#cybersicurezza

L’allarme sulla sovranità digitale

Secondo Rula Jebreal, l’Italia avrebbe ceduto una parte della propria sovranità affidando componenti della sicurezza informatica a un altro Stato. La giornalista ha collegato questa presunta dipendenza al rischio che tecnologie, servizi o apparati forniti da aziende straniere possano diventare strumenti di pressione politica.

Il tema della sovranità digitale è concreto. Un Paese può diventare vulnerabile quando non controlla direttamente:

• i propri dati strategici;

• i sistemi operativi delle infrastrutture critiche;

• gli aggiornamenti software;

• le chiavi di accesso e di cifratura;

• la catena di fornitura hardware;

• i servizi cloud e di assistenza;

• i sistemi di monitoraggio e risposta agli incidenti.

Questo problema, tuttavia, non riguarda soltanto Israele. È comune a tutti i Paesi che utilizzano tecnologie sviluppate da fornitori esteri, compresi Stati Uniti, Cina, Paesi europei e altri partner internazionali.

L’accusa sui dispositivi con chip-spia

Nel suo intervento, Jebreal richiama una presunta dichiarazione dell’ex direttore del Mossad Yossi Cohen, secondo cui ogni apparecchio venduto da Israele ai propri clienti conterrebbe un chip capace di spiare gli utilizzatori.

Questa affermazione non è stata verificata sulla base di una fonte primaria attendibile. Non risultano, nelle fonti pubbliche consultate, una registrazione completa, una trascrizione ufficiale o una documentazione tecnica che dimostri l’esistenza di una pratica generalizzata di questo tipo.

È importante distinguere tra tre elementi molto diversi:

1. l’esistenza di aziende israeliane attive nel settore della cybersecurity;

2. la possibilità teorica di inserire vulnerabilità o funzioni nascoste in un dispositivo;

3. l’accusa secondo cui ogni apparecchio israeliano venduto conterrebbe effettivamente un chip-spia.

Il primo punto è documentato. Il secondo rappresenta un rischio di sicurezza della supply chain che riguarda qualsiasi produttore. Il terzo, invece, richiederebbe prove specifiche e non può essere presentato come un fatto accertato.

Il rischio reale della supply chain

Un dispositivo può diventare vulnerabile non soltanto attraverso un chip nascosto. I rischi più frequenti riguardano:

• firmware non verificabile;

• aggiornamenti gestiti esclusivamente dal fornitore;

• accessi amministrativi remoti;

• componenti prodotti da subfornitori non dichiarati;

• vulnerabilità non corrette;

• telemetria non adeguatamente documentata;

• sistemi di autenticazione controllati da soggetti esterni;

• dipendenza da servizi cloud situati in altri Paesi.

Per questo, la sicurezza di un prodotto non può essere valutata soltanto sulla base del Paese d’origine. Servono audit indipendenti, certificazioni, codice o firmware verificabile quando possibile, contratti trasparenti e procedure per il controllo degli aggiornamenti.

I rapporti tra Italia e Israele

Le fonti pubbliche mostrano l’esistenza di rapporti di cooperazione tra Italia e Israele in materia di sicurezza e altri ambiti istituzionali. Un accordo bilaterale pubblicato dal Governo italiano riguarda materie di pubblica sicurezza, ma la sua esistenza non dimostra che l’Italia abbia affidato a Israele la gestione della propria cybersicurezza nazionale.

La cybersicurezza italiana è inserita in un’architettura nazionale che comprende l’Agenzia per la cybersicurezza nazionale, il CSIRT Italia, le autorità competenti per la normativa NIS e gli organismi responsabili della sicurezza nazionale. L’ACN è indicata come autorità competente e punto di contatto unico per la normativa NIS in Italia.

Anche le regole italiane sugli acquisti tecnologici per le amministrazioni e i settori strategici prevedono criteri di sicurezza e valutazione dei fornitori. La protezione delle reti 4G e 5G, ad esempio, è stata inclusa tra gli ambiti nei quali devono essere considerati gli elementi essenziali di cybersicurezza.

Questi elementi descrivono un sistema di controllo e regolazione, non una cessione automatica della sovranità digitale a un governo straniero.

Il possibile rischio di ricatti

Jebreal ipotizza che l’accesso a informazioni riservate possa essere utilizzato per esercitare pressioni sul governo italiano o raccogliere materiale compromettente su ministri e funzionari.

