il carcerario, guardate che ogni tanto riappare questa sigla, perché è comunque presente sul territorio e organizza e si organizza, ricordate quel termine cospito, no? È quel rappresentante di quell'organizzazione che è in carcere a 41 bis, per cui... In nome del quale sono stati organizzati una marea di problematiche sul territorio.
Le tifoserie, sono queste le minacce. Io le chiamo terrorismo in senso generale, ma lo vediamo tutte le domeniche, tutte le volte che sono. Chi vive il territorio è così. E poi ovviamente c'è il problema del... Dell'immigrazione clandestina che qualche volta si trasforma.
Io quando ero in Puglia ricordavo avevamo l'antiimmigrazione, I programmi finanziati dall'Europa, Interregg, Italia Grecia, Italia Albania, quando c'era il fenomeno dell'immigrazione. Al mio prefetto all'epoca, parliamo del 95, 96, 97, 98, dicevo, ma... Ho fatto una riflessione. Che non è di casta, ma dico, ma come mai moltissimi di questi sono di di religione musulmana? Che cosa porta?
Speaker 57
Potrebbe portare? È una riflessione, poi è chiaro che non faccio... Non faccio... Vado sul territorio. Sì, andiamo sul...
Andiamo sul terreno. Cosa importante?
Lo scambio informativo.
La invito a questo A te sul territorio.
Pasquale La Vacca
C'è il CASA di cui avete sentito parlare a livello per il CASIS, per la finanziaria, e poi ovviamente gli enti militari e e gli ambienti europei.
Dobbiamo arrivare a certi obiettivi, non escluso questo, e la lancio come warning. La lancio come warning perché? Da Wuan siamo passati a alla Siberia, la viaria, sono incidenti o c'è qualcosa di diverso e di più? Vogliamo pensarci. Ovviamente bisogna informarsi, bisogna far girare le le notizie, bisogna arrivare a avere il controllo del territorio.
È importante la ricerca informativa. Bisogna mettere insieme tutti, io ho parlato di sensori, tutte le informazioni che vengono da tutte le parti, metterle insieme, miscelarle per poi arrivare ad avere un risultato che consenta a chi governa in tutti I sensi, questo vale anche per le aziende ovviamente, di avere... Ma le nuove sfide, ecco, intelligenza artificiale, la cyber e il quantum calcolo quantistico. Perché? Perché noi viviamo in un mondo di questo genere, dove...
Tutto è collegato, si trasmette informazioni, dati. Viviamo... Sono termini che voi sentite parlare regolarmente, no? Smart road, dove le strade intelligenti. Quindi ci sono sensori e trasmissitori dappertutto.
La smart city. Domani sarò ad Al Laquida a parlare proprio di smart city in un convegno smart grid, quanto le infrastrutture elettriche sul territorio ci possono essere utili per avere informazioni, per trasmettere informazioni. Può essere una rete digitale. Noi, lavorando, scoprimmo tempo fa, molti anni hanno fatto la Riform, che tutte le ferrovie hanno su ogni tratto di ferrovia la fibra ottica, spesso non utilizzata. Quale migliore occasione per mettere insieme le cose?
Mandiamo la smart logista, la smart agricolture, ma soprattutto alla sanità intelligente. Che è vero che riorganizzare I processi faciliterà l'assistenza, eccetera. Però attenzione, perché la telemedicina, per esempio, è una trasmissione di dati critici. E anche lì bisogna intervenire. Come le aziende intelligenti che si scambiano, no?
Parlato di filiera, certo. Perché tutti sono in cloud. Cioè domani c'è un magazzino virtuale di informazioni che bisogna assolutamente proteggere, assolutamente proteggere, non solo degli attacchi diretti, anche degli attacchi indiretti. Vabbè, vado avanti ma...
Sull'ultimo... Ultimi tempi
ci sarà
Speaker 58
anche delle Voglio arrivare quello che sono qua nel prossimo video. Prego, grazie.
Pasquale La Vacca
Si parla di sovranità e digitale. Ci vuole indipendenza, autonomia, ma soprattutto resilienza. Grazie.
Grazie signor.
Speaker 59
Grazie signor generale. Cedo la parola al generale Alverone. Grazie Giuseppe.
Grazie Alessandro. Sarò breve.
Speaker 17
Sarò breve. Allora vi chiedo di fare un piccolo sforzo di immaginazione. Pensate a un esercito, ma non a carri armati o a uniformi. Pensate al processo decisionale, come decide... Come si decide all'interno di una forza armata di un esercito.
In alto abbiamo il livello strategico, cioè chi fissa gli e spiega perché vale la pena combattere. Poi sotto abbiamo il livello operativo, cioè chi trasforma gli obiettivi in una campagna, dove, quando, con quali risorse. La campagna è un insieme di operazioni militari svolte all'interno di un teatro operativo in un determinato tempo per realizzare gli obiettivi strategici. E ancora sotto abbiamo sul terreno il livello tattico, cioè coloro che seguono la manovra. La manovra è il movimento delle forze sul terreno per ottenere la superiorità sul nemico.
Quindi vedete noi abbiamo 3 livelli, strategico, operativo, tattico. È uno schema antico ed è lo stesso schema che Monica Perico, l'ingegner Monica Perico ed io abbiamo trovato dietro 144 considerando e 46 articoli della NIS 2.44 articoli del decreto 138 del 2024 che l' recepito quando abbiamo scritto il nostro 1º libro sulla NIS 2 intitolato MONIS, modello organizzativo NIS 2. E questo non è un caso perché la cyber sicurezza è organizzata a livelli. Quindi nei pochissimi minuti a disposizione io voglio portarvi a vedere la NIS 2 con questi occhi. 1º dall'alto a livello macro Europa e Stati membri, poi a livello micro dal basso quindi le singole organizzazioni soggetti essenziali e importanti.
Speaker 20
E vi mostrerò una cosa davvero molto suggestiva. Cioè questo schema a 3 livelli strategico operativo tattico si ripete uguale a livello macro così come a livello micro, è come un frattale, cioè un oggetto geometrico che ripete la sua forma in maniera uguale o simile su scale diverse. Immaginate il romanesco, non so chi l' mai visto, dove ogni cima replica l'intero. Quindi partiamo velocemente dal livello alto, a livello macro. La 1º NIS, la direttiva 1148 del 2016, aveva un difetto che è noto a tutti.
Speaker 19
Era stata applicata da ogni stato a modo proprio, quindi avevamo 27 eserciti, 27 dottrine e nessun comando unificato. La NIS 2 nasce proprio per correggere questo difetto e lo fa costruendo quello che I militari chiamerebbero stato maggiore, cioè quelli che gestiscono il livello strategico laddove si definiscono gli obiettivi e si assegnano le risorse. Ora su questo aspetto la NIS 2 è molto severa perché impone agli Stati di adottare una strategia nazionale per la cyber sicurezza, lo dice l'articolo 7 della direttiva ripreso all'articolo 9 del decreto recepimento, obbliga gli stati a designare un'autorità competente... Nazionale competente e un punto di contatto unico. A livello operativo obbliga ad adottare uno XIRT, una squadra che gestisce gli incidenti h 24 e un'autorità di gestione delle crisi.
Speaker 18
Ora questa linea di comando in Italia è davvero molto chiara perché noi al vertice abbiamo il presidente del consiglio dei ministri che è all'alta direzione della politica di cyber sicurezza e ed è chiamato ad adottare la strategia nazionale per la cyber sicurezza supportato dal CIC, comitato interministeriale per la cyber sicurezza che funzioni di consulenza, proposta e vigilanza. Sotto abbiamo l'agenzia nazionale per la cyber sicurezza, la CN, che è un po' il capo di stato maggiore, è autorità nazionale competente NIS, è punto di contatto unico e ed è affiancato dalle autorità di settore NIS. Ancora sotto abbiamo il CSIRT che è sappia... Il CSIRT Italia che è la squadra operativa che h 24 gestisce gli incidenti. Ma vedete gli incidenti non si fermano alle...
Ai confini nazionali ed ecco che l'Europa disegna una struttura anche in ambito europeo con 3 reti e 3 funzioni. In alto abbiamo il gruppo di cooperazione che si compone dal... Dai rappresentanti degli stati membri, un rappresentante della commissione e da un rappresentante di Enisa, è il tavolo della strategia. Sotto abbiamo la rete dei XIRT nazionali a livello operativo, cioè è una stanza di compensazione e di scambio per la gestione degli incidenti transfrontalieri e poi abbiamo che è la rete di collegamento delle autorità di gestione delle crisi cibernetiche su bassa scala. Vedete livello strategico in alto, livello operativo tenuto insieme da un meccanismo di crisi e livello tattico rimane a livello nazionale, è lo...
È il dello stato che è stato colpito. Monica Perego ed io nel nostro libro l'abbiamo definita una straordinaria macchina da guerra per la gestione delle crisi cibernetiche, cioè centralizzata, coordinata, con responsabilità chiare e qui arriva il punto quando noi scendiamo a livello macro, a livello delle organizzazioni la normativa cambia tono, è meno rigorosa perché noi vediamo che l'articolo 21 della direttiva ripreso dall'articolo 24 del decreto di recepimento dice alle organizzazioni cosa devono presidiare e lo fa con una 10 famiglie di misure che vanno dall'analisi dei rischi alla catena di fornitura, però sul come lascia ampia autonomia. Quindi in termini militari noi possiamo dire che lo Stato Maggiore, la CN con le sue determinazioni scritto la la strategia, definito la missione, ma non scritto quello che I militari chiamano manuale di campo, il field manual. Il manuale di campo è il livello operativo, è lo strumento che in ambito militare traduce la strategia in metodo. Ora noi sappiamo che la CN scritto l'elenco dei controlli, le chiamate requisiti operativi o specifiche di base e sono in scadenza in questi giorni per le organizzazioni che sono state censite nel 2025.
Però vedete un elenco di controlli è come un inventario di munizioni, ci dice cosa deve esserci ma non ci dice come vanno tenute insieme, quindi quel manuale di campo deve ancora essere scritto. Vedete questa non è una dimenticanza del legislatore, è una scelta ben precisa perché in questo modo un ospedale o una software house possono adattare l'unica missione dell'ACN a realtà molto diverse tra di loro. Vedete questo vuoto certamente è una libertà ma è anche una responsabilità enorme perché quel manuale di campo qualcuno deve scriverlo e quel qualcuno sono proprio le organizzazioni. Allora molto brevemente entriamo idealmente all'interno di queste organizzazioni. Immaginiamo un ospedale, un'azienda idrica, un operatore logistico, un fornitore di servizi digitali.
Speaker 16
Come ho detto 1º all'interno di queste organizzazioni esiste questo schema di tipo militare, è strategico, operativo
Speaker 16
Il livello strategico un nome ben preciso, si chiama politica. La politica come ci insegna il paragrafo 3.5 0.8 della Iso 9001 è la dichiarazione di intenti e la direzione di un'organizzazione così come sono espressi dall'alta direzione. Quindi la politica riporta la vision del vertice organizzativo e non entra nel dettaglio perché ci indica la direzione di marcia, I militari la chiamano intento del comandante e chi firma la politica? Ecco ce lo dice l'articolo 23, lo firma il vertice organizzativo, gli organi di amministrazione e direttive, I membri del consiglio di amministrazione che sono chiamati come si è detto 1º ad approvare le misure, a sovrintenderle e ad essere chiamati in caso di violazione, a ad essere chiamati come responsabilità. È quello che I militari chiamano comando e controllo e che la scienza dell'organizzazione mutuato e ridefinito con il termine governance.
Sotto la politica noi abbiamo il livello operativo nelle singole organizzazioni, un livello operativo che traduce la strategia in vita quotidiana e lo fa con 3 strumenti che sono I mattoni di tutto il resto, sono I piani, I processi e la procedura. Un piano ci dice come realizzare gli obiettivi con date, risorse, responsabili e budget. Il processo è ciò che si ripete ogni giorno chiunque sia in turno, mentre la procedura è quel processo messo per iscritto passo passo, chi fa cosa e in che ordine. I militari lo chiamano standing operating proceduer, cioè la procedura operativa standard, quando sono un allarme nei militari non c'è nessuno che improvvisa perché tutti sanno quello che devono fare. Velocemente vediamo cosa abbiamo messo in fila all'interno dei soggetti essenziali e importanti, una politica che esprime la strategia, piani, processi e procedure che trasformano questa strategia in gesti quotidiani.
Ora questi elementi quando sono insieme e si coordinano vanno a formare quello che noi chiamiamo sistema di gestione. Chi tratta la ISO 27001, la 9001, la 37001, la 42001 sa bene di cosa sto parlando, queste norme hanno la stessa struttura e condividono la stessa definizione di sistema di gestione come insieme degli elementi di un'organizzazione che stabilisce politiche, obiettivi e processi per raggiungerlo, vedete? Politiche, la visione del vertice strategico, gli obiettivi e I processi per realizzarlo, quello che abbiamo detto finora. E quindi un sistema diciamo che il criterio di riferimento qui non so, non è una norma tecnica ma è la direttiva NIS 2 la quale non parla mai di sistema di gestione ma nei fatti lo pretende. Lo pretende quando prescrive misure adeguate e proporzionate, quindi ci dice pianifica e fai, quando ci chiede la valutazione dell'efficacia di queste misure che dobbiamo adottare e quindi ci dice verifica o quando ci chiede delle misure correttive dopo gli incidenti.
Quindi vedete pianifica, fai, verifica, migliora è il ciclo di daming. Ma un sistema di gestione per poter esistere deve essere scritto, deve essere documentato e noi Monica Perico ed io l'abbiamo abbiamo pensato a questo documento che raccoglie in un'unica architettura politiche, procedure, processi, piani e processi l'abbiamo chiamato modello organizzativo NIS 2 o MONIS, un documento che non è un adempimento da cassetto ma il documento a cui tutti tornano quando bisogna prendere decisioni e che delle proprietà per noi molto importanti, non solo diventa criterio di audit, non solo si integra con il MOP, con la ISO 27001, con gli altri sistemi di gestione e non solo è uno strumento per assolvere le responsabilità, ma attenzione molto importante quando viene approvato dal vertice organizzativo diventa vincolante per I dipendenti ai sensi dell'articolo 2104 del codice civile il quale al comma 2 prescrive che il lavoratore debba osservare le disposizioni sulle istruzioni alla disciplina del lavoro date dall'imprenditore. Vedete come la sicurezza da raccomandazione si trasforma in dovere da parte del lavoratore? Quindi avevo altre cose da dire ma stringo moltissimo a beneficio diciamo di chi mi... Chi di...
Mi segue e dico ritorno subito, la NIS 2 disegnato uno stato maggiore europeo e nazionale molto potente e con una catena di comando davvero molto chiara. Quindi come ho cercato di delineare scritto la strategia, definito la missione, poi si è fermato una... Diciamo un gradino 1º del terreno a livello tattico e detto il manuale di campo lo scrivete voi, detto alle organizzazioni. Quindi noi riusciamo a capire che la cyber sicurezza non è fatta solo e tanto di tecnologia, ma è fatta essenzialmente da organizzazioni che sanno chi decide, chi esegue e chi risponde delle decisioni, proprio come in un esercito, proprio come nella IS 2. Grazie per l'attenzione.
Alessandro Del Frate
Grazie, grazie signor generale. E allora giustamente l'imprinting militare dà, come dire, là tutte le organizzazioni e comunque torniamo nel vivo appunto delle tematiche dell'organizzazione dell'impresa e adesso parla l'avvocato Simona Fell e appunto tornerà molto sulle tematiche che già affrontato il presidente Martellino e le andrà a sviluppare
Simona Fell
allora buongiorno a tutti, grazie grazie grazie Alessandro intanto per questa breve premessa, ma soprattutto per il coinvolgimento in questo evento. Alessandro appunto è quindi partners, uno degli organizzatori appunto di questo evento, che rappresenta la tecnica che governa, la tecnica di cui... Di cui hanno parlato I precedenti relatori, la tecnica che governa la disciplina giuridica che si sa... Che si sta appunto sviluppando intorno alla sicurezza digitale, alla sicurezza nazionale. Siamo in questa sede, questa sede è molto importante, anche un ringraziamento al senatore Amidei che non è presente, ma appunto perché è un luogo molto importante perché rappresenta il legislatore che si opera, che si adopera affinché appunto la...
Speaker 22
Il tema della sicurezza nazionale, della sicurezza digitale, dell'integrità dei dati, della sicurezza personale sia un tema che stia al centro del dibattito politico e della disciplina insomma legislativa. Al... E in mezzo tra la tecnica e il legislatore ci sono gli operatori del diritto, come me appunto, che sono un avvocato che prova a districarsi rispetto a questa... Questo susseguirsi di legislazione e questa evoluzione tecnica che, come sappiamo tutti sotto I nostri occhi va molto più veloce anche della della legislazione che prova a governarla. Sarò anch'io brevissima per provare a recuperare il tempo appunto che gli altri relatori con grandi argomentazioni molto interessanti, molto complesse e molto articolato...
Articolate hanno speso per raccontare appunto I temi e per far comprendere come queste... Questi 3 livelli di sicurezza, e quindi NIS 2, GDPR e compliance, si appunto interfacciano e si intersecano perfettamente. Perché sarò anche breve? Perché l'avvocato Martellino, come diceva 1º il signor Alessandro Del Frate, mi praticamente rubato la relazione sostanzialmente. Lo lo ringrazio anche se è uscito dal...
Dall'aula. Non posso neanche prendermela con la sicurezza digitale del del Senato perché in realtà l'avevo stampato, non l'avevo... Non l'ho... Non l'avevo online. Con chi prendermela?
Vabbè, con I manuali di testo dai quali abbiamo studiato tanto io quanto il il collega, l'avvocato Martellino, che sono ovviamente I manuali di diritto penale e ed altri, dai quali abbiamo studiato comunemente, sebbene appunto io sia un giurista d'impresa mentre mentre lui sì. Stesse parole. Cosa dire quindi rispetto a, appunto, interventi più autorevoli e molto completi rispetto a quello che mi accingevo a fare io? La la mia regola aurea in generale, anche nella mia attività di operatore del diritto, è quella che è meno lessis more, cioè ridurre spesso, anche appunto nelle parole e nell'intervento dell'operatore del diritto, spesso è più utile per rendere efficace, efficiente quello che deve essere l'intervento dell'operatore del diritto. Così mi mostro, così mi mi approccio nel mio lavoro di consulente anche aziendale, un lavoro di consulente aziendale al quale sono arrivata soltanto recentemente, da 3 anni ho aperto il dipartimento di open impresa.
Qui c'è la la la prossima... Una delle prossime relatrici, l'avvocato Rossella Gennaro, che è il capo dipartimento, con il quale ho utilizzato lo stesso metodo, lo stesso approccio che ho integrato nel mio studio, ho sperato di utilizzarlo e integrarlo per far superare quei nodi, per far sciogliere quei nodi che l'imprenditore... Davanti ai quali l'imprenditore si trova a dover risolvere relativamente appunto alla gestione di questo panorama, di questo framework legislativo sempre più complicato e sempre più strutturato. Qual è la mia esperienza personale? Anch'io appunto, come tanti tanti altri imprenditori, ho una vera e propria azienda, quindi ho un S.
L. Con 9 dipartimenti differenti. E qual era il... E qual è il mio obiettivo? Così come l'obiettivo di qualsiasi imprenditore, ridurre il rischio nel...
Nella mia attività, quindi nella mia attività di avvocato così come in qualsiasi altra attività di imprenditore. E per citare anch'io, vorrei fare una brevissima metafora e citare anch'io un famosissimo generale, Senaur, come ho fatto a applicare... Provare a applicare di ridurre il rischio all'interno della mia azienda? Tramite
La matrice di Esenhauer, quindi formendomi alcune direttive che sono appunto cosa è importante, cosa è urgente, cosa non lo è e cosa appunto non è né importante né urgente, inquadrandolo all'interno di questo riquadro e formendomi appunto delle delle linee di indirizzo rispetto all'operatività dei miei dipartimenti. In questo modo ho ridotto notevolmente e sensibilmente, l'ho visto nell'approccio appunto lavorativo, il rischio al... Davanti al quale ognuno di loro, ognuno dei miei capi dipartimento si... Si... Il rischio con il quale si confronta ogni giorno appunto che lavora e si confronta con centinaia di cause, decine e decine di cause, nonché appunto...
Che poi diventano a fine dell'anno centinaia di cause e controversie. Da questa fase patologica, che è quella appunto... E che mi insegnato tanto, mi insegnato a prevenire il rischio, l'ho trasportata e ho pensato di poterla spostare anche all'interno del dipartimento per impresa che si occupa di compliance e quindi assiste l'imprenditore in una fase fisiologica, non patologica. Una fase fisiologica che è quella giornaliera appunto attraverso la quale si lavora ai vari adempimenti, ma nel frattempo bisogna calare all'interno della fase fisiologica della vita di ogni azienda quelle che sono le norme, il rispetto delle discipline appunto delle quali abbiamo già ampiamente parlato in questa sede. E come farla?
Tramite appunto un approccio che sia integrato, un approccio che sia vivo e reale all'interno dell'azienda. Quindi il 1º approccio è quello dell'osservazione. Io da ODV entro all'interno delle aziende e osservo effettivamente se esiste una vera e propria segregazione delle funzioni, se quello che risulta dalla carta poi nei fatti è concretamente operato. Come faccio? Semplicemente appunto tramite un 1 controllo, un'osservazione continua dell'imprenditore, mi metto a fianco dell'imprenditore e verifico appunto se queste procedure, se questi framework, se questi protocolli sono effettivamente vivi e operano all'interno dell'azienda.
Nel caso in cui non lo siano, pongo gli opportuni suggerimenti affinché appunto l'imprenditore si adegui a quella che è la normativa. Partendo appunto da questo, diciamo il fulcro essenziale per fare questo è quindi la formazione. Quindi ben vengano questi momenti di formazione come quello di oggi in cui c'è un confronto in cui si... Ci si misura con con vari strumenti di tecnologia che sono essenziali per governare questo momento, ma in cui appunto ci si aggiorna, ci si forma e si comprende come tentare di riuscire a stare al passo con la normativa, con le... Gli aggiornamenti giurisprudenziali e non solo, ma senza aggravare necessariamente il compito e il ruolo dell'amministratore, dell'imprenditore.
Quindi senza renderlo eccessivamente complesso, senza poi nei fatti avere una compliance documentale di facciata che poi non è una compliance effettivamente integrata e viva all'interno dell'azienda. Quindi grazie, grazie per questa... Per questa opportunità.
Alessandro Del Frate
Grazie Simona. Cedo la parola a Fabrizio Salvagnini che chiude il panel, il 1º panel. Chiuso l'intervento di di Fabrizio Salvagnini ci sarà il 2º panel.
Fabrizio Salvanini
Intanto ai numeri della fondazione un sentito ringraziamento per l'invito a un evento così importante e differentemente dai miei predecessori io sono quello un po' più sul tecnichese, un po' più sul... Sull'operativo, quindi scusatemi se userò qualche parolaccia di circostanza.
Avevo scritto quest'intervento in tempi non sospetti, poi la cronaca degli ultimi giorni mi costretto a stravolgerlo. Non so chi per voi, spero molti, abbia avuto notizia che la settimana scorsa c'è stato un piccolo problemino con un ambiente che si chiama php che sostiene e sorregge buona parte dei servizi web che sono presenti su internet, molti dei quali tra l'altro all'interno delle pubbliche amministrazioni. Perché parto da questo... Da questo caso? Perché questo...
Questa esperienza ci insegna quello che sono I tempi reali, concreti di uno scenario critico. Considerate che da quando è stato reso noto a... Alla community che c'era questo problema, nell'arco di 3 ore si erano già stati identificati oltre 22000 tentativi di aggressione sfruttando le vulnerabilità indicate dalla dalla patch che doveva rimediare al problema. E la cosa singolare è questa, che questa vulnerabilità è stata identificata da da agenti di A. Gli stessi agenti di A che hanno identificato la vulnerabilità sono stato altresì sfruttati per generare agenti a...
Speaker 23
Per aggredire quei sistemi che dovevano essere protetti. Questo perché l'intelligenza artificiale non è buona o cattiva, non è pro o contro la nostra posizione, è uno strumento. Quindi sta a noi in fase di creazione delle procedure, delle norme, delle leggi, nell'adozione di strumenti di intelligenza artificiale sia come utilizzatori, sia invece come sviluppatori. Tellero bene in considerazione questo aspetto. Cercherò di tagliare il più possibile il mio intervento perché tante cose sono state trattate da...
Fabrizio Salvanini
Chi preceduto e soprattutto perché dobbiamo recuperare. Mi piace però portarvi l'esempio di quello che è successo proprio ripeto in questa circostanza. Lunedì lunedì ieri ACE n reso noto che questo problema del PHP, scusate sempre le parole per I pochi magari meno tecnici, non era soltanto legato a quello che erano installazioni specifiche, ma era incapsulato, è incapsulato, scusate parlo dal passato di ieri, ma I tempi della... Dell'aggressione cibernetica sono queste. Cioè ieri è già storia perché già è successo altro nel frattempo, è incapsulato in tantissimi sistemi, in particolar modo l'annuncio di ACN parla di 2 sistemi di di posta elettronica installati, presenti nei sistemi aziendali e pubblici.
Speaker 23
Quindi questo ci espone al fatto che un problema non è necessariamente quello che noi vediamo, perché può essere nascosto all'interno. Ieri mattina mi chiama un nostro cliente e dicendo meno male che noi non usiamo PHP. No, peggio ancora. È un cliente che tantissimi sistemi installati di un LMS stra famoso, strapubblico open source, rigorosamente scritto in php. Quindi la sua percezione è completamente distorta perché, e tenete presente che non è una...
Non era la persona, non era l'agente di vendita, è una persona che appartiene a un consiglio di amministrazione, quindi rientra in quella sfera di soggetti altamente interessati dalla norma, ma non ancora fatto un'adeguata formazione, mettiamola così, per far sì che la sua mente si apra al fatto che ci sono tantissimi aspetti che sono apparentemente... Cioè sono... Non apparentemente, sono nascosti a quello che è la la fruizione e la conoscenza del... Dei dei manager. Questo ci riporta al fatto che spesso e volentieri le falle dei nostri sistemi non sono soltanto in ciò che noi esponiamo, ma talvolta sono dentro a sistemi, a servizi, ancor di più questa cosa vale quando acquistiamo servizi, I cosiddetti SAS, I servizi via web, sono nascosti nella nostra filiera.
I miei predecessori l'hanno menzionata più volte il fatto della filiera dell'approvvigionamento, un tema carissimo l'Anis 2, tutti quanti noi ci siamo dovuti smazzare I fornitori ICT non... I fungibili, non fungibili, siete tutti quanti edotti del tema, non vi sto a tediare, ma in questo aspetto il tema del coinvolgimento e del rischio della supply chain è importantissimo perché queste vulnerabilità sono nascoste in questa filiera. E ricordiamoci che anche se io delego il mio... La mia gestione dei miei sistemi, il mio SOC, I miei servizi li delego a terzi, la responsabilità dei rapporti verso ACN, per cui la responsabilità verso l'autorità, rimane in capo a me. Questo è un dettaglio non da poco.
Perché? Perché obbliga, ci obbliga, ci deve obbligare, qui parlo sia soggetti pubblici che privati, a ricordarcene in fase di approvvigionamento dei servizi. Quando andiamo a scrivere capitolati di gara o capitolati di valutazione di fornitori, questi aspetti devo essere intrinseci ai documenti che io vado a esporre, devo avere massima trasparenza ancor di più quando là dentro abbiamo modelli intelligenza artificiale che a loro
volta
Fabrizio Salvanini
Probabilmente hanno una catena ancora più lunga di approvvigionamento al loro interno. Noi come fondazione abbiamo sviluppato una serie di servizi e di modelli di assistenza verso a soggetti pubblici e privati che aiutano a fare una... 1 governo continuo di sistemi di IA per rilevare le minacce legate a ai modelli che ormai sono sempre più dinamici e I cui tempi di risposta sono dettati non da noi ma dal sistemi attaccanti. Considerate che sono già stati identificati molti scenari, modelli drogati a livello di di dati, a livello di algoritmi iniettati di codice malevolo proprio al fine di fare il classico service oppure riuscire a fare exploit, come nel caso recente della questione del php che per chi non è addetto ai lavori sappiate che permette... Permette, io parlo al passato ma è ancora un problema esistente, di prendere addirittura il controllo della macchina remota.
Il 2º pilastro che come fondazione mettiamo a disposizione di pubblici... Di soggetti pubblici e privati è una governance di agenti autonomi dove 2º il nostro modello è imprescindibile, e come tra l'altro previsto dal... Dall'AI act, la... Il governo è la sorveglianza umana all'interno dei processi decisionali rilevanti. Anticipato già nel discorso precedente c'è tutto il supporto a quello che è un processo di acquisto e di selezione.
Speaker 23
Concludo, la formazione è stata amministrata tantissime volte, è fondamentale in particolar modo sulla piramide di governo. Nello scenario di cui 1º 1 sistema che blocca una pletora di sistemi, chi è che decide se un server viene spento o se deve continuare e nel frattempo si patch? Signori se se parliamo di un'azienda bisogna vedere se è business critical, c'è una scelta imprenditoriale, fermo o non fermo un servizio? C'ho un e-commerce, beh ok, per sicurezza lo fermo, c'è un impatto sulla parte economica, per cui vedete come la scelta non è tecnica ma sale subito alla piramide alta. Ribalto in ambito pubblico.
Fabrizio Salvanini
Beh, fermiamo un pubblico servizio, siete quasi tutti giuristi, sapete benissimo cosa comporta. Io mi chiudo e per quanto riguarda la NIS 2 noi riteniamo che l'intelligenza artificiale se è governata sia la soluzione, ma dev'essere governata.
Alessandro Del Frate
Grazie Fabrizio questo... Quest'ultima tematica sull'allineamento dell'intelligenza artificiale è particolarmente interessante ricordiamo Fondazione ENI sicuramente sicuramente all'avanguardia su queste tematiche. Ecco chiudiamo questo 1º panel e invito I relatori del 2º panel quindi l'avvocato Rizzo, l'onorevole Gennaro, ciao ciao. E l'avvocato Rossella Gennaro e il dottor Claudio Anastasio a accomodarsi. Onorevole se vuole...
Sì.
Speaker 26
Prego. Buongiorno a tutti e ringrazio Senatore Ammidei anche se non è presente oggi, per questa opportunità, e tutti gli organizzatori di questo importante appuntamento. E anche ringrazio tutti I relatori e anche I relatori che mi hanno preceduto perché è stato ricco di tantissimi spunti che andrebbero approfonditi non solo in un convegno, ma forse addirittura in un master e in un corso di laurea dedicato al tema. Perché? Perché come vedremo, la tematica abbraccia fondamentalmente la nostra vita di oggi.
Io sono stato deputato la scorsa legislatura, ho fatto anche... Sono stato membro del Copasir per 3 anni, oggi mi occupo di rischi finanziari e sono nel consiglio di amministrazione di Con SAP, che è una società del Ministero dell'Economia che tra le varie attività gestisce anche alcuni software per conto del Ministero dell'Economia come. Partiamo però dalla vita reale, no? La vita di tutti I giorni. Allora io la scorsa settimana vado a fare la spesa, vado a prendere delle cose al supermercato e ho fatto questa carta di credito, un pre-pagato, insomma mi sono fatto la carta con Revolut collegata al telefono, all'app.
Speaker 27
Vado a pagare la spesa e passo il telefono, e insomma il commesso è imbarazzato e dice, guardi, mi dà... Non funziona. Ma gli ho detto, come funziona? L'ho controllato 1º, stava dando il credito, non si spostava I soldi. Riprova, riprovo e fa guardi, mi dà credito esaurito.
Non penso che mio figlio abbia preso il telefono si sia scaricato, no? Con FIFA, tutti... Tutte le squadre a pagamento. Vabbè, allora prendo l'altro... Insomma pago col...
Speaker 26
Coi contanti. Dopodiché però... Strana sta cosa, perché insomma l'app funziona... Cioè l'app... Dopo entro nell'app, controllo il saldo, non ci stavano I soldi, insomma poi si scopre che durante la giornata insomma Revolut in tutta Europa è schiantata, no?
Cioè un blocco completo. Però non ho avuto nessuna comunicazione, se no il giorno dopo, quindi 24 ore dopo, in cui scrivono abbiamo avuto un problema informatico, ci scusiamo il disagio, però adesso è tutto a posto. Allora questa cosa...
Ma non hai mai accettato tutto però,
Speaker 26
Questa cosa mi lasciato... È stata una cosa di vita reale, no? Non massimi sistemi. Però è un tema importante perché poi come è stato anche detto dall'intervento che... Relatore che mi preceduto, è stato il weekend di...
In cui NSA, NSA americana, insomma, National Security, sabato sera fa un comunicato in cui dice chi tutti I sistemi PHP devono essere riaggiornati con una patch, insomma tutta roba super tecnica, però fondamentalmente poi c'era scritto, se non fate questo aggiornamento vi consigliamo di andare offline. Allora io l'ho riletto, no? E ho detto, ma è un fake? O è o è effettivamente la national security, quella che vediamo nei film americani, no? Con coi server nascosti, insomma effettivamente c'è la nuova sfida che noi troviamo è ormai una sfida, come potremmo dire, di guerra che non si combatte come è stato detto 1º, no?
Dal generale Rossi, si combatte più I carri armati, ma adesso la guerra dei nostri tempi si combatte con I server. Cioè oggi non è più un tema di informatici o comunque... No, tema sì va bene, no? Il Malaware, tutte ste cose informatiche sembravano una cosa, no? Riguardante I tecnici.
Ma quando si bloccano trasporti, ponti, ferrovie, supermercati, ospedali, aziende, anche le nostre app, diventa non più un tema da mettere per tecnici, ma è un tema che riguarda tutti, che riguarda I vertici delle aziende, ma non solo, anche tutta la filiera fino ad arrivare al singolo dipendente che magari manda l'e-mail aziendale o clicca il link e poi dentro arriva il malware dentro l'azienda e butta offline l'azienda. Quindi è un tema che ci riguarda tutti. È un tema di cybersecurity sta diventando un tema di sicurezza economica del paese, delle filiere, delle realtà, è un tema che ci riguarda tutti I 360 gradi. Quindi quando parliamo di sicurezza nazionale, anche sicurezza ormai economica. Perché?
Adesso c'è tutto questo tema sull'intelligenza artificiale, no? Automazione, white color verranno eliminati, saremmo sostituiti tutti dai bot. Automazione, bello no, tagliamo I costi. Adesso ho visto Microsoft che detto insomma 80000 esuberi, incentivo alla pensione, andare via, perché verranno sostituiti dagli agenti AI. Bello, sulla carta sembra perfetto.
Però il tema è, se io sostituisco gli umani con gli agenti, chi controlla la gente? Perché quando poi entriamo nel dettaglio gli agenti... Che agenti usano? C'è un altro tema. No, perché le aziende lavoriamo tutto sui costi.
Okay, bello. Io a questo punto non prendo neanche più Antropic, non prendo neanche più OpenAI, vado sui modelli cinesi.
Costano un decimo. Sono un'azienda, devo massimizzare I miei profitti e vado sui costi. Problema che poi quei dati che fine fanno? Chi li gestisce? Chi li usa?
Che rischi incorporo io utilizzando modelli IA? O che rischi io incorporo come azienda, come entità statuale, insomma con tutte le varie... Se io mi appoggio a infrastrutture, come in questo caso, perché se I bot sostituiscono le persone, sostituiscono delle procedure, processi, persone, diventano infrastruttura, anche aziendale. Che rischi mi assumo? Quindi il cambio di paradigma qual è?
È che diventiamo tutti gestori di rischi. Stiamo diventando in un'epoca in cui tutte le realtà aziendali, dai vertici aziendali ai dipendenti, dovremmo gestire rischi. So che la parola rischio è una parola che non mette ansia, oddio, che succede adesso? Però è anche vero che rischio barra opportunità, quindi c'è anche opportunità di sviluppare un ecosistema nazionale, come è stato anche preceduto dagli interventi, con la NIS 2, ma non solo, anche con tutte le varie norme, anche con gli investimenti, si parlava anche di computer quantici, cioè questo ci permette a questo punto se rischio attacchi informatici, attacchi non solo come è stato detto anche da entità stuali, come paesi esteri insomma, no? Russia e via dicendo, ma anche...
Ma la vita organizzata. Quindi a questo punto io mi devo dotare, mi devo organizzare, e a mio avviso non può essere tutto basato su intelligenza artificiale. Io devo avere il cosiddetto human touch, cioè io devo avere poi persone, anche per definire se succede qualcosa a chi risponde la filiera, a chi risponde quello che succede. Quindi su sto tema di ansia che c'è, no? Sul mainstream, oddio, I colletti bianchi verranno tutti eliminati, io su questo sono un po'...
Che poi se mi va... Mi succede l'attacco informatico e io ho tutto tutto il mio sistema sui bot sono... Ho un po' problemi, no? Cioè ma veramente mi ritrovo con le infrastrutture strategiche bloccate. Ecco questo 2º me è il il tema, che 2º me non è...
È proprio il tema della nostra generazione di chi vive in questo momento in occidente e non solo. E quindi però ci deve anche... Ci deve anche far vedere al futuro con un senso positivo. Perchè? Perchè la tecnologia, no?
Adesso tutti stanno andando in ansia, l'intelligenza artificiale distruggerà il mondo, ma penso che invece sarà proprio il momento in cui dovremmo darci regole e procedure che valorizzano rapporto, la cultura aziendale, non solo aziendale ma anche cultura paese su questi temi. Quindi se non viene distribuito su tutta la filiera, su questi temi, noi perdiamo la sfida. Quindi è forse per la 1º volta ci troviamo a dover gestire dei problemi da un lato, ma dall'altro anche a darci un'opportunità di investimenti sul settore, investimenti sul... Su queste tecnologie, ma anche anche proprietarie come sistema paese, no? Perché anche sul tema dell'Europa è indietro rispetto, beh forse è il momento in cui l'Europa deve fare degli investimenti importanti su questi settori di tecnologia e renderci un po' più autonomi, indipendenti, perché se no il rischio è che da un certo momento l'americano o anche il cinese o anche qualche altro sistema su cui noi ci appoggiamo, decide da questo momento in poi spegniamo e quindi noi ci ritroviamo fondamentalmente con un rischio sistemico devastante, no?
Cioè proprio con le infrastrutture che non... Cioè non riusciamo neanche a pagarci la spesa. Ecco, questo 2º me è il tema e la cosiddetta nuova frontiera che ci troveremo tutti a gestire e speriamo con un piglio positivo. Grazie a tutti.
Alessandro Del Frate
Grazie onorevole. Entriamo nel vivo della giornata perché insomma sono stati tutti interventi molto interessanti però andiamo diciamo proprio a circoscrivere quello che è il perimetro dell'evento, ovvero la responsabilità degli organi amministrativi, quindi l'organo sociale come organo di responsabilità.
E da questo punto di vista mi è piaciuto molto introdurre diciamo questi panel con delle visioni politiche, delle visioni più tecniche e ovviamente poi quello che è il contesto strettamente giuridico, perché? Perché effettivamente la necessità del sistema paese oggi è quella di dotarsi di un sistema di imprese che sappiano resistere a quelli che sono gli attacchi e che sappiano effettivamente gestire la filiera. Quindi cedo la parola all'avvocato Rizzo di CBA, l'avvocato Rizzo di CBA che è tra I coorganizzatori, studio Camozzi Bonisoni associati. Prego avvocato.
Speaker 28
Grazie 1000, grazie Alessandro, grazie ai relatori che mi hanno preceduto, gli organizzatori, è un vero onore e un vero piacere essere qui e spero di annoiarvi il meno possibile che sia rapido e e indolore. Io penso che questi convegni siano sempre un'occasione di crescita, ma non soltanto I convegni, ma anche le chiacchierate preparatorie che si sono fatti 1º di questa... Di questo incontro perché aiutano a comprendere quelle che sono le opportunità e I rischi di questo impatto digitale. E noi come CBA. Crediamo che non è più Camozzi Bonissoni, è diventato solo solo sigla, però siamo anche noi nostalgici.
Speaker 30
Crediamo molto e fortemente che il professionista del domani, anzi dell'oggi, debba poter essere in grado di governare e lavorare con le nuove tecnologie. Ringrazio infatti anche il professor Crisci, che è un mio socio di studio, che è professore alla Sapienza, una cattedra in AI Nome Tecnologie, quindi questo dimostra quanto siamo impegnati sotto questo profilo. E dicevo, il professionista dell'oggi, il manager, l'imprenditore che deve essere in grado di poter governare un'evoluzione tecnologica e scientifica che è sempre più veloce. Io in questi quando parlo di... Quando sento parlare di evoluzione scientifica e di velocità ricordo sempre la scena di quel...
Del capolavoro di Kubrick di Lumino che 6 nello spazio quando viene lanciato in aria l'osso e diventa immediatamente dopo nella scena successiva una navicella spaziale con la musica bellissima di Strahaust in sottofondo. Ecco è quello che sta accadendo oggi, stiamo vedendo un'evoluzione che si sta materializzando in un battito di ciglia ed è sempre più veloce e più repentina. Tornando sulla terra e ricordandomi di essere pur sempre un 1 avvocato per... Tra l'altro apro una parentesi per gli avvocati CDA. Io 1º...
Il 1º CDA nel quale entrai a 36 anni, il presidente che era piuttosto esperto e autorevole si mise mai nei capelli dicendo a un altro avvocato nei CDA insomma, perché il ruolo del legale, della... Del professionista è necessariamente quello di vedere il rischio, vedere il pericolo. L'imprenditore il dovere dell'ottimismo, l'ottimismo della volontà e deve quindi buttare il cuore oltre l'ostacolo e andarselo poi a riprendere. Mentre invece il professionista vede sempre l'aspetto più critico. E nel consiglio d'amministrazione il rischio è un po' quello.
Il presidente mi disse tu devi conoscere per 1º cosa il modello del nostro business, cioè devi sapere che cosa noi facciamo. Infatti mi portò in giro per I cantieri, autostrade, asfalto, mi fece una testa così, mi fece studiare perché mi disse 1º di sapere come applicare le regole che tu devi governare in quanto legale, devi conoscere qual è l'obiettivo aziendale, quindi devi conoscere il nostro modello di business e devi essere in grado di poter adattare quelle regole al business e viceversa, perché l'obiettivo dell'impresa dev'essere dev'essere sempre chiaro e non dev'essere invece la regola illegale un ostacolo. E questo quindi è un po' il... La missione che deve avere l'amministratore, il consigliere di amministrazione indipendente per essere veramente di ausilio all'impresa. Dicevo tornando sulla terra, partendo invece da quelle...
Un punto di partenza da legale dobbiamo trovarlo. E il punto di partenza sono le fonti, perché la nostra NIS 2 è in ottima compagnia come diceva anche Giorgio Martellino perché è... Si inserisce in un contesto normativo che vede l'AI act, il GDPR, il Dora, il CRA, il decreto 2 3 1, il TUF e anche tutto il nostro diritto societario. Una materia quindi quella della MIS 2 che è parte integrante di quelle che sono le agende di innovazione, di rischio, di compliance, di reputazione e di controllo interno delle aziende. Questo perché veniamo al cuore del mio intervento.
Io ringrazio Giorgio 1º che lanciato un assist, una parola, un concetto un po' sospeso nell'etere che però vorrei riprendere che è quello di adeguati assetti. Ovviamente il board non è chiamato a gestire direttamente, cioè il CDA non è chiamato a gestire direttamente I modelli, gli algoritmi, le piattaforme, anche perché dovessi farlo io che quando si spegne Sky faccio spegnere e accendi il decoder sarebbe un problema, ma deve assicurarsi che l'impresa disponga di adeguati assetti e di competenze adeguate. Quindi se la NIS 2 entra nel tema degli adeguati assetti si può porre un problema di responsabilità ovviamente come è stato anticipato. L'unica norma che citerò è il 2086 che sancisce il dovere dell'imprenditore di istituire un adeguato assetto organizzativo, amministrativo e contabile nelle imprese da cui discende ovviamente un corollario di responsabilità.
Speaker 31
Non è ovviamente una responsabilità immediata se non viene fatto ma devono essere dimostrati tutti I presupposti, passare dalla business agen rule, però il board qual è il ruolo che Il ruolo del board è quello di avere, di garantire un indirizzo e un controllo strategico, un'allocazione di risorse e gli investimenti e una supervisione dei rischi etici, legali, reputazionali con... Quella che è la fase esecutiva dell'adeguatezza agli assetti. Quindi da un lato, ci dice la NIS 2, abbiamo l'approvazione delle misure di gestione del rischio e quindi l'organo di amministrazione, il C. A. Deve approvare le misure di cyber sicurezza che sono state adottate dall'organizzazione e dall'altra una vigilanza, quindi un dovere di vigilare sulla loro attuazione, cioè controllare che queste misure siano effettivamente adeguate.
Speaker 32
Questo è quello che chiarisce e lo dice in modo esplicito la 2, ma anche le FAC dell'agenzia per la cyber sicurezza nazionale, e cioè che il il CDA è chiamato ad approvare le misure di gestione del rischio, articolo 24, e di vigilarne sull'effettiva attuazione. Quindi il consigliere di amministrazione ancorché indipendente deve essere in grado, deve avere... Il dovere di vigilanza e di diligenza. Per fare questo ovviamente il presupposto è avere un'adeguata formazione e preparazione, quindi che è una... Ancora una volta un obbligo per...
Speaker 31
Istituito dal decreto legislativo 138 2 24, e cioè che il... L'organo amministrativo acquisisca quelle quelle conoscenze sufficienti e necessarie per valutare I rischi cyber e garantirne la loro gestione. Questo ovviamente non significa che il board si sostituisca al management, ma di intervenire c'è la sveglia, quindi ho finito. E deve... Non deve chiaramente sostituirsi al management, ma deve intervenire se necessario sollecitando, stimolando la...
Speaker 30
Gli organi aziendali e invitandoli a promuovere la padronanza della materia e a stimolare, chiedendo di focalizzarsi su quelli che sono gli aspetti necessari. Concludo individuando quelle che sono a mio parere le 3 tipologie di competenze richieste al board, una competenza strategica e quindi la capacità di comprendere dove e come le nuove tecnologie possano far evolvere il business e il modello di business dell'impresa, una competenza regolatoria e cioè... Di governance più che regolatorie, cioè individuare I rischi e gli obblighi, e poi una competenza organizzativa e cioè la capacità di saper valutare se l'impresa, se l'azienda se è dotata di aspetti adeguati. Grazie per l'attenzione, è stato un vero piacere essere qua. Grazie.
Alessandro Del Frate
Grazie all'avvocato Rizzo e appunto continuiamo a entrare nel vivo della materia e proprio nel... In quello che è il perimetro di questa giornata. È appunto ovviamente è la gestione di quello che è il board, di quelli che sono comunque le responsabilità degli amministratori, la tematica della gestione del rischio, del controllo e dell'aggiornamento perché attenzione come la corazza può essere diciamo una giusta difesa però diciamo l'arma si può adattare, allo stesso tempo l'evoluzione delle minacce rappresenta un'evoluzione del rischio e quindi dalla testa deve essere comunque coperta qualunque organizzazione. Quindi prego al dottor Claudio Anastasio di prendere posto. Anche lui coorganizzatore dell'evento, un particolare ringraziamento.
Claudio Anastasio
Grazie Alessandro e grazie anche a tutti I relatori più autorevoli di me che mi hanno preceduto. Allora, a fase inoltrata della della mattinata. Io vorrei spezzare con una leggerezza. Appunto è già stato detto tanto, la materia è complessa, quindi mi si consenta di semplificare con una narrazione metaforica. Quindi immaginiamo che io sto guidando la mia automobile, magari non proprio in autostrada, ma in una strada di montagna con delle curve, e ho un incidente.
Buco. Buco una vuota della macchina. Beh, per 1º cosa cerco di non rimanere in curva e di accostarmi appena appena è possibile, E spengo la macchina. Quindi metto in sicurezza innanzitutto la mia guida. La 2º cosa, giacché sto in area di montagna, chiamo chiamo I vigili, chiamo l'autorità.
Guardate ho avuto un incidente, vi segnalo io in questo punto ho avuto questo incidente. L'autorità sarà lei a valutare eventualmente se deve intervenire sul territorio per gestire quel tipo di incidente. Nel frattempo io mi devo adoperare, e devo cercare di risolvere questo incidente che ho avuto. Quindi mi metto il mio bel giacchetto catarifrangente, e vado subito a mettere intanto il triangolo, 150 metri 1º dell'incidente. L'avviso, agli utenti che mi precedono, che percorrono la mia stessa strada, non lo metti dopo l'incidente.
Lo avvisi 1º che si avvicinano sul tuo stesso percorso dove tu hai avuto l'incidente. Dopodiché, apro il portabagagli, e deve avere gli attrezzi, il cric e una chiave inglese, e la ruota di scorta, per cambiare la la vuota. E se ne ho anche la capacità, lo faccio. Sennò chiedo magari a chi sta affianco a me in macchina, nella mia stessa macchina, guarda, cambia te la vuota, questi sono gli attrezzi. Cambia la vuota, cambiamo, e si riparte.
Allora, perché ho fatto questa metafora? Intanto perché cambia un paradigma culturale. Non ci si muove più solo per la prevenzione degli incidenti sperando che non accadano, perché abbiamo messo in piedi, in essere tutte bellissime cose. No, signori, vi dico una cosa. L'incidente dal 2027 è certo che lo avete tutti.
Non sapete quando. La differenza, e qui entra in gioco la NIS 2 e l'autorità di vigilanza, La differenza è come tu gestisci quell'incidente, perché se tu lo gestisci bene, hai avvisato le autorità, hai avvisato gli utenti, avevi la quota di scorta che tu controlli ogni 3 4 mesi che sia gonfia, giusta, quindi avevi gli strumenti di resilienza e di backup che funzionavano. Avevi gli strumenti per cambiarla, le capacità per cambiarla, avevi scorta e se ne davanti. Non ti può sanzionare. Hai avuto un incidente?
A tutti capita che bucava una vuota. Lo hai gestito bene. Quindi quand'è che ci dobbiamo preoccupare dell'aspetto sanzionatorio della NIS 2? Quando non abbiamo capacità, non abbiamo competenze, non facciamo prevenzione, controlla che la ruota sia gonfia almeno 2 volte l'anno, se no quando la devi cambiare, non non riparti. Competenze, governance, gestione e notifiche.
Notifiche alle autorità, e notifiche agli utenti. Ecco questa leggerezza, vi saluto e vi ringrazio.
Alessandro Del Frate
Grazie, grazie Claudio. Ovviamente questo questo tema è è calato appunto dalla testa dell'organizzazione e deve comunque coprire tutto il corpo dell'organizzazione. Quindi quest'armatura che è fatta sia diciamo di presidi tecnici di formazione ma anche di policy, io credo che questo questo diciamo intervento abbia riassunto tutti quelli che sono poi le tematiche più importanti che abbiamo trattato durante questa mattinata. Ecco chiudiamo il panel con l'ultimo intervento di un... Di un'altra giurista, dell'avvocato Rossella Gennaro che appunto riprenderà la tematica dell'armonizzazione della NIS 2 e diciamo del modello 2 3 1.
Grazie Rossella.
Rossella Gennaro
Okay. Attengo un po' al digitale. Grazie intanto per avermi ospitata qui in questa sede, al senatore che non è presente, Alessandra e a tutti gli organizzatori. Desidero proseguire quello che sono gli interventi di chi mi preceduto e gli esempi fatti concreti che hanno reso perfettamente l'idea di quello che è oggi il tema della compliance sotto tutti I profili della NIS 2, della cyber sicurezza, della responsabilità amministrativa degli enti, che seppur si tratta di tematiche differenti per finalità, procedure, autorità e organizzazione, realmente condividono un'unica finalità e le conseguenze. Quindi sicuramente la riflessione proseguirà nello stesso taglio soffermandosi su un aspetto importante che è quello appunto della della prova.
Quindi, profilo della prova che oggi è stata accennata dall'avvocato, il presidente appunto del dell'AIGI, e mi... Comincio questo mio intervento con una domanda concreta che spesso e
Mi mi si viene detto dai... Dagli imprenditori, dalle imprese che ho il piacere di e l'onore di seguire nel loro percorso di adeguamento, dove la domanda che mi viene fatta è, avvocato, ma a posto con la NIS 2? Perché ci accingiamo ovviamente alla scadenza, diciamo, la data convenzionale del 31 ottobre, e quindi ci poniamo l'alert, quindi se non arriva qualcosa, allora poniamoci la domanda. La domanda è comprensibile, legittima, nello stesso tempo però dico dobbiamo cambiare il paradigma. La prospettiva non è quella oggi se noi siamo pronti, siamo a posto con la NIS 2, se siamo in regola con la NIS 2, quindi se abbiamo fatto tutti gli adempimenti.
Oggi finisce la fase, possiamo dire, di quella che è l'adeguamento normativo di adeguamento alla... Agli adempimenti perché oggi inizia la fase di quelle che... Quegli aspetti più concreti, di quella la la fase, diciamo, della dimostrazione. Non basta soltanto dichiararlo, ma basta... Cioè è necessario quindi che...
Alla dichiarazione che, seppure importante, devono conseguire dei fatti. E quindi la prova può assumere rilevanza in questo senso. Noi da giuristi ovviamente non non possiamo fare il nostro lavoro se non sussistono prove, quindi quello poi trova riscontro, ecco, come nel... Nell'esempio citato da chi mi preceduto sull'incidente stradale, quindi fatto di vita quotidiana. Fatto di vita quotidiana posso riportarlo io da avvocato, ma lo posso dire anche all'interno di un'azienda.
Quindi esperienza quotidiana all'interno di un... Chi gestisce un'impresa, chi si trova quindi a governare I processi aziendali di un'azienda, si pone nella prospettiva di dire ho fatto tutto quello che era necessario per dimostrare, nel caso in cui vi venga chiesta... Venga fatta un'ispezione dall'autorità di... Giudiziaria oppure dall'agenzia della cyber sicurezza nazionale. Quindi, in queste fasi, appunto, sorge il problema di quanto è valida, quanto è effettiva la prova.
E, diciamo, non si tratta di una distinzione teorica perché appunto quello che noi oggi dobbiamo dimostrare, quindi con evidenze fattuali, è quello di capire quanto oggi un'organizzazione aziendale può essere ben strutturata, ben formata sotto il profilo di quello che è il metodo che bisogna attuare giornalmente e non soltanto quando sorge l'incidente. Ecco, bisogna avere tutti gli attrezzi dentro per dire avevo tutto quello che era necessario per prevenire quello che effettivamente poteva verificarsi. Ecco, questa impostazione per chi come me si occupa di compliance 2 3 1, quindi di responsabilità amministrativa degli enti, possiamo dire di gestire, di condividere la stessa impostazione, lo stesso schema di base. L'articolo 6, infatti, del decreto legislativo, e qui faccio un breve accenno a quello che, sempre per richiamare il tema della prova dell'importanza, fa riferimento a quanto un modello di organizzazione, gestione e controllo assume fondamentale importanza se il fatto è commesso da un soggetto o possa essere ricondotto ad un soggetto apicale. Perché l'articolo 6 del decreto legislativo 2 3 1 del 2001 ci dice che può essere evitata la responsabilità dell'ente, quindi persona giuridica, quando l'azienda si è dotata di un modello adeguatamente ed efficacemente attuato con un 1 organismo di vigilanza dotato di poteri autonomi e di controllo, quindi un'autonomia rispetto all'azienda, e che il fatto quindi è stato commesso eludendo fraudolentemente, quindi con dolo, con intenzione, quel modello organizzativo che è stato dalla dall'azienda, quindi con con diligenza implementato all'interno dell'azienda stessa.
Allo stesso tempo, invece, se il fatto è riconducibile ad un soggetto sottoposto, il tema della prova assume ancora più importanza perché, per poter effettivamente escludere la responsabilità della persona giuridica, oggi aspetto importante è quello di dimostrare che l'azienda comunque aveva adottato un modello adeguatamente efficace. Quindi, è con un organismo dotato di autonomie di potere di controllo e di vigilanza. Da qui mi ricollego infatti al decreto legislativo che adottato nel nostro ordinamento la NIS 2, quindi il decreto legislativo 138 del 2024, che reso per certi versi anche più... In maniera più stringente la responsabilità degli amministratori, quindi della... Dei delle...
Degli organi amministrativi di direzione. Perché questo? Perché? Perché l'articolo 23 della della norma citata fa espressamente riferimento al fatto che gli amministratori e gli organi direttivi devono adottare, come avevano già anticipato I I relatori precedenti, delle misure di... Adeguate di base che sono espressamente richieste dalla normativa NIS 2 e che oggi invece trova concreta attuazione.
Per cui, oltre alla semplice implementazione, quindi all'adozione di queste misure, devono anche sovraintendere, e sovraintendere significa poter dominare. Noi possiamo dominare soltanto se conosciamo quella materia. Quando diciamo che ogni settore sempre di più è iperspecializzato, E questo, diciamo, è una critica che io rivolgo anche all'iperframmentazione di queste normative, perché sempre di più si parla di compliance integrata. Questo è il tema su cui voglio oggi fare una riflessione. E questa è un'occasione anche di confronto di chi oggi...
Non siamo onniscienti, non siamo sapienti, non siamo... Non non possiamo conoscere tutto, e questo ci chiede sempre di più un coordinamento con le altre specializzazioni. Infatti, occupandomi anche io sono, diciamo, ho una formazione di giurista d'impresa e poi ho deciso di fare il legale d'impresa. Comunque le 2... Le 2 figure oggi non si differenziano ma si completano perché l'approccio è diverso e sempre di più ci rendiamo conto dove un approccio non può essere considerato a gradi senza il coordinamento con le altre professioni.
E ancor di più oggi questa iper specializzazione trova riscontro infatti in quella che è la frammentazione anche normativa di tutti questi adempimenti. E anche lì mi dico, un'impresa, una piccola e media impresa che, diciamo, è quella che costituisce fondamentalmente il tessuto produttivo del nostro sistema paese, è che oggi non la, diciamo, la difficoltà nel volersi adeguare, è la difficoltà nel capire come doverlo fare e soprattutto I costi. Quindi anche la NIS 2 interviene con il principio di proporzionalità, e questo significa che bisogna veramente rendere accessibile tutti gli strumenti favore delle aziende, quindi a noi consulenti, per poter supportare giornalmente e quotidianamente nei percorsi di adeguamento normativo. Su questo mi voglio soffermare su 5 aspetti critici velocemente che potrebbero essere appunto poi risolti con 4 strumenti. Principalmente c'è la mappatura dei rischi e non non non approfondisco perché l' citata anche il presidente Aigi, dove sì, tra I canali...
Tra l'immensità cataloghi dei reati presupposto c'è il reato... I reati informatici, l'articolo 24 bis, dove si limita soltanto ad una elencazione di reati informatici, quindi accesso abusivo, di di documenti informatici, senza dover spiegare come va fatta la mappatura. Quindi ci si chiede come questa mappatura efficacemente debba tenere in considerazione e attuare effettivamente quei protocolli a presidio dell'azienda. Quindi questo significa che cosa? Che oggi l'attacco informatico che costituisce quello più dinamico, quello più frequente per fare una molteplicità di reati come frodi, riciclaggio, si è parlato anche della della revolute.
La revolute che oggi costituisce uno dei problemi, diciamo, di blocco, anche perché l'autoriciclaggio. Le aziende, anche che si occupano di antiriciclaggio si pongono in prova di come l'intelligenza artificiale possa bypassare quei bias e bloccare I conti, quelle operazioni che potenzialmente sembrano sospette che in realtà non sono sospette e sono lecite. Allora, il problema si pone anche su tutte quelle quelle procedure, quei presidi che oggi vengono a mancare e lì mi ricollego invece alle delibere delle CDA, quindi degli organi direttivi amministrativi, che non si devono soltanto limitare ad adottare quei protocolli, quelle procedure IT, quelle policy aziendali che bellissime nell'intenzione, ma mancanza... Manchevoli di efficacia probatoria. Perché su questo, e mi ricollego al collega Rizzo che mi preceduto, sul fatto che tutti questi aspetti, sebbene adeguatamente implementati all'interno dell'azienda, costituiscono adeguati assetti organizzativi, e quindi avere una tutela, diciamo, effettiva nei confronti della responsabilità dell'ente.
Mi accingo... Mi accingo alla conclusione con riferimento invece all'organismo di vigilanza, che spesso e volentieri, come un consulente aziendale, come un avvocato, non può sapere tutto, non può conoscere tutto, è sicuramente un organismo di vigilanza per poter presidiare correttamente a tutela del... Di quella che è la responsabilità amministrativa dell'ente a cui è chiamato... È chiamato a svolgere il suo ruolo di vigilanza, si trova davanti a questa evoluzione digitale, innovazione digitale, e non gli si può chiedere anche di, dico no, di avere quelle competenze tecniche informatiche. E allora una criticità che mi mi mi pongo sempre di più è quella di dover standardizzare dei dei punti di contatto dei flussi informativi almeno periodici tra quello che è l'organismo di vigilanza, insieme ad esempio responsabile IT che possa assumere anche il ruolo di CISO qualora sia esterno.
Questo perché? Perché il... Gli strumenti di raccordo oggi costituiscono gli unici strumenti che ci permettono di superare quella frammentalità normativa ma anche tecnica e processuale. Soltanto così è possibile effettivamente garantire quel supporto alle aziende che oggi sempre di più dimostrano quell'esigenza di tutela e quella richiesta, diciamo, da parte loro di capire come potersi adeguare con anche costi accessibili, perché anche quello rientra in un... In un tema da approfondire fondamentalmente.
Bene. Per cui io ci... Mi mi... Vi ringrazio per l'attenzione e ora continuiamo.
Alessandro Del Frate
Carabiniere, maltempo e tiranno, quindi dalla regia mi hanno detto che siamo riusciti a ripristinare il collegamento per il... Per il videomessaggio del senatore, sottosegretario di Stato, senatore Butti. Grazie.
Alessio Butti
Un saluto alle autorità, agli organizzatori e a tutti I partecipanti all'evento NIS e cyber sicurezza nazionale. Grazie per aver promosso questo confronto su una delle materie in assoluto più importanti per il futuro del nostro territorio, direi anche senza esagerare, di tutte le democrazie. Proteggere I nostri asset digitali strategici significa tutelare il funzionamento della nostra società. Un attacco informatico oggi può compromettere I nostri dati personali, può interrompere le attività produttive, il pubblico servizio, rallentare l'erogazione delle prestazioni essenziali, può avere conseguenze nocive per persone e organizzazioni anche molto lontane dal sistema inizialmente colpito. Consapevoli dell'enormità della sfida e della posta in gioco, abbiamo scelto una strategia che unisce innovazione e resilienza.
In pratica da una parte abbiamo continuato a investire su innovazioni e sperimentazioni raggiungendo e superando tutti I target di digitalizzazione. Dall'altra abbiamo lavorato per prevenire gli incidenti cyber, per riconoscerli e per farlo anche rapidamente, limitarne gli effetti, ripristinare velocemente I servizi. Ecco, in questa prospettiva va letto il percorso dalla 1º direttiva NIS alla NIS 2 che il governo recepito come sappiamo nel 2000.24. Il nuovo quadro normativo amplia I settori coinvolti, rafforza la gestione del rischio, pone la cyber sicurezza al centro delle responsabilità delle istituzioni. Con il mio dipartimento abbiamo lavorato per collegare questo nuovo quadro di regole ai programmi di trasformazione del paese.
Ce ne sono 2 particolarmente importanti. Il 1º è la migrazione della pubblica amministrazione verso il cloud e il 2º è il polo strategico nazionale. Entrambi rispondono all'esigenza di superare la frammentazione delle infrastrutture e rafforzare la protezione di dati e servizi. È vero, è solo l'inizio. Abbiamo davanti a noi un percorso lungo, carico anche di incertezze che richiederà sempre più collaborazione tra istituzioni, impresa e ricerca.
Per prevenire e affrontare le minacce cyber sarà fondamentale la condivisione tempestiva delle informazioni e delle competenze. Una condivisione ancor più essenziale in chiave di risposta alle sfide degli anni a venire. La 1º sfida riguarda certamente l'intelligenza artificiale. Questa tecnologia ci può aiutare a individuare le anomalie, ad analizzare grandissime quantità di informazioni, accelerare il lavoro dei tecnici che lavorano alla cyber sicurezza, al tempo stesso può rendere più credibili I messaggi fraudolenti anche attraverso limitazione della voce o dell'immagine di una persona. È è cronaca.
Dobbiamo quindi proteggere gli stessi sistemi di intelligenza artificiale, I dati utilizzati, I modelli, gli ambienti in cui operano. La 2º sfida riguarda le infrastrutture critiche e le dipendenze tecnologiche. Ecco qui fare sicurezza significa fare politica industriale. Investire nella ricerca e nelle competenze italiane e naturalmente europee, rafforza la nostra capacità di comprendere le tecnologie, di governarle, di scegliere anche con maggior autonomia. La 3º sfida riguarda le persone e la capacità delle organizzazioni di applicare le regole.
Lavoriamo già oggi per formare ancor più specialisti qualificati, per creare una classe di dirigenti consapevoli e anche di personale con conoscenze, diciamo così, avanzate. Ora dobbiamo consolidare questa capacità nel tempo. Gli investimenti avviati con il PNRR richiederanno continuità. L'idea digitale che noi abbiamo tutti insieme costruito e continueremo a costruire è quella di un paese capace di anticipare I rischi, garantire I servizi essenziali e governare il proprio futuro tecnologico. Grazie e buon lavoro a tutti.
Speaker 40
Un saluto alle autorità, agli organizzatori e a tutti I partecipanti all'evento.
Alessandro Del Frate
Sono andate in loop, chiude... Grazie, grazie. Allora benissimo con diciamo col videomessaggio del del sottosegretario di Stato invito comunque al... Alla chiusura con l'ultimo panel, quindi invito comunque accomodarsi dottor Casarosa, ingegner Barbati e dottor Riccardo Marinaro. Allora siamo entrati nel vivo della materia...
Andrea mettiti qua. Siamo entrati nel vivo della materia e ora dobbiamo concludere diciamo riprendendo quello che è la tematica principale, quella diciamo dell'aggiornamento della della normativa dell'ANIS 2 ma non solo un aggiornamento una tantum, dev'essere un aggiornamento costante perché se non avviene un aggiornamento costante di tutti I sistemi, delle procedure e 1 1 1 diciamo una mappatura degli asset in tempo reale, la norma non solo non è diciamo rispettata e quindi si va incontro a quello che è la la tematica della della sanzione, ma soprattutto si rischia. Si rischia perché quella diciamo quella porta che non è tracciata, quel singolo asset che non è coperto, ovviamente risulta essere una possibile breccia. Quindi prego dottor Casarosa.
Grazie Alessandro.
Prego.
Andrea Casarosa
Allora, come tutti ringrazio ovviamente Alessandro, l'ANCI, col quale abbiamo... Che ci permesso di organizzare questo questo incontro, e il senatore Amidei che ci aperto le porte di questa sala. Devo dire che molte cose sono state dette dai relatori precedenti, anche rispetto a quello che avevo preparato io, od altro. Ma come come avevo previsto, comunque vorrei cominciare da una data che è stata citata proprio nella... Forse è stata l'unica che l' citata, esattamente la la data del 31 ottobre, cioè tra 4 giorni.
Tra 4 giorni quando in pratica la la CN termina il suo... La sua fase di accompagnamento verso le imprese e verso il... L'adeguamento per quanto riguarda la MIS 2 e passa invece ad avere dei poteri di controllo effettivi su quelle che sono le le normative e l'adozione delle pratiche che lei I... Scritto.
Andrea Casarosa
Il... Gli altri relatori io sono... Forse sono l'unico imprenditore, 2 siamo, ok? Parlo da imprenditore e da imprenditore che un'azienda da 26 anni io penso che sulla sicurezza informatica, parlando da 26 anni di sicurezza informatica, sono accorto di quanto è diciamo la la mancanza proprio di cultura forse citava all'inizio, la cultura generale di quello che è la sicurezza informatica nel... Nell'impresa italiana.
Quindi vista dalla parte delle grandi imprese c'è tutta una serie di, diciamo, di una
Di spinte che devono per forza adeguarsi e quindi hanno hanno anche sicuramente gli investimenti, I budget per poter adeguarsi a tutte quelle che sono le normative e invece ci sono poi tutta una serie di aziende italiane che però sono il il fulcro della nostra industria che sono la PMA italiana, dove invece c'è una non una grandissima, una scarsa cultura della sicurezza informatica, tanto che come come per altre norme che sono già state messe in vigore negli anni GDPR, abbiamo parlato abbiamo parlato di di alcune cose che dovevano essere assolutamente recepite, la CN è stata recepita per alcuni ancora come una norma tecnica e che invece non lo è, perché cambia il paradigma di questo. Cambia il paradigma perché a differenza delle altre questa è una norma che parla di tecnologia, non è una norma tecnica. E quindi è una norma che parla di tecnologia che va a coinvolgere direttamente quelli che sono gli amministratori delle aziende. Le responsabilità vanno in capo agli amministratori. Molti hanno rincorso in questi anni la normativa cercando di adeguarsi a quelle che erano tutte le le richieste della CN, hanno creato faldoni per essere compliance come a molti qua hanno parlato di di adeguamento, ma I faldoni come si faceva per lì, come si fa per l'ISO 9001, come si fa per il GDPR, non sono la risposta a quello che deve essere invece l'attuazione dell'ACN.
L'attuazione della NIS 2 richiede che ci siano... Ci sia un dovere tecnologico e una responsabilità anche di conoscenza, non basta presumere di conoscere, ma bisogna anche sapere quello che si sta facendo. Quindi anche quando si parla di in organizzazioni il... L'inserimento del CISO, qualcuno parlato di CISO all'interno dell'organizzazione, io ad esempio sono convinto che un CISO aziendale, cioè assunto dall'azienda, sia la cosa più pericolosa per l'azienda stessa, perché il CISO deve essere una figura autonoma, una figura che è capace di parlare col CDAE di dare quelle che sono le strategie e le politiche di sicurezza, e non può essere un sottoposto a un amministratore, quindi non può essere un dipendente. Chi ce l' come dipendente sta solo facendo una 1 forzatura a quello che è invece le regole dell'ACN.
Quindi, tornando invece a tutto quello che... Non vorrei ripetere, tutto quello... Tutto quello che è stato detto, no? Quindi se... Cercherò anche di essere molto breve, quindi parliamo ovviamente di sanzioni di cui avete parlato già e di tutto il resto, io vorrei solamente prendere una cosa importante, cioè prendere le 3 cose di cui era il mio intervento oltretutto, parlare di compliance, rischio e governo, giusto?
Dove la compliance, come dicevo 1º, il vecchio modo era quello di, diciamo, di compilare compilare tante procedure, mettere queste procedure in ordine, fare in modo che qualcuno le controllasse e poi chiudere dentro un armadio, un archivio, e rimanere lì fino al prossimo anno quando qualcun altro andava ad aggiornare queste procedure. Ecco, la NIS 2 non riguarda questo, non sono procedure che devono essere archiviate, sono procedure che devono essere monitorate costantemente controllate. Quindi questa cosa è molto importante perché io devo sapere in ogni momento della mia giornata come rispondere a un determinato tipo di attacco, se c'è stato, a un tipo di notifica, quindi ho dei tempi, delle date, devo avere dei registri certi, devo comunque tracciare esattamente tutto ciò che avviene all'interno dell'azienda, quindi devo avere un sistema attivo che mi permetta di fare questo. Il rischio, l'altra parola, ok? Che si pensa che il rischio vuol dire eliminare il rischio di attacchi, no?
Mentre sappiamo benissimo, anzi, che il rischio è... Non è eliminabile nella sicurezza informatica, perché ogni giorno noi siamo potenzialmente soggetti a nuovi attacchi, ogni ora, ogni giorno, ogni minuto, ce n'è sempre un'evoluzione. Quindi se noi non siamo in grado di andare a monitorare e a controllare quello che succede, non ci basta leggere diciamo la... Leggere l'articolo dell'NSA il giorno dopo, dovremmo essere in grado di intervenire quando avviene l'attacco senza che qualcuno ce l'abbia detto che c'è. Quindi bisogna fare un altro tipo di ragionamento, bisogna fare un altro tipo di monitoraggio sui sistemi di sicurezza, bisogna permettere che questi sistemi siano costantemente pro attivi, e questo è fondamentale.
La responsabilità, che invece è la 3º parola, che invece è quella più importante, che dopo un incidente, no? La domanda che conta non è più come è successo, ma la realtà è che cosa sapevate e che cosa avete fatto, no? Questo. Un 1 amministratore che non è in grado diciamo di rispondere a questa... A queste domande è un amministratore ovviamente non consapevole, quindi non tutelato, è uno di quelli che diventa un amministratore esposto a quanto quello che noi abbiamo tutti I relatori che hanno detto in precedenza, sanzioni e e via dicendo.
Altra... L'altra cosa di cui appunto, boh, anche per concludere, perché io sono molto breve, no? Come si fa a dimostrare questa cosa? Perché è una domanda più pratica forse che ci riguarda un po' tutti. Come dicevo 1º, oggi, io ho visto in molte aziende che ho...
Dove sono andato, dove è stata applicata la NIS 2, lavorare le aziende manifatturiere in Italia con fogli di Excel, decine fogli di Excel che riportano dati da tutte le parti, che poi raggruppano le analisi, che poi alla fine danno una documentazione. E tutto questo dei report che magari fatto un consulente esterno, non so, che fotografa appunto quello che è il il giorno con cui quella cosa. Peccato che il giorno dopo tutto quello che fatto è già di nuovo vecchio per l'Aniss 2, e quindi questo non serve assolutamente a nulla. Non è l'adeguamento che ci si aspetta, non è l'adeguamento che ci permette di proteggerci tutte le cose che detto anche benissimo il il generale La Lacca, nel senso che tutto quello che succede nelle aziende quando parliamo di sistemi EOT, ad esempio, in... Nell'azienda manifatturiera, se pensiamo, I sistemi EOT li utilizzano da 10, 15 anni, adesso si sono evoluti e tutto è molto più raggiungibile.
Quindi qualsiasi, dalla dalla smart manufacturing alla smart city, tutto si può bloccare in un attimo semplicemente con degli attacchi fatti a dei sensori che sono sparsi in tutta la nostra nazione, in tutta l'Europa, in tutto il mondo. Quindi siamo in grado di bloccare qualsiasi servizio essenziale. E per da qui l'importanza, no, di proteggere tutte le vie, diciamo, di comunicazione e monitorare tutto quel... Tutto ciò che ne comporta. È importante monitorare I fornitori, no?
Quindi tutta la linea di approvvigionamento, perché molte volte sono il il... La falla, diciamo, più probabile per per le aziende, perché per quanto riguarda questo ovviamente, come dicevo 1º, aziende molto più grosse si avvalgono di terzisti che sono molto più piccoli e che hanno anche meno disponibilità per potersi munire di sistemi di di sicurezza, e quindi abbiamo un dislivello di sicurezza che in qualche modo qualcuno dovrebbe colmare. C'è un gap che non è colmabile, io posso avere una... Appunto un'azienda molto molto difesa e alle quali che non riusciremo mai ad attaccare, che però si rifornisce a dei fornitori che hanno un sistema di sicurezza con un livello molto ma molto più basso, perché non hanno la possibilità di adeguarsi con gli stessi tipi di sistemi perché non hanno la stessa capacità di investimento per poterlo fare. E questo
È un 1 discorso anche, se vogliamo, un 1 discorso di governance d'impresa, perché come facciamo ad aiutare queste aziende, dopotutto? Se noi ci vogliamo rafforzare, però dobbiamo dare gli stessi mezzi a tutti per poterlo fare. Perché se tutti non hanno gli stessi mezzi, ci sarà sempre, da qualche parte, un posto dove io potrò entrare e colpire chi voglio. Quindi, volevo dire concludere. Comunque le...
Allora, per quanto riguarda appunto l'ACN, come ho detto 1º, tutte le misure toccano gli asset, toccano ogni strumento che rientra nelle... Nella rete, come sappiamo. La gestione delle vulnerabilità è una... È una richiesta per quanto riguarda l'ACN, il controllo degli accessi, la continuità operativa, cioè quanti di questi hanno un piano di continuità operativa, una... 1 piano di disastro recovery?
Probabilmente l'azienda, la multinazionale, tutto quello che serve sotto questo punto di vista, può darsi. Ma l'azienda diciamo fornitore molto probabilmente non un piano di just recovery, non c' una business... Un piano di business continuity, e quindi comunque tutto questo incide nella filiera e quindi nella... Diciamo nell'attuazione della normativa e della sicurezza in maniera generale e che possa essere veramente efficace. Per quanto riguarda tutto questo, è chiaro che non esiste nessun essere umano che può controllare tutte queste cose in in tempo reale, no?
Anche se è richiesto anche per l'ACN, le dotazioni di un SOC, di un... Di un centro diciamo di monitoraggio continuo, ma anche questo chi è che lo fa? Cioè nel senso, chi può permettersi anche di gestirlo? Noi quanto riguarda la mia azienda, cioè I networks, abbiamo adottato uno strumento di governance per quanto riguarda la MIS 2, che raccoglie tutte queste informazioni in in tempo reale e ci permette in tempo reale di dare un'analisi del rischio al momento di una ispezione dell'ACN, quindi andare a vedere che cosa sto facendo e qual è il mio rischio sui miei asset critici che io sono andato a definire. Quindi...
Ci siamo?
Andrea Casarosa
Va bene, adesso finisco ancora. Quasi alla fine. Andiamo in chiusura allora. Va bene, allora per concludere volevo parlare appunto... Riepilogare semplicemente I 3 impegni che ci siamo...
Che ci dobbiamo prendere da questa... Da questa conferenza per chi ci ascolta, per tutti quelli che qui rappresentano delle imprese o delle autorità. Ed essere, e parlare appunto della compliance, portandoci come impegno di portarla al... Ad un consiglio di amministrazione dove appunto non è stata portata magari non in coda all'ordine del giorno, ma come unico argomento a cui da verbalizzare all'interno del consiglio e da approvare specificando chi governa, chi deve sapere di di e là di... Della gestione.
E sul rischio per chi già fatto anche l'ANIS 2 e quindi magari molti se ci sono imprenditori l'hanno fatta e via dicendo, provare a chiedere ai propri responsabili anche di dargli su un foglio bianco quali sono gli... I 5 asset critici che loro hanno monitorato, anzi per cui hanno monitorato e per cui se si fermi... Se si fermano questi l'azienda si ferma per qualche motivo. Quindi e se sanno anche come andare ad intervenire su questi asset critici, in quanto tempo riescono a risolvere e rimetterli in funzione. Ecco se ovviamente il vostro responsabile non sarà in grado di darvi questo, forse avete già un punto su cui lavorare.
Sulla responsabilità, dotatevi, parlo sempre di imprenditori, di uno strumento che possa trasformare le le vostre decisioni in prove, perché è quello che serve, perché bisogna provare di aver fatto. Non basta solamente scrivere che c'è una procedura e ci sono dei responsabili. Questo non è un... Non è sicuramente una cosa che salva l'azienda o il consiglio di amministrazione. E quindi bisogna cercare di governare questo cambiamento e non diciamo inseguirlo.
Io credo che come tutte... Come tante altre volte, tante altre norme che sono state applicate e che ho visto in tutti questi anni, abbiamo una norma che ritornando al 31 ottobre ci dice che la sicurezza non è più un costo dell'azienda, cioè non deve essere più vista come costo dell'azienda, come invece io l'ho vista da parte di tutte le aziende negli ultimi 26 anni in cui ho parlato di sicurezza informatica, ma dev'essere vista come una qualità dell'impresa, come la solidità del bilancio e l'affidabilità del prodotto che viene sviluppato. Quindi dev'essere un asset fondamentale e non un costo. Questo penso che le imprese italiane con la giusta cultura sappiano trasformare tutte queste regole e quindi produrre un vantaggio come molte altre volte sono riuscite. Io spero che appunto che tutti le possano mettere in pratica.
Grazie.
Alessandro Del Frate
Perfetto, grazie, grazie Andrea Casarosa di Networks, anche l'organizzatore e cedo la parola all'ingegner Barbati che parlerà appunto di di MIS 2, di di attacchi e soprattutto di gestione su filiere produttive e società che sono ovviamente multigruppo perché comunque Antonio Barbati è responsabile tecnico, quindi un grande gruppo che compone più più aziende, quindi... Prego Antonio.
Antonio Barbati
Grazie Alessandro per l'invito, ma anche grazie al senatore Amidei e a tutti gli organizzatori e partner di questo... Di questo evento, che ci permesso di condividere idee, azioni, ma problematiche che finora sono state soltanto, come dire, messe sulla carta. Però è arrivato il momento di passare anche all'azione. Allora, io proverò a darvi il punto di vista di chi si ritrova ogni giorno ad affrontare queste problematiche. In passato, come veste di semplice fornitore di di servizi, di servizi IT, ma a questo punto con l'avvento della NIS 2 lo scenario cambia e quindi la gestione dei...
Della NIS 2 ci pone nella situazione di gestire queste queste criticità anche lato lato clienti. Allora, un'organizzazione, azienda, pubblica amministrazione, si può, può spendere milioni di euro in sicurezza per mettere in sicurezza il proprio perimetro. Però questa organizzazione è tanto sicura quanto lo è l'anello più debole all'interno della propria... Della propria organizzazione, della propria filiera, che possa essere un 1 cliente o un fornitore stesso. Le aziende del territorio nazionale, del nostro sistema Italia, spesso si trovano ad avere la veste di fornitori di tecnologia, di cloud, di software, ma anche avere clienti come pubbliche amministrazioni, enti portuali, servizi logistici, forze di polizia e sicurezza.
Le aziende italiane spesso si trovano ad avere... Di trovarsi nella veste di entrambe le situazioni, fornitori di certi enti e clienti di altri. Io il 31 ottobre io l'ho messo per iscritto, voi ne avete parlato ma io l'ho messo per iscritto, è una data fatidica.
Anticipato, finora è stata carta, ok? Si è soltanto parlato della della NIS 2. Dal 31 ottobre dobbiamo darne le prove che tutto quello che ci è stato richiesto viene messo... Viene messo in pratica. E purtroppo, purtroppo, nelle nelle nostre organizzazioni, nei nostri enti, nella nostra filiera, la sicurezza è quello che viene spesso lasciato per ultimo.
Gli attaccanti spesso si ritrovano ad attaccare più aziende, però molto spesso fanno 1º ad attaccare un'unica azienda che all'interno della sua filiera migliaia, migliaia di enti e aziende che partecipano alla sua filiera. Quindi colpiscono un'azienda importante la cui ricaduta è è importante all'interno del... Della della sua filiera. Non per ultimo nel 2024 è stato, che poi non era neanche un attacco, era un aggiornamento di un... Di un prodotto, di un'azienda che era fornitrice di sicurezza che fermato aeroporti, ospedali, banche in tutto il mondo, senza che abbiano effettuato nessun attacco.
Era soltanto un attacco alla fine di un aggiornamento che l'azienda aveva posto... Aveva posto in essere. La sicurezza poi anche ricadute anche nei rapporti con I fornitori, nei rapporti gestione delle vulnerabilità, qualità dei prodotti che noi andiamo ad utilizzare all'interno della nostra infrastruttura, ma non per ultimo adottare delle politiche per lo sviluppo sicuro, che spesso viene sempre demandato ai nostri... Ai nostri fornitori, però anche all'interno delle nostre organizzazioni è importante che ci sia la cultura dello sviluppo... Dello sviluppo sicuro.
Noi ci poniamo l'attenzione sulle nostre aziende, sulle nostre organizzazioni che sono soggette a NIS 2, però all'interno della nostra filiera spesso si trovano... Troviamo aziende che non sono soggette a NIS 2, però per entrare a far parte della nostra filiera, devono anche loro corrispondere a quelle che le esigenze della NIS 2 lo richiede perché I loro clienti sono sono NIS 2. Io ho provato giù a buttare delle 5, dei 5 milestone su su su quello che ci possa permettere di di passare dalla dalla carta alla alla resilienza vera e propria. Una è conoscere la propria filiera, cioè conoscere le aziende con cui... Con cui lavoriamo.
Non sono tutte uguali, quindi categorizzarli in base al rischio e al tipo di fornitura o di rapporto che noi abbiamo con loro, che tipo di dati trattano, come accedono ai nostri... Ai nostri sistemi. Quindi classificazione dei nostri... Dei nostri... Dei nostri fornitori.
2. Ora qui abbiamo dei dei dei dei dei competenti della della parte giuridica molto importanti. Inserire nei contratti la sicurezza. Cioè spesso noi, cioè spesso, noi dobbiamo rispondere entro 24 ore al CIRT per dare l'allarme di essere stati attaccati. Però un fornitore o un cliente non può avvisarci dopo una settimana.
E quindi è importante inserire all'interno dei contratti delle clausole che vengano gestite queste situazioni, e magari gestire anche l'uscita da questi contratti per per evitare di legarsi mani e piedi a clienti, fornitori che non ci permettono di rispettare le normative della NIS 2. Altre... Altri fattori importanti è la gestione, a questo punto, dell' accessi, cioè utilizzare autenticazioni a più fattori, privilegi minimi a chi accede ai nostri sistemi con accessi temporanei e e tracciati e reti segmentate, perché il rischio più grande che noi possiamo avere all'interno della nostra organizzazione è permettere degli accessi non sicuri. 4º 4º passaggio, ci sono quasi, 4º passaggio è il monitoraggio continuo della nostra filiera. Non limitarci soltanto ad una fotografia che che il...
Che la situazione è attuale, ma un monitoraggio continuo della nostra... Della nostra... Della nostra filiera. Ultimo passaggio è preparare risposte condivise, cioè con I nostri fornitori, con I nostri clienti preparare una risposta ad un attacco in maniera condivisa. Io devo conoscere puntualmente chi contattare dall'altra parte in caso di problemi di sicurezza, e non saperlo quando l'attacco è già...
È già in essere. Quindi fare esercizi proprio su questa... Su questa problematica. Do ancora maggior valore. Tutto questo non deve essere demandato a al reparto...
Al reparto it. Devono essere prese delle decisioni a livello di all'interno di un'azienda, che ne devono approvare le misure, ne devono rispondere, si devono anche formare. Perché le... Un fornitore non è un semplice acquisto di un servizio, ma è anche la decisione di gestire delle delle delle criticità. Le aziende devono imparare a non creare dei semplici questionari scaricati o creati con intelligenza artificiale, ma creare dei questionari ad hoc per ogni tipo di fornitore o o cliente.
E per fare in modo di poter gestire con una semplice mail, perché una semplice mail non diventi un attacco alla nostra... Alla nostra azienda. Concludo, concludo veramente, dicendo che la residenza non è un'affitta, di una filiera non è un qualcosa che si acquista, o che, o che si delega a qualcun altro. È un qualcosa che si costruisce insieme. Cliente, fornitori, contratti, accessi, ma soprattutto tanto esercizio.
Grazie a tutti.
Alessandro Del Frate
Grazie grazie ingegner Barbati. Ci avviamo alla conclusione con l'ultimo intervento del dottor Riccardo Marinaro di EA Group che appunto ci parlerà del fattore umano e il rischio sul... Per quanto riguarda ANIS 2 che si ricollega perfettamente all'inciso finale dell'ingegner Barbati quindi chiudiamo con con l'ultimo intervento. Grazie.
Riccardo Marinaro
Io ringrazio il senatore Amidei per l'iniziativa, ringrazio tutti I relatori che mi hanno preceduto e soprattutto ringrazio Alessandro per avermi dato la possibilità di intervenire di fronte a questo tema così importante. Allora, abbiamo parlato di governance modelli organizzativi, però appunto il fattore umano, voglio mettergli all'attenzione, che è l'unico elemento è... Che nessun modello e nessuna tecnologia possono e devono mai sostituire. Poco fa ho sentito parlare pure di bot, di intelligenza artificiale, però dico, a me piace pensare che il fattore umano venga mantenuto negli anni e che rimanga sempre quello e che sia, appunto, il fattore
Riccardo Marinaro
Tutto continua a dipendere. Io sulla sulla scadenza del 31 si è già parlato, molti degli argomenti che dovevo trattare sono già stati trattati, quindi io anche per accorciare do semplicemente delle mie considerazioni e chiudiamo tutti in maniera molto veloce. Allora, il il fattore umano perché? Perché quando parliamo di violazioni, di incidenti, principalmente... Cioè 6 violazioni, 6 incidenti su 10 appunto coinvolgono sempre il fattore umano, quindi sono causate da persone.
Ora, cosa è successo? Questo lo sa ovviamente lo Stato, lo sa... Lo sa perché? Perché trasformato negli ultimi anni quello che era, diciamo, la formazione 1º era vista come un... 1 prassi, come una semplice prassi, adesso è diventata obbligo giuridico.
Obbligo giuridico perché sappiamo bene che il fattore umano non deve essere l'anello debole per natura, ma diventa debole se il personale appunto non è formato. Quindi il legislatore europeo ed italiano, appunto, con il decreto legislativo 138 2024 che recepisce... Che recepisce la NIS. Agli articoli 23 di cui si è già parlato, quindi della previsione della formazione su più livelli, io aggiungo anche l'articolo 24 dove la formazione e l'igiene informatica sono state introdotte tra le misure di gestione del rischio, si va a confermare quella che è un... Quello che è un concetto che appunto è stato appena espresso, che è quello che il...
La formazione non deve rappresentare un costo, un costo direzionale, deve... È una misura di sicurezza a tutti gli effetti, è come un backup, quindi è necessaria. Allora anche il GDPR infatti lo sapeva già, con gli articoli 29.32. Questo perché? Perché quando si verificherà una violazione, quindi di fronte a un incidente, la 1º cosa che l'autorità chiederà sarà il personale era formato?
Quindi la formazione è anche la prova della diligenza e la formazione del personale deve essere pure documentata. Ora, io mi accingo a chiudere semplicemente invitandovi a concentrarvi su quelle che sono 3 le possibili soluzioni. La 1º è una formazione che essere impostata per ruolo, perché non un corso per tutti, perché non tutti possono fare tutto, ma per ruolo, quindi in base al livello di inquadramento. Un 2º consiglio che do è quello di diciamo avere una formazione continua e misurata e specifica soprattutto, quindi legata a quelle che sono degli esercitazioni vere e proprie sul... Sui rischi, E come ultima cosa, integrare I sistemi di NIS 2, GDPR e modello 2 3 1, perché sono delle normative che chiedono, diciamo, al personale di agire tutti sullo stesso...
Sui stessi comportamenti. Quindi l'ANISTITU ci chiede di essere resilienti, ma la resilienza ovviamente non si compra e non li... E non si... E non si installa, semplicemente si costruisce persona dopo persona. La tecnologia protegge I sistemi, mentre le persone proteggono l'organizzazione.
Grazie.
Alessandro Del Frate
Grazie, chiudo chiudo I lavori, ringrazio tutti del vostro tempo, della vostra disponibilità. Ovviamente rifaccio tutta la fila diciamo di ringraziamenti al Senatore Amidei e a tutti diciamo gli organizzatori. È stata comunque una mattinata in cui sono stati espressi una serie di concetti molto importanti e abbiamo dato un taglio diciamo politico, un taglio tecnico, un taglio giuridico a quello che è stata diciamo questa questa giornata e saranno disponibili diciamo poi I risultati dei lavori, quindi tutto diciamo un report che elaboreremo e che metteremo a disposizione non solo diciamo poi di quelli che sono stati gli uditori di questa mattina, ma anche tutti coloro che si sono video collegati perché eravamo ovviamente in diretta sulla televisione del Senato della Repubblica. Quindi ancora un grazie a tutti e buona giornata.
Claudio Anastasio
Agli argomenti che abbiamo trattato. Quindi poteva sembrare una battuta quando dicevo cambiamo il paradigma, perché l'incidente è certo, non sappiamo quando. Sono ormai 2 ore che è stato attaccato un attacco, che era a Camera dei Deputati, e l'incidente è stato gestito. ANSA? Notizia ANSA.