ULTIM'ORA

ULTIM'ORA

Forze dell'ordine e Ministeri italiani in balia dell'antivirus... di Mosca

Lettura in corso:

Forze dell'ordine e Ministeri italiani in balia dell'antivirus... di Mosca

Forze dell'ordine e Ministeri italiani in balia dell'antivirus... di Mosca
Dimensioni di testo Aa Aa

AGGIORNAMENTO 6/4: In basso, la precisazione dell'azienda che sostiene di non aver legami con alcun governo e di rispettare i più elevati standard di etica commerciale.

Fabio Pietrosanti è presidente del Centro Hermes per la Trasparenza e i Diritti Umani Digitali. È un'associazione di cyberattivisti che fa parte di un network europeo, European Digital rights che si occupa di diritti civili legati alla società dell’informazione. Ci ha raccontato che Kaspersky, un colosso della cybersecurity russo, noto per gli antivirus, poi evoluto con soluzioni più sofisticate, oggi viene adoperato sia in ambito privato che pubblico. E poi c'è il caso italiano.

Qual è questa anomalia?

Facendo una ricerca online anche dai dati di trasparenza sugli acquisti, emerge che tutte le agenzie di sicurezza italiane: polizia, carabinieri, Ministero dell’interno, Giustizia, Difesa, Servizi segretii, utilizzano e acquisiscono software antivirus Kaspersky. In buona sostanza, su tutte le agenzie di sicurezza italiane, c’è un pezzo di software prodotto in Russia che ogni giorno si collega a Mosca per effettuare controlli sugli aggiornamenti.

E che male c’è? Non è la ricerca del minor prezzo? È vietato?

Nell’ambito di determinati contesti, della sicurezza nazionale è necessario utilizzare tecnologie di sicurezza nazionali, o europee o di paesi nell’ambito della Nato. Tuttavia l’ambito della sicurezza informatica essendo non ancora molto ben regolamentato, fa sì che si utilizzino alcune aziende che sono al di fuori di quella che è l’alleanza atlantica. Questo è uno di questi esempi.

Quale può essere il rischio di delegare la sicurezza interna italiana a un’azienda russa?

Facciamo un esempio molto pratico e realistico. Se domani lo FSB o i militari russi avessero l’esigenza di accedere a un computer dell’intelligence italiana o della difesa o della polizia italiana, per un'esigenza specifica, queste istanze russe, laddove avessero il potere di coercizione legale o istituzionale nei confronti di Kaspersky, potrebbero richiedergli che invece di far scaricare un aggiornamento dell’antivirus, venga scaricato un captatore informatico con finalità di spionaggio.

Se n’è accorto qualcuno di questa anomalia?

Attualmente è un’analisi del tutto preliminare. Bisognerà attuare degli approfondimenti. Vogliamo conoscere il dettaglio di installato della tecnologia Kaspersky nelle agenzie di sicurezza italiane. Certo è, che in altri paesi, come ad esempio la Francia, c’è maggiore attenzione alla provenienza delle tecnologie che vengono utilizzate in contesti di sicurezza strategica.

Trump che ha fatto negli Usa?

Nonostante l'amministrazione Trump abbia esplicitamente vietato l’utilizzo di tecnologia Kasperski, già prima della normativa introdotta a dicembre negli Usa, per le organizzazioni militari e l'intelligence, era fatto divieto di utilizzare apparati non prodotti all’interno degli Usa. Quello che ha fatto Trump è stato di introdurre il divieto anche per le agenzie civili. Non è che importante vietare le tecnologie di un certo paese o di un certo produttore, ma avere un processo di selezione dell’origine geopolitica, delle tecnologie che prima guardi al proprio paese, poi alla propria area geografica e di alleanze e solo dopo, laddove non ci fossero soluzioni guarda al di fuori.

A parte Kaspersky ci sono altri punti inusuali a livello italiano e europeo?

Questo è un dato sconcertante quanto realistico: pressoché la totalità delle infrastrutture mobili di telecomunicazioni, di operatori mobili europei utilizza tecnologie ZTE e Huawei che hanno un prezzo di acquisto decisamente inferiore, si parla anche del 25%, 30% inferiore al prezzo di mercato rispetto all’equivalenza delle tecnologie europee. Quindi il grosso delle tecnologie e parte delle infrastrutture critiche di telecomunicazioni mobili europee è oggi in mano ai cinesi.

Anche Kaspersky fa dumping con i prezzi?

Non ho informazioni ufficiali, ma attraverso interviste informali posso dire che il risparmio è sempre in quell’ordine di grandezza. C’è da domandarsi, come legittimo dubbio, e non come insinuazione, se queste strategie di prezzo siano rivolte a un’acquisizione di fette di mercato per finalità politiche, anche indirettamente, e non necessariamente di di tipo imprenditoriale.

Di questi fatti che Lei ci racconta se ne parla?

Allo stato corrente non se ne parla su alcun media anche perché significherebbe dover ammettere un errore grossolano fatto in ambito istituzionale, praticamente di tutte le istituzioni. Queste sono tutte informazioni disponibili online sui siti delle varie agenzie di sicurezza secondo la legge 190/2012 che obbliga la pubblicazione degli acquisti relativi alla PA. Semplicemente qualcuno non ha fatto il suo lavoro.

La precisazione di Kaspersky Lab

Kaspersky Lab non ha legami con alcun governo e l’azienda non ha mai aiutato – né aiuterà mai – alcun governo al mondo a condurre campagne di cyber spionaggio. Nei suoi 20 anni di storia nel settore della sicurezza IT, l’azienda ha sempre rispettato i più elevati standard di etica commerciale e sviluppato tecnologie affidabili e Kaspersky Lab crede che sia assolutamente inaccettabile che l’azienda venga ingiustamente accusata senza alcuna prova concreta a supporto di queste false accuse. Kaspersky Lab, azienda privata, sembra trovarsi al centro di una lotta geopolitica in cui entrambi i fronti stanno cercando di sfruttare l’azienda come una pedina del proprio gioco politico. Eugene Kaspersky, fondatore e CEO di Kaspersky Lab, si è ripetutamente offerto di incontrare gli ufficiali governativi, comparire di fronte al Congresso degli Stati Uniti e aprire il codice sorgente per un’ispezione ufficiale allo scopo di rispondere a qualsiasi domanda del governo americano nei confronti dell’azienda. Kaspersky Lab rimane disponibile a supportare le indagini di tutte le organizzazioni governative interessate e l’azienda crede fortemente che un’approfondita analisi di Kaspersky Lab confermerà che queste accuse sono infondate.
Kaspersky Lab ha lanciato di recente la propria Global Transparency Initiative, che impegnerà il settore della sicurezza IT nella convalida e nella verifica dell’affidabilità dei propri prodotti, processi interni e attività commerciali. Questa iniziativa dimostra non solo la leadership di Kaspersky Lab nell’offerta di prodotti e soluzioni comprovate per la cyber sicurezza ma anche il suo costante impegno a fare sempre di più per proteggere i propri clienti. La fase iniziale della Global Transparency Initiative di Kaspersky Lab comprenderà:

  • L’esame indipendente del codice sorgente, degli aggiornamenti software e delle regole di rilevamento delle minacce dell’azienda.
  • L’avvio di una valutazione indipendente della sicurezza dei processi dell’intera fase di sviluppo e delle strategie di mitigazione del rischio del software e della supply chain.
  • Lo sviluppo di controlli aggiuntivi per disciplinare le pratiche di elaborazione dei dati aziendali in coordinamento con un soggetto indipendente che possa attestare la conformità della società ai suddetti controlli.
  • La creazione di tre Transparency Center a livello mondiale, il primo dei quali verrà istituito nel 2018, per affrontare eventuali problemi di sicurezza con clienti, partner fidati e stakeholder del governo; i centri serviranno a partner fidati come struttura per accedere al controllo del codice dell'azienda, degli aggiornamenti del software e delle regole di rilevamento delle minacce, oltre che ad altre attività. I Transparency Center apriranno in Asia, Europa e Stati Uniti entro il 2020.
  • Kaspersky Lab ha inoltre potenziato il proprio affermato programma Bug Bounty includendo ricompense fino a 100.000 dollari per la scoperta e la comunicazione coordinata di gravi vulnerabilità all’interno di alcuni dei propri prodotti di punta. L’aumento della ricompensa ha lo scopo di incentivare ulteriormente i ricercatori indipendenti di sicurezza a unirsi agli sforzi dell’azienda nel tentativo di individuare e mitigare le vulnerabilità.