In linea generale, una compromissione informatica può produrre conseguenze politiche molto gravi. Un attore ostile che riuscisse ad accedere a email, messaggi, sistemi di comunicazione o documenti riservati potrebbe tentare di:

• sottrarre informazioni;

• ricattare singoli funzionari;

• manipolare decisioni;

• diffondere documenti autentici fuori contesto;

• alterare comunicati e dati;

• influenzare l’opinione pubblica;

• compromettere infrastrutture strategiche.

Ma l’esistenza di questo rischio teorico non dimostra che Israele abbia raccolto materiale compromettente sul governo italiano. Non sono state fornite prove pubbliche che colleghino un presunto accesso informatico a un cambiamento delle posizioni di Giorgia Meloni sulla guerra a Gaza, sui rapporti con Israele o sugli interventi militari.

Un’analisi giornalistica corretta deve quindi separare il rischio potenziale dall’accusa concreta.

Il cambiamento della posizione politica

Nel suo intervento, Jebreal interpreta alcune dichiarazioni e scelte del governo italiano come il segnale di un cambiamento di atteggiamento sulla questione palestinese e sui rapporti con Israele e Stati Uniti.

Questa lettura appartiene al campo dell’analisi politica. Per trasformarla in una notizia verificabile servirebbero elementi documentali: date, dichiarazioni ufficiali, provvedimenti, accordi, voti parlamentari e confronti con le posizioni precedenti.

Un cambiamento politico può dipendere da molti fattori, tra cui:

• pressioni diplomatiche;

• rapporti con gli alleati;

• sicurezza nazionale;

• interessi economici ed energetici;

• opinione pubblica;

• decisioni europee;

• valutazioni militari;

• crisi regionali.

Attribuirlo a un presunto ricatto informatico richiede prove dirette. In assenza di tali elementi, è più corretto parlare di sospetto o interpretazione politica.

Come si protegge uno Stato

La questione sollevata da Jebreal può essere trasformata in una domanda concreta: come può l’Italia verificare che i fornitori stranieri non rappresentino un rischio per la sicurezza nazionale?

Le misure più importanti sono:

• valutazione preventiva del rischio fornitore;

• certificazioni di sicurezza indipendenti;

• separazione tra reti critiche e sistemi ordinari;

• controllo degli accessi privilegiati;

• autenticazione multifattore;

• registrazione e analisi dei log;

• verifica degli aggiornamenti firmware;

• test di penetrazione;

• obblighi di notifica degli incidenti;

• piani per sostituire rapidamente un fornitore compromesso;

• obblighi di trasparenza sui subfornitori;

• conservazione dei dati e delle chiavi crittografiche sotto controllo nazionale.

La normativa europea NIS2 e le regole italiane sulla sicurezza delle infrastrutture critiche vanno proprio nella direzione di rafforzare la responsabilità degli operatori e la gestione del rischio tecnologico.

Una dipendenza da ridurre, non un’accusa da amplificare

La sovranità digitale non consiste necessariamente nel produrre ogni componente all’interno dei confini nazionali. Consiste soprattutto nel poter controllare, verificare e sostituire le tecnologie da cui dipendono servizi essenziali.

Questo significa conoscere:

• chi sviluppa il software;

• chi possiede i dati;

• chi gestisce gli aggiornamenti;

• dove vengono conservate le informazioni;

• quali accessi mantiene il fornitore;

• quali autorità possono richiedere dati;

• come si interviene in caso di incidente.

L’Italia può e deve valutare criticamente le dipendenze tecnologiche da qualunque Paese. Ma la valutazione deve basarsi su contratti, audit, analisi tecniche e prove documentali, non soltanto sull’identità politica del fornitore.

La domanda resta aperta

L’allarme di Rula Jebreal riporta al centro un tema importante: la sicurezza informatica è ormai parte integrante della sovranità nazionale. Delegare sistemi sensibili a soggetti stranieri può creare rischi di dipendenza, accessi non controllati e vulnerabilità nella catena di fornitura.

Non risultano però confermate le affermazioni secondo cui ogni dispositivo venduto da Israele conterrebbe un chip-spia o secondo cui il governo italiano sarebbe vittima di un ricatto basato su informazioni raccolte attraverso la cybersicurezza.

Il punto non è stabilire se una tecnologia sia israeliana, americana, cinese o europea. Il punