L intelligence applicata per l azienda, quale mitigatore dei rischi: un opportunità?

Transcript

1

2 Atti X Convegno Nazionale ANSSAIF Data e Luogo: 23 novembre 2013 Hotel Salus Terme, Viterbo L intelligence applicata per l azienda, quale mitigatore dei rischi: un opportunità? SPONSORS: 1

3 Programma dei lavori Orario Argomento 9,00 Saluto ai presenti ed apertura dei lavori Giovanni Bisogni, Presidente CdA UNINT Anthony Cecil Wright, Direttore Accademia ANSSAIF UNINT 9,15 Quali scenari in tema si possono prevedere in Italia ed in Europa, per i prossimi mesi, che interessino in particolare la Sicurezza delle imprese, banche incluse? Alessandro Politi, Intelligence Analyst, Director at NATO Defense College Foundation: La situazione internazionale e l impatto atteso in Italia ; Riccardo Benincampi, Ufficio Analisi Economiche ABI Leonardo Procopio, Consigliere ANSSAIF, Risultati dell indagine ANSSAIF Preventive intelligence e data loss prevention. 10,45 Tavola rotonda con relazioni L intelligence preventiva. Coordina Giovanni Bisogni, Presidente CdA UNINT. Relazioni: Vincenzo Zeno-Zencovich, Rettore UNINT, che ci parlerà de la sovranità digitale. Luigi Di Marco, Presidente Federmanagement: "La riservatezza dei collaboratori: Sensibilità e sine cura..". Partecipano al dibattito sui temi della tavola rotonda, portando la loro vasta esperienza in materia, anche i Sigg.: Massimiliano Rijllo, Major Account Manager, TREND MICRO Damiano Toselli, Direttore della Security di Telecom Italia 2

4 Paolo Campobasso, Senior Vice President, FINMECCANICA Sessione domande e risposte 13,30 Light Buffet Lunch 14,30 Tavola rotonda con relazioni L intelligence post evento. Coordina Anthony Cecil Wright (Alle ore 16,00: coffee break) Partecipano al dibattito sui temi della tavola rotonda, portando la loro vasta esperienza, i Sigg.: Alessandro Musumeci, Presidente CDTI di Roma; Luisa Franchina, Consigliere CdA UNINT; Stefano Aterno, docente di diritto penale dell informatica, autore del Manuale di Computer Forensics Corrado Giustozzi, ENISA/PSG Sessione domande e risposte 17,30 Tema di chiusura del Convegno: conclusioni e progetti 2014 Coordinano il dibattito con i relatori ed i presenti Giovanni Bisogni e Anthony Cecil Wright. Conclusioni dei lavori. Intervengono i relatori e dibattito con i presenti Quali ricerche e studi per il 2014 sono emersi dal Convegno; valutazione di possibilità di sinergie con le altre associazioni e laboratori. Partecipano: Vincenzo Zeno-Zencovich Antonio Magliulo, Preside Facoltà Economia, UNINT e i rappresentanti delle seguenti organizzazioni: 3

5 AIIC, Sandro Bologna, Presidente AIPROS, Gianni Andrei, Presidente AIPSA, Damiano Toselli; Presidente CDTI-ROMA, Alessandro Musumeci, Presidente CIPES ed AIAS, Giancarlo Bianchi, Presidente Centro ELIS, Michele Crudele, Direttore del Centro ed ideatore del portale Il Filtro per la difesa dei minori in rete. INFORAV, Maurizio Bufalini, Presidente 4

6 Sommario L intelligence applicata per l azienda, quale mitigatore dei rischi: un opportunità?... 1 Programma dei lavori... 2 Intervento del Presidente del Consiglio di Amministrazione dell'università di Studi Internazionali di Roma, dott. Giovanni Bisogni Intervento di apertura dell ing. Anthony Cecil Wright, Presidente ANSSAIF... 9 Relazione del Prof. Alessandro Politi, Director at the NATO Defense College Foundation Domande dalla sala al dott. Politi Relazione del dott. Riccardo Benincampi, Ufficio Analisi Economiche ABI Domande dalla sala al dott. Riccardo Benincampi Leonardo Procopio, Consigliere ANSSAIF, Risultati dell indagine ANSSAIF Preventive intelligence e data loss prevention Relazione del Magnifico Rettore della UNINT, avv. Vincenzo Zeno Zencovich Relazione del dott. Luigi Di Marco, presidente di Federmanagement Commento dott. Giovanni Bisogni alla relazione del dott. Luigi Di Marco Relazione dott. Massimiliano Rijllo, Trend Micro Relazione ing. Damiano Toselli, Direttore della Security di Telecom Italia Relazione dott. Paolo Campobasso, Senior Executive Vice President FINMECCANICA Commenti alle relazioni di Damiano Toselli e Paolo Campobasso Relazione dell'ing. Alessandro Musumeci, Direttore Sistemi Informativi Ferrovie dello Stato Relazione dell ing. Luisa Franchina, membro CdA UNINT Relazione dell avvocato Stefano Aterno Relazione di Corrado Giustozzi Intervento di apertura della tavola rotonda sui progetti 2014 da parte del dottor Giovanni Bisogni Intervento di Alessandro Musumeci, Presidente CDTI di Roma Intervento dell Ing. Maurizio Bufalini, Presidente INFORAV Intervento del dottor Sandro Bologna, presidente di AIIC Intervento dell ing. Gianni Andrei, Presidente AIPROS

7 Intervento del dottor Giancarlo Bianchi, presidente associazione AIAS e CIPES Intervento del dott. Michele Crudele, Direttore ELIS Intervento del dottor Giovanni Bisogni Intervento di Antonio Magliulo, Preside della Facoltà di Economia, UNINT Intervento di chiusura del dottor Giovanni Bisogni, presidente del Cda UNINT

8 Intervento del Presidente del Consiglio di Amministrazione dell'università di Studi Internazionali di Roma, dott. Giovanni Bisogni. Sono lieto di dare a tutti Voi il benvenuto al Decimo Convegno Annuale ANSSAIF-UNINT. Quest anno è la prima volta che si esprime una sinergia fra la Università degli Studi internazionali di Roma e ANSSAIF. Ringrazio in particolare il consiglio direttivo dell'associazione e l'ingegner Anthony Cecil Wright che è l'anima di questa iniziativa. Ringrazio l Ing. Wright per il suo contributo di idee, conoscenze ed esperienze che ha portato e continua portare sui temi della sicurezza del sistema paese. Il tema di oggi è difficile da affrontare perché riflette due momenti significativi sia della vita delle aziende sia dei cittadini. Da una parte l'intelligence preventiva e dall'altra l intelligence post evento. Il tutto inquadrato in un contesto che forse è quello più arduo e più difficile da definire. Si tratta infatti di uno scenario non comune anche per le aziende che gestiscono infrastrutture critiche, sia per i rischi connessi alla situazione geopolitica in cui si trova a operare il nostro Paese, sia per le ricorrenti minacce di spionaggio elettronico che anche recenti episodi hanno posto all'evidenza dell'opinione pubblica. È evidente che il contesto in cui le aziende oggi operano è complesso e ancora condizionato dalla vicinanza temporale a eventi critici che ne hanno caratterizzato l'inizio e in particolare mi riferisco agli attacchi dell'11 settembre alle torri gemelle. Da quella data, l irrobustimento delle infrastrutture e delle misure di protezione e di lotta al terrorismo è stato accompagnato da un aumento della pervasività delle agenzie di intelligence di ogni Paese. In questo contesto, si devono necessariamente difendere gli interessi delle aziende che rischiamo di vedere compromesse le loro attività soprattutto sul piano internazionale. In particolare, le aziende che competono con i leaders di settore a livello mondiale (spesso appartenenti a settori strategici, quali la difesa e l aerospazio) e le aziende che operano in ambito finanziario sono quotidianamente e maggiormente esposte a rischi di accessi, intrusioni e violazioni anche per la pervasività sempre più spinta della information and communication technology nei loro processi produttivi. Se non ricordo male, negli anni 80 il nostro Parlamento, su iniziativa del Governo, ritenne opportuno sanzionare comportamenti illegali connessi all information and communication technology. Fui chiamato con altri esperti dal Ministro pro-tempore per definire i contenuti di alcuni articoli del codice penale (615 ter e seguenti) indirizzati a reprimere i c.d. delitti informatici. In quella sede, i giuristi presenti in commissione proposero un sistema sanzionatorio a mio avviso sproporzionato rispetto agli eventi individuati. Io ed altri ci orientammo a proporre un sistema sanzionatorio più lieve rispetto ad ipotesi più severe, in relazione alla modesta diffusione del fenomeno ed all allarme sociale da esso all epoca provocato. A distanza di anni, oggi sono di diverso avviso. 7

9 Le modalità con le quali oggi si attenta all'integrità del patrimonio di informazioni del singolo cittadino o di un azienda sono sempre nuove e sempre più efficaci nel generare effetti economici, danni morali e impatto nella pubblica opinione. Oggi inoltre è sempre più difficile delineare, e quindi sanzionare, tali modus operandi. Questo perché costante giurisprudenza e principi costituzionali di riferimento non ammettono applicazioni analogiche in "malam partem". Ciò significa che nuovi comportamenti, potenzialmente criminali e dolosi devono essere ricondotti in forma non analogica alle previsioni del codice penale e di eventuali altre leggi a contenuto sanzionatorio. Ciò pone enormi difficoltà nel sanzionare quei comportamenti che si avvalgono di nuove modalità di esecuzione, non previste dal legislatore, rendendone più difficile la repressione. La giornata di oggi, partirà con il tentativo di definire lo scenario sempre più complesso e difficile in cui il nostro Paese è diventato luogo nevralgico di tensioni non tanto legate ai flussi migratori, ma fortemente connesse a interessi commerciali con i Paesi a noi vicini del Maghreb e del Medio Oriente: tale contesto deve necessariamente essere oggetto di attenzione e di preoccupazione per chi ha l'obbligo, in termini professionali o per funzione di governo, di garantire la sicurezza del nostro Paese ed il pacifico e leale svolgersi della attività economiche a livello internazionale. I lavori di questa giornata ci porteranno ad un migliore consapevolezza delle problematiche connesse a questi temi ed auspico che il dibattito e le risultanze che seguiranno possano essere utilmente portate all'attenzione di quanti operano con diversi livelli e ruoli di responsabilità nella protezione del nostro sistema sociale ed economico. 8

10 Intervento di apertura dell ing. Anthony Cecil Wright, Presidente ANSSAIF Buongiorno a tutti e grazie per essere qui. Ringrazio il presidente del Cda dell Università degli Studi Internazionali di Roma per l aiuto che ci ha dato nella predisposizione di questo convegno. Quello che vi devo dire che mi è piaciuto che, quando ho avuto l idea del tema e sul quale mi sono trovato un po indeciso, come ne ho parlato con il presidente n è venuto immediatamente fuori questo programma che ci appare assai nutrito ed interessante e che ha raccolto diversi consensi. Perché ero indeciso. Mi è sembrato che il tema del convegno, la intelligence, mi è sembrato poco trattato in questo momento, ma a suggerirmi l argomento sono stati proprio i recenti aggiornamenti ai due principali standard sulla information security e la business continuity: mi riferisco alla ISO/IEC e alla ISO 22301; infatti questi standard pongono giustamente una forte enfasi sui rischi ed in particolare sull analisi dei rischi: bisogna conoscere a fondo la propria realtà, conoscere la supply chain e quello che succede all esterno della organizzazione, poter prevedere le minacce, analizzare le misure in atto e così via, in un certo modo attuando anche quello che chiamavamo competitive intelligence (che viene fatto per conoscere i competitori e prevedere possibili eventi futuri). Inoltre, come accennato dal presidente, il cybercrime sta richiedendo una particolare attenzione ed un impegno da parte delle organizzazioni proprio nel senso di comprendere se si è nel mirino di qualche associazione criminale, se vi sono punti di debolezza della filiera produttiva, incluso l ambito interno. La intelligence e quindi un qualcosa di obbligatorio. Desidero ringraziare i presidenti delle associazioni che si occupano di sicurezza per essere qui con noi. Considerata la situazione nel nostro paese, credo che dovremmo ragionare per un intervento a livello istituzionale e politico ai fini soprattutto di un opera profonda di sensibilizzazione del cittadino, anello fondamentale nella catena della sicurezza. Voglio ringraziare anche gli amici dell Accademia ANSSAIF che con il loro contributo ci hanno permesso di organizzare questo convegno. 9

11 Relazione del Prof. Alessandro Politi, Director at the NATO Defense College Foundation Fig.1 Buongiorno a tutti. Ringrazio ANSSAIF per l'invito. Già la slide iniziale (fig.1) ci introduce ai temi che tratterò. In uno scenario internazionale complesso l'italia non è più nel G8 ed è un dato di debolezza. Ciò è conseguenza sia per quanto fatto (e non fatto) negli ultimi anni, sia per uno scenario internazionale molto mutato. Nella slide di figura 2, si vede che vi sono crisi in molte parti del mondo. È un mondo non tranquillissimo, ma meno violento di quel che si pensa: qui ci sono tante crisi, ma i conflitti armati sono pochissimi. Le guerre mondiali (e ne abbiamo fatte tre con la Guerra Fredda) sono venute meno ma un altro tipo di guerra è ora in corso a livello mondiale. 10

12 Fig.2 Innanzitutto accenniamo al cybercrime, che come sapete, ha generato nel 2012 danni valutati in circa 113 miliardi di dollari. I danni maggiori li hanno subiti nazioni o gruppi di stati quali gli Stati Uniti, la Cina e l'europa. Tuttavia dobbiamo prestare attenzione anche ad altre situazioni. Ad esempio la primavera araba rischia di divenire una situazione esplosiva nel bacino del Mediterraneo, creando una situazione infiammabile anche in Italia. Per quanto riguarda l'italia, dobbiamo considerare come già detto che siamo nel Mediterraneo e il rischio è che, se non facciamo un intervento stile Piano Marshall, avremo una Weimar araba, cioè il prodromo di altri Hitler. Le rivoluzioni arabe parlano anche a noi, alla nostra situazione. Parlano infatti di disuguaglianza economica, corruzione, tassazione iniqua, mala gestione ed anemia del bilancio pubblico, eccetera. E tutto questo non riguarda solo l'italia ma anche l Unione Europea. Molti paesi hanno situazioni di disagio anche perché la situazione debitoria è solo uno dei sintomi e non l'unico da considerare. Il mondo è oggi dominato soprattutto da reti; ci sono le reti finanziarie ma anche i social network, che sono un eccellente terreno d osservazione. Non a caso alcune nazioni hanno il propri social network (Brasile, Russia, Cina, Iran). La questione dei mercati è sempre molto sbandierata sui media, quasi fossero un entità divina, ma se guardiamo più da vicino, vediamo che 10 attori controllano il 90% del mercato dei derivati e solo tre il rating, 11

13 così come le società di certificazione di bilancio da 12 sono scese a tre. Ci troviamo quindi in una situazione di oligopolio, altro che liberi mercati. Non solo, ma in un ristretto gruppo d aziende mondiali per controllo azionario a valle, il 75% dei loro scambi azionari resta all interno di un nucleo duro e solo il 25% è realmente flottante. Siamo in presenza di una consorteria, e non di un mercato competitivo. Quando parlavo di grandi guerre in corso pensavo all attuale guerra finanziaria mondiale (la prima nella storia dell umanità) ed al fatto che essa è condotta da privati nella sfera palese e occulta (shadow finance e paradisi fiscali) e non più da stati. Così si spiega l attuale cosiddetta crisi dell Euro, che in realtà è un assalto speculativo concertato a danno di stati più deboli per mettere sotto pressione e mungere l intera Eurozona. A questo conflitto finanziario dobbiamo la prima mappa strategica della mafie mai tracciata a livello globale. Normalmente o i fenomeni mafiosi sono visti in un ottica nazionale, al massimo europea, oppure sono tracciati a livello di ONU solo i traffici, ma non gli operatori. Questa mappa è un eccellenza italiana e si ritrova in un mio articolo nel rapporto Nomisma 2014 intitolato Geomafiosità (fig.3, in appendice l abstract dell articolo). Essa collega le principali mafie, i loro narcomercati oceanici ed intercontinentali con i paesi riciclatori. Credo che a noi italiani basti ricordare Calvi per capire quali sono i nessi tra riciclaggio e finanza legale o grigia. Fig.3 Fra i primi 10 riciclatori abbiamo gli Stati Uniti, Regno Unito, Italia, Cina, Russia, Romania, Canadà, Lussemburgo, Francia, Germania, seguiti da Svizzera, Paesi Bassi, Liechtenstein. 12

14 Riciclare vuol dire trattare informazioni. Sappiamo che negli ultimi anni grandi fornitori di servizi su Internet sono detentori delle informazioni che transitano sulla rete. Ci sono poche dorsali nella rete e quindi ciò facilita il controllo. L'Information Warfare è fra amici soprattutto, come il caso Prism-Snowden mostra. Le aziende quindi devono fare attenzione, specialmente alla Cloud che presenta vulnerabilità notevoli. E parlando di tecnologia non possiamo non fare una considerazione su quelli che possono essere gli sviluppi in questo settore. Se consideriamo che un sub contraente della NSA ha potuto sottrarre informazioni riservate, non possiamo escludere che ciò possa avvenire per quanto riguarda le tecnologie. Se pubblico usa una tecnologia realizzata da aziende del privato, non si può escludere che anche organizzazioni mafiose possano dotarsi delle stesse tecnologie. Ci dobbiamo quindi aspettare una capacità estorsiva più elevata, più penetrante, da parte delle grandi organizzazioni mafiose, e in particolare da parte di quella messicana che già sta sbarcando nella penisola iberica. Questa diffusione di tecnologia è difficilmente controllabile. Inoltre sappiamo, anche per recenti esperienze nel settore bancario, che ci sono state frodi operate dall'interno. L'Italia corre il rischio assai concreto che una partnership pubblico-privato possa controllare il nostro sistema con acquisizioni mirate nei gangli vitali. Cosa fare? Uno scenario migliore è un politica che chiamerei Cavour 3.0 dove lo stato riprende il controllo dell economia, regolandola con efficacia in vista di un interesse generale europeo e nazionale APPENDICE Abstract dell articolo N&K , A. Politi, Geomafiosità: quando le mafie fanno geoeconomia. Il primo dato che emerge è la suddivisione del mondo in tre grandi mercati transcontinentali: quello del Pacifico (a tendenza poliproduttiva e policonsumo); quello dell Atlantico (dominato dalla cocaina) e quello Eurasiatico (Afghanistan centro produttivo e dominio dell eroina). Il secondo dato che spicca è la grande guerra di mafia in Messico, che ha impatti globali nei quali sono inclusi UE, Spagna, Italia ed Australia. Terzo dato, almeno 28 paesi ed una entità parastatuale sono sedi d importanti gruppi mafiosi di rilevanza regionale e spesso mondiale. Quarto dato: i paesi in espansione economica e quelli in declino generalizzato sono obbiettivi rilevanti per gruppi mafiosi aggressivi. Ogni paese BRICS è sede di un gruppo criminale organizzato transnazionale importante, mentre gli Stati Uniti rischiano la colonizzazione mafiosa estera. Il riciclaggio e la penetrazione finanziaria sono l affare criminale più lucroso e sono appannaggio dei paesi sviluppati ed indebitati, con l eccezione BRIC di Cina e Russia. Questa finanza nera, appoggiata alla shadow finance ed ai paradisi fiscali classici, ha già unificato l emisfero Nord del mondo in un insieme eurasiatlantico. Il rischio mafioso presente è una minaccia mortale alla sostanza del potere, della responsabilità pubblica e della democrazia, che prospera sull erosione democratica prodotta dal finanzcapitalismo. Domande dalla sala al dott. Politi 13

15 Domanda da parte del dottor Giancarlo Bianchi. Mi riferisco all'ultima parte del suo intervento. Cosa dovrebbe fare l'italia per essere un perno e con chi? Risposta. Innanzitutto l'italia non può fare come con "i capponi di Renzo" con i cinque Paesi denominati PIIGS, Paesi che sono sotto attacco finanziario. Dovrebbe creare una task force di crisi all'interno dell'eurogruppo dove si coordinano le politiche finanziarie. Sarebbe necessario un "debt audit. I debiti non vanno ripagati senza avere cognizione da dove vengono, come si sono formati e chi veramente li esige. Sono contrario alle spending review alla cieca ossia all'austerità dei molti a profitto di pochissimi come ricetta contro il crash. Che qualità ha questo debito? Si sta dicendo che una nazione paga, con soldi garantiti dallo Stato, dei debiti non garantiti? Devono fallire le nazioni e non le banche? La spesa pubblica resta la colonna portante dei Paesi atlantici e quindi alcune posizioni alla moda vanno seriamente riconsiderate. L'Italia può essere un perno aggregante. L'Italia nonostante la sua mobilità politica può trasformare un fattore di sofferenza in un fattore di forza. L'Italia deve fare da catalizzatore come ha già fatto nella storia di questa Repubblica. Si richiede un cambio di mentalità del Paese, delle aziende. Bisogna inoltre evitare il continuo ricorrere ai "paletti" o dire di sì ad una Merkel che è anche lei in cerca di una strategia di più vasto respiro. Domanda da parte del Dott. Michele Crudele. Hai accennato al high frequency trading. Si fanno chip per accelerare ancora di più i tempi di risposta (sotto il micro secondo), ma queste operazioni non generano valore sotto il criterio realista dell'economia. Perché sono allora difese dai Paesi? Risposta. Obama è stato il primo presidente democristiano degli Stati Uniti. Infatti, cerca il punto di equilibrio. Era partito bene ed infatti seguendo il criterio: Dimmi chi ti finanzia e ti dirò chi sei", ci vedeva che c'erano micro finanziamenti e grandi finanziatori. Giunto alla Casa Bianca, ha nominato Segretario al Tesoro un uomo di Goldmann Sachs. Questo tipo di scelta ne condiziona ovviamente altre. È stato poi il più finanziato dalle banche di tutti tempi. Obama, malgrado gli attacchi alle banche, nella sostanza non ha nemmeno fatto applicare Basilea 3 a tutte le banche. Forse è tale la paura del declino americano che tutti i mezzi sono buoni?! C'è un dibattito sulla rilevanza del dollaro e se viene messa in dubbio la sua supremazia come valuta (il c.d. signoraggio) allora le implicazioni sono di una possibile crisi economica, e sono quindi assai gravi. Gravi possono essere le conseguenze: quando il denaro è tanto, gli squilibri forti, le ambizioni globali e la potenza nazionale grande, allora può scoppiare una guerra. Siamo quindi in una situazione ove è necessario trovare un'altra configurazione, un nuovo ordine mondiale, senza passare per una guerra. Sarebbe questa una novità eccezionale guardando alla storia. Commento del dottor Giovanni Bisogni. 14

16 Desidero ringraziarla Dott. Politi per la sua accurata esposizione degli scenari. Vorrei fare una considerazione prima a me stesso che agli altri. Ci fu un periodo nel quale i maggiori Paesi si sono trovati in sintonia nel sostenere in maniera implicita il predominio dell'economia statunitense. Forse sulla base della riconoscenza del piano Marshall e dello squilibrio militare. Negli anni 60 forse solo la Francia di De Gaulle ebbe un atto di autonomia economica. Ma la storia non è fatta solo di previsioni economiche. Questo peso che si dà all'economia nel disegnare scenari internazionali fa dimenticare che i popoli vivono anche di emotività e di passioni. Non dimentichiamo che la Repubblica di Weimar fu la apripista del nazionalsocialismo. Nei primi anni fu in qualche modo percepita come la soluzione dei problemi della Germania sottomessa e vi fu un processo di identificazione del destino delle persone e delle nazioni. In un contesto di instabilità con debolezze e intensiva povertà emergente, si generano parallelismi con quella situazione. In questi nuovi scenari, qualcuno che aleggi la vecchia congiura, potrebbe far emergere un uomo nuovo, ed è questo uno scenario possibile. 15

17 Relazione del dott. Riccardo Benincampi, Ufficio Analisi Economiche ABI Ringrazio l ing.wright ed il Presidente Bisogni per avermi invitato a questo importante evento. L'anno scorso ho chiuso il mio intervento con una profonda preoccupazione per l'evolversi della situazione economica italiana ed avevo ragione. Vorrei però aprire oggi con un barlume di positività. Quasi tutti gli studi economici di previsione parlano di una ripresa anche per l'italia e dall'anno prossimo si dovrebbe uscire da questa profonda recessione. La ripresa dovrebbe iniziare dalle esportazioni in un contesto di economia globale che dovrebbe migliorare. I tre obiettivi più impellenti sono: -mettere in sicurezza la ripresa economica; -ridurre la frammentazione nell'area dell'euro; -proseguire nelle riforme istituzionali e strutturali. Questo lo sforzo che sta facendo Mario Draghi. Bisogna ridare il suo ruolo di centralità all'europa che l'ha perso nel contesto internazionale. Quali elementi possono identificare l'attuale scenario che stiamo vivendo? La crescita mondiale resta moderata ed è molto eterogenea. L'OCSE prevede una crescita delle economie internazionali del 2,7% nel 2013, del 3,6% nel 2014 e del 3,9% nel L'Europa sta vivendo una crescita frammentata e fragile. Non si è liberata da una serie di problematiche interne. In Italia ci sono alcuni timidi segnali di ripresa. L'indice anticipatore OCSE sulla crescita economica ad agosto dava un 100,7% di crescita rispetto a un 98,7% dell'agosto precedente. Sembrerebbe che sia un elemento positivo. Una maggiore credibilità dell Italia si vede dal fatto che dall estero hanno ripreso ad acquistare titoli italiani. Per esempio, il Giappone ha acquistato 35 mld. di yen in titoli italiani. Il livello più elevato dal La situazione delle famiglie resta solida. Il credito continua a flettere per due ordini di motivi: sia per la domanda che non cresce, sia per un aumento sostenuto delle sofferenze. Tutto ciò va ad incidere sulla redditività delle banche. La situazione patrimoniale di queste ultime continua a rafforzarsi e gli esercizi condotti dalla Banca Centrale Europea e dalla Banca d Italia appaiono confermare che il sistema finanziario italiano non presenta necessità di ricapitalizzazione, anche in condizioni di stress. L OCSE è uscito con il rapporto sull Italia e, se da un lato ha mostrato che l Italia ha raggiunto un aggiustamento fiscale, dall altro raccomanda che non si molli la presa. Specialmente nel momento nel quale (2015) la ripresa dovrebbe favorire misure di rilancio. L OCSE insiste sul contenimento della spesa, e sulla necessità di tagliare il cuneo fiscale che resta un fattore importantissimo per la crescita. Le due parole chiave quest anno, più dell anno scorso, sono rigore e crescita. Nel terzo trimestre il PIL ha confermato un andamento negativo anche se meno negativo rispetto al passato. Sembrerebbe che comunque ci stiamo avvicinando ad un lieve recupero della situazione economica. Rimane però pesante il problema della occupazione. Questa prima fase ciclica non dovrebbe avere impatti positivi sull occupazione. 16

18 Dalla tabella si vede che in generale si hanno previsioni positive per il TABELLA N.1 PREVISIONI PER IL 2014 Anche sul fronte dello spread l Italia sembra aver raggiunto una maggiore stabilità. Le banche. L Italia ed il sistema bancario italiano hanno sofferto meno di altri, essendo stato impattato meno dalla crisi. Il modello italiano ha retto, ma presenta bassi livelli di redditività. Bisogna intervenire sugli aspetti interni. Il sistema dovrebbe avere una redditività positiva. 17

19 TABELLA N.2 LA REDDITIVITÀ DELLE BANCHE Cosa si deve fare? Cosa stanno facendo le banche? Le banche stanno operando sul contenimento di costi. C è però ancora un gap fra l Italia e l estero (+22% per i costi operativi e +39% per il personale). Pertanto, si sta riducendo il numero degli sportelli e dei dipendenti. Quali azioni operare? Deve innanzitutto migliorare la performance economica. Occorre spingersi ulteriormente nella ottimizzazione della qualità del servizio, e dei modelli di business. Non bisognerebbe tutti fare le stesse cose. Bisogna che si tenda ad una maggiore specializzazione e maggiore enfatizzazione fra investimenti e ricavi nei singoli segmenti. Va migliorata la multicanalità. Le banche hanno creato nuovi canali e la clientela li ha aggiunti, non abbandonando cioè i vecchi canali. Inoltre bisogna innovare il modo di fare banca. Si deve infatti fare attenzione al complesso dei rischi (operativi, strategici, reputazionali, ecc.), innovando i modelli di gestione dei rischi e i processi di controllo interno. Si devono innovare i rapporti delle banche con gli stakeholders, e in particolare con la clientela e con i fornitori di capitale. Bisogna innovare i processi dei prodotti delle aree di business, tenendo in conto tutti i fornitori, inclusi quelli di prodotti di sicurezza. 18

20 Nel settore della Sicurezza (cfr. tav.3) dobbiamo segnalare che viene considerata in modo integrato. Ciò ai fini di sfruttare le sinergie fra processi correlati e gli investimenti. TAVOLA 3 Una indagine ABI sui costi ha messo in evidenza come nelle applicazioni informatiche il ricorso all outsourcing è ancora parziale. La spesa per la sicurezza nel 2012 è stata intorno ai 712 mil. di euro. Frodi informatiche. Le banche sempre più si dotano di strumenti di monitoraggio di transazioni anomale, con presidio continuo della rete. Diverse sono le azioni preventive: l ABI ha diffuso diverse pubblicazioni per sensibilizzare la clientela alla sicurezza. La collaborazione con le Autorità di Pubblica Sicurezza è stata rafforzata. Andamento del credito. 19

21 Gli ultimi dati mettono in evidenza una ulteriore concentrazione del credito, dall altro una sostanziale tenuta della raccolta. Questa soprattutto sotto forma di depositi. Sono però in contrazione le obbligazioni. Non siamo comunque in situazione di credit crunch, essendo il credito solo diminuito. Finanziamenti. Non c è una forte contrazione della domanda da parte delle imprese. Continua ad esserci una forte domanda delle imprese per la ristrutturazione del debito. I recenti dati del CERVED mostrano come il numero dei fallimenti sia notevolmente aumentato. Dall altra parte, c è un drastico aumento delle sofferenze che hanno superato i 140 miliardi, che in rapporto al PIL è pari al 7,5%, e raggiunge oltre il 13% per i piccoli operatori economici. In questo contesto diventa più impellente la relazione fra credito e crescita. L Italia deve rientrare in fase di crescita, con miglioramenti sul fronte del debito e delle sofferenze. Molto è stato fatto dalle banche ed il credito non è mai mancato. 20

22 Domande dalla sala al dott. Riccardo Benincampi. Roberto Setola. Non sono esperto di banche, e faccio una domanda da cliente. In questo momento nelle banche vi è scarsa propensione al rischio: cercano forti garanzie. Sono stati fatti tanti errori; uno per tutti: la inconvertibilità del dollaro in oro. Il pubblico ha fiducia nelle banche. Le banche hanno fiducia nel pubblico? Risposta. In altri Paesi non c è la percezione che l altro mi stia fregando ; in Italia si. Forse bisognerebbe riuscire a cambiare qualcosa. Alessandro Politi. Ho due domande. Ci sarebbe una ripresa se i pagamenti fra imprese e fra professionisti fossero puntuali? Ci sono dei segnali di ripresa. Secondo lei questa crisi globale potrebbe immaginarsi chiusa nel 2018? Risposta. Sono due domande difficili. Per quanto riguarda la puntualità dei pagamenti, noi abbiamo fatto. Si dovrebbe invece intervenire sullo Stato. Si è accennato al 2018: non saprei. Vorrei fare a questo proposito una considerazione. L uomo ha la memoria corta, e non impara dalle lezioni del passato. Come la situazione migliora, ecco allora che ci si dimentica della lezione appena ricevuta e, ad esempio, tutti si scordano della qualità degli investimenti. Vedo il ruolo dell Europa in difficoltà. Sta soffrendo. C è il problema che l Europa non è più vista come un attrazione. Bisognerebbe incentivare l aggregazione, divenire un polo unico e tornare al centro del mondo. Giovanni Bisogni. In Università abbiamo fatto una ricerca. Le banche, come noto, sono società di capitali e tratta una merce che si chiama denaro. Devono quindi far sì che il differenziale fra impieghi e raccolta remuneri il capitale, detratti i costi operativi. L opinione pubblica vede la banca come un benefattore, o come un volano dell economia, oppure come un malfattore che fa fallire le aziende. Lo Stato, in situazioni di crisi, dovrebbe fare in modo che l asimmetria informativa (ossia fornire informazioni false a chi ti deve dare i soldi) venga 21

23 ridotta il più possibile. In tutto ciò hanno un peso non trascurabile la CONSOB e le Società di Certificazione di bilancio. Queste ultime, infatti, fanno da notai, non avendo più quella capacità di un tempo di assumersi i rischi. Ad esempio, fanno firmare delle dichiarazioni agli amministratori che tutto è a posto: hanno perso la capacità di fiutare eventuali problemi. La conseguenza è che l azienda porta il bilancio certificato in banca ed ottiene il fido. In questo modo crescono le sofferenze. Perché la CONSOB ha permesso che le società di certificazione arretrino rispetto alla loro responsabilità? Un altro punto. Che fine hanno fatto i Consorzi di Garanzia? Le banche hanno preso i soldi ed hanno sottoscritto titoli di Stato. Perché i soldi non sono stati dati ai Consorzi di Garanzia che avrebbero aiutato le imprese? Si dice che le banche italiane non sono state fortemente colpite come le altre a causa della loro arretratezza. Di certo le banche devono investire sulla multicanalità e sulla sicurezza. E possibile che aumentino i costi del trasporto valori? In una società paperless? Vedo in questa ricerca di riduzione dei costi operativi un ruolo per il nostro centro di ricerca ANSSAIF. Risposta. Concordo con quanto dice il dott. Bisogni. La parola chiave è ottimizzazione. Bisogna trovare delle soluzioni che riescano ad ottimizzare gli investimenti con i ricavi. Per quanto riguarda le società di certificazione, bisogna domandarsi dove erano gli organi di controllo. Intervento del dott. Fabio Merello. Ci si deve ricordare che le società di certificazione sono pagate dall imprenditore, e non hanno carattere investigativo. Mi domando: perché non si manda in galera chi imbroglia? 22

24 Leonardo Procopio, Consigliere ANSSAIF, Risultati dell indagine ANSSAIF Preventive intelligence e data loss prevention. 23

25 24

26 25

27 26

28 27

29 28

30 29

31 30

32 Relazione del Magnifico Rettore della UNINT, avv. Vincenzo Zeno Zencovich. LA SOVRANITA DIGITALE Il discorso sulla sovranità digitale parte da alcune premesse, che vengono qui postulate (e dunque non spiegate: lo hanno fatto ampiamente ed esaustivamente altri con ben maggiore competenza). È evidente che se queste premesse cambiano come è perfettamente legittimo e argomentabile il discorso che segue si sviluppa diversamente. Prima premessa: La sovranità è nozione pregiuridica e dunque eminentemente fattuale. È naturale che i giuristi si sforzino di formalizzarla, il che è per certi versi indispensabile, purché si riconosca che sono i fatti che governano il diritto, non viceversa. Altrimenti si cade nella sterile giurisprudenza dei concetti che pensa di governare il mondo con le parole. Seconda premessa: La nozione di sovranità è inscindibile da quella di Stato. La sovranità è un attributo dello Stato. Indaghiamo sulla sovranità per comprendere se abbiamo di fronte uno Stato e come lo Stato esercita questa sovranità. Se non siamo di fronte ad uno Stato, l esercizio del potere meriterà sicuramente di essere studiato ed investigato, ma non parleremo di sovranità. Terza premessa: La sovranità non è un concetto unitario ed unico. È un insieme di diversi poteri, talvolta presenti, talvolta assenti. Vi sono dunque gradazioni differenziate di sovranità. Ci interessa comprendere la soglia al di sotto della quale non possiamo parlare di sovranità, e dunque di Stato. Proprio perché la sovranità è un fascio di poteri, questi possono essere delegati, ridotti, rinunciati senza che ciò, di per sé, comporti il venir meno della sovranità. Quarta premessa: Un potere sovrano esiste se esso è effettivo, ovverosia se esso è in grado di imporre, volenter aut nolenter, la sua decisione, fino all uso della forza. Il più delle volte ciò non è necessario, ma quel che conta è che il destinatario sia consapevole che la inottemperanza può comportare tale evenienza. Una sovranità nominale è una contraddizione insanabile. Quinta premessa: Se la sovranità è un fascio di poteri, non per questo tali poteri devono ritenersi assoluti. Essi possono variare per intensità ed effettività, in relazione al luogo, alla natura dei soggetti che ne sono destinatari, alle circostanze e, soprattutto, dall esistenza di altri soggetti dotati di poteri sovrani. Sulla base di queste premesse opinabili come qualunque altra si possono svolgere alcune considerazioni sulla questione della c.d. sovranità digitale. 1. La circostanza che la rete sia planetaria ed ubiqua appare circostanza che certamente non impedisce l esercizio della sovranità su di essa. Anche il mare è planetario e ubiquo, tranne che per i paesi che non vi hanno accesso, ma non per questo non vi è sovranità sulle proprie acque costiere, quale che sia la definizione che se ne fornisca. 31

33 2. Neanche appare di ostacolo all esercizio della sovranità la circostanza che la rete sia organizzata secondo una struttura decentrata e non gerarchica, giacché non si tratta di un fenomeno esclusivo della rete e, de facto (cioè il profilo che interessa i poteri connessi alla sovranità), non ne pregiudica l esercizio. 3. Sicuramente ciascuno Stato esercita poteri sovrani sulle porzioni di rete (fisse o mobili) che insistono sul proprio territorio, sia verso l esterno, impedendo con maggiore o minore incisività l accesso ad altre reti, sia verso l interno controllando l operato di imprese e singoli che la utilizzano. Se poi sceglie di lasciare liberamente connessa la propria rete con quella di altri paesi o del resto del mondo ciò costituisce manifestazione dell esercizio della sovranità. Appaiono pertanto frutto più di un wishful thinking che di una presa d atto della realtà le affermazioni secondo cui la rete non sarebbe soggetta all esercizio di poteri sovrani, ma che questo spazio virtuale a-statale sarebbe governato da regole proprie, prevalentemente tecniche, sottratte al controllo degli Stati. Ma se la tesi anarchica (nel senso teorico-etimologico del termine) e libertaria del governo della rete appare scarsamente attendibile, non per questo il tema della sovranità digitale non solleva questioni, nuove ed anche assai complesse. i. Se la rete è planetaria ed ubiqua non è facile stabilire quelli che sono i confini territoriali dell esercizio della sovranità statuale. In termini concreti e meno metaforici occorre chiedersi se e in che modo alcune attività tipiche della sovranità (l esempio potrebbe essere quello delle indagini di polizia e giudiziarie sulla rete) possano invadere e ledere la sovranità altrui. Se non concertate e coordinate, tali condotte danno luogo ad un conflitto che mette in dubbio la nozione stessa di sovranità. Solo il diritto internazionale è in grado di evitare tali conflitti, ma ciò conferma che il governo della rete rientra fra i poteri sovrani degli Stati. ii. Lo Stato esercita la propria sovranità non solo sul proprio territorio, sulle persone che vi appartengono, sulle cose che vi si trovano ma anche su quella gigantesca universalità che è il proprio patrimonio informativo: miliardi di dati di ogni genere che sono indispensabili per il funzionamento delle sue molteplici attività. Ora, fintanto che tali dati si trovano digitalmente conservati sul territorio nazionale l esercizio della sovranità è ben possibile, fatto salvo quanto si è detto al punto che precede. Ma quando essi, in maniera crescente, si trovano altrove ed è quanto avviene con il c.d. cloud computing tale sovranità è messa in dubbio. Non si tratta di una mera ipotesi, ma di quanto espressamente prevede il Patriot Act statunitense che autorizza le proprie istituzioni di sicurezza nazionale a richiedere qualsiasi dato informativo alle imprese che negli Stati Uniti siano stabiliti, o che da una impresa statunitense siano controllate. In questo caso il patrimonio informativo di uno Stato è sottoposto ai poteri sovrani di un altro. iii. La ubiquità della rete rende giustiziabili da parte dell ordinamento di uno Stato (espressione dunque del suo potere sovrano) le attività di soggetti che non hanno un legame tradizionale con tale Stato (cittadinanza, residenza). Beninteso il principio di effettività che si è indicato come essenziale perché si possa parlare di sovranità escluderà ipotesi estreme. Ma in molti casi la possibilità di incidere, anche significativamente, sulla sfera di soggetti che normalmente sarebbero del tutto estranei, è elevata, e ciò grazie al collegamento costituito dalla rete. 32

34 Alcune prospettive vanno considerate: A) Seppure la rete non è a-territoriale essa soffre la ristrettezza spaziale degli Stati, in particolare di gran parte di quelli europei. Ciò è dovuto alle economie di scala che presiedono alla creazione delle reti fisiche, spingendo verso articolazioni in grado di servire più paesi; alle tecnologie di trasmissione, sia mobile che satellitare, non contenibili all interno di confini politici; alle scelte degli utenti in grado utilizzare strumenti di collegamento che sfuggono al controllo dello Stato; alle politiche commerciali delle imprese inevitabilmente spinte alla uniformazione. B) Una risposta quasi obbligata a livello europeo è quella della creazione di spazi digitali comuni, assai simili, concettualmente, a quel mercato comune dal quale principiò l Unione Europea. Concretamente si tratterebbe del completamento di un processo avviato circa 25 anni fa con la disciplina comune sia tecnologica che giuridica delle telecomunicazioni e che è alla base dell attuale avanzato sviluppo delle reti. L esempio più evidente è quello delle reti di telefonia mobile che a partire da uno standard comune - il GSM de facto disegnano una rete pan-europea. C) Più complessa è la realizzazione di quel che comunemente viene definito cloud europeo, ovverosia la messa a disposizione di enormi capacità computazionali, fisicamente dislocate sul territorio europeo e governate da principi uniformi basati sul mutuo riconoscimento. In altri termini tali apparecchiature (rectius, i dati da esse conservati/gestiti) potrebbero essere accedute dai pubblici poteri di uno Stato membro secondo procedure formalizzate e tipizzate, prescindendo sia dal diritto loci rei sitae sia dalla nazionalità del soggetto cui i dati fanno capo. O, come articolazione che viene da taluni affacciata, la creazione di spazi di sovranità digitale extra-territoriale (come nel caso delle rappresentanze diplomatiche) non soggette alla interferenza di altri soggetti sovrani. E chiaro che in questi casi vi deve essere una condivisa articolazione della sovranità che comprende due livelli, nazionale e sovranazionale. D) La naturale conseguenza dell esercizio di poteri sovrani ad un livello regionale è quello di un ius excludendi alios dallo spazio digitale che si è creato impedendo ai medesimi di esercitare i propri poteri su di esso, quanto meno nella forma dell accesso, del controllo e della apprensione, se non nelle forme e sotto le condizioni che vengono imposte agli estranei all accordo regionale. Lo spazio digitale è dunque governabile, pur con tutti i limiti che la sovranità contemporanea incontra, ed in questo esercizio di sovranità giocano, come sempre, un ruolo preminente le relazioni e il diritto internazionali. 33

35 Relazione del dott. Luigi Di Marco, presidente di Federmanagement. Si è parlato oggi di interconnessioni e grandi sistemi. Dietro a questi sistemi ci sono le persone che hanno possesso di molte di quelle nozioni. Come si comportano questi uomini? Savonarola, sul tema del buon governo della città di Firenze, dice che l uomo si contamina. L ideale è un uomo che non tragga vantaggio da ciò che fa. Il re è l ideale è al servizio di tutti! Però poi, dopo un certo tempo, si involve e vuole che gli altri lo servano. Si sente un dio e alla fine diventa un despota. Quale strada allora? Savonarola suggerisce di scegliere il migliore in un gruppo di migliori. Oligarchi economici e etici. Ma fra tutti questi uno prevarrà e alla fine si stuferà di ascoltare gli altri. Diventerà un despota. Allora, che si può fare? Che tipo di governo scegliere? Tenteremo la via della democrazia. Eleggeremo rappresentanti del popolo. Ma anche essi dopo un po diventeranno corruttibili e vorranno mantenere il potere con la frode. Uno tra loro si farà despota. Allora che fare? Il Savonarola conclude: Ogni Stato ha il governo che si merita di volta in volta Questo passaggio mette la persona al centro di tutti i sistemi con i pro e i contro. E Veniamo alle regole. Dal 1150 a Firenze esisteva una norma che proibiva a colui che fosse in possesso di procedure o disciplinari protetti da segreto e da marchio la diffusione ad altri potenziali concorrenti. Un componente di una famiglia nel 1450 andò a spiegare nelle Fiandre come si faceva a cardare la lana con il sistema fiorentino. Questo fatto fu così grave che il capo famiglia fu condannato a morte. La famiglia però si arricchì, in quanto poté commerciare il prodotto a prezzo più basso. Dette luogo alla prima Globalizzazione. Si produce altrove e si vende ovunque. Anche oggi accade. Che voglio dire? Fra tutti i sistemi di regole che ho ascoltato oggi, c è un sistema umano che è fallace, è contaminabile e che va protetto innanzitutto da se stesso perché a volte agisce involontariamente. Ad esempio, basta raccontare qualcosa in aereo o in treno e lo si diffonde a tanti magari concorrenti. Ho identificato dieci raggruppamenti di norme relativa a: Tutela giuridica delle banche dati. Obbligo di fedeltà dei dipendenti. Segreto professionale ed industriale. Privacy industriale. 34

36 Protezione dei sistemi informatici e telematici. Privacy delle persone fisiche e giuridiche. Diritto alla riservatezza. Diritto all identità personale. Divieti. Formazione e informazione. Questo sintetico decalogo coinvolge tutti i protagonisti fisici e giuridici dando luogo ad una selva di intrecci e ingarbugli normativi che spesso si risolvono...e altrettanto spesso spingono alla sine cura. Tanti divieti. Come ci si protegge? Propongo di operare sull alleanza: Alleanza impresa -dipendente. Coinvolgendo le persone in una alleanza ineluttabile Alleanza impresa-fornitore. Fra l azienda madre e quelle appartenenti alla filiera produttiva. Alleanza necessaria Alleanza impresa-professionisti. A questa bisogna fare attenzione, in quanto i consulenti non sono legati all impresa come i dipendenti. Con loro si può realizzare un Alleanza situazionale connessa ad una sporadica attività. Infine occorre tener conto dell alleanza naturale. La quarta che io propongo alla comune riflessione. I dipendenti devono star bene sia emotivamente che fisicamente. Una volta al Monte dei Paschi c era un rapporto bellissimo fra il personale e la banca. C era orgoglio e ambiente gradevole. Analoga situazione nel caso dell IBM, e così in tante aziende. C era l orgoglio della appartenenza. Cosa si può fare adesso? Dobbiamo lavorare sulla convivenza intelligente. L'Italia ha un livello culturale elevato. Possiamo generare alleanze culturali per il miglioramento collettivo e probabilmente anche il patrimonio aziendale, sentito come un bene comune, ne trarrà tutela. Commento dott. Giovanni Bisogni alla relazione del dott. Luigi Di Marco. Di Marco ci ha portato a pensare al fattore umano ed al fattore di identificazione del dipendente con l azienda. A volte ce ne dimentichiamo. Un altra considerazione. C è un fenomeno tutto italiano, pensando alla diffusione di notizie. 35

37 Vengono a volte chiamati dei consulenti esterni per dare un parere sulla strategia di una azienda. La società di consulenza acquisisce informazioni su come funziona una grande azienda e successivamente darà queste informazioni ad altre imprese. Riflettiamoci. 36

38 Relazione dott. Massimiliano Rijllo, Trend Micro. Quello che osserviamo è che spesso i clienti hanno una forte percezione di sicurezza. Ciò viene confermato anche dall indagine ANSSAIF. Tuttavia, la realtà che noi osserviamo è assai diversa, specialmente se guardiamo alla situazione italiana. Ad un forte cambiamento di scenario tecnologico non ha fatto seguito un adeguato miglioramento nelle protezioni con la stessa velocità. Manca quella vis di tecnologie e competenze a cui si è accennato in precedenza. Il 90% delle grandi aziende che conosco non hanno adottato quelle soluzioni atte a contrastare gli attacchi informatici più evoluti, i cosiddetti Attacchi Mirati o Advanced Persistent Threats. Le difese tradizionali si basano sul fatto che l attacco è stato già visto da qualche altra parte. Un esempio classico è il virus. Colpisce da una parte del mondo e subito dopo le protezioni vengono inviate a tutti. L attacco mirato è diverso. Il malware colpisce solo quella determinata organizzazione, non le altre. Quindi l azienda destinataria sarà colpita e non disporrà di una protezione adeguata se non ha adottato tecnologie specifiche per la protezione da tali nuove minacce. Se guardiamo al rapporto Mandiant, viene illustrato come 141 organizzazioni abbiano subito furti per terabyte di dati a partire dal Viene anche stabilita una connessione diretta fra questi attacchi ed un unità militare del governo cinese. 37

39 38

40 39

41 40

42 41

43 42

44 43

45 44

46 45

47 46

48 Conclusioni I nuovi attacchi sono mirati ed esigono un nuovo e diverso approccio nonché l adozione di tecnologie di sicurezza appositamente concepite per tale scenario. 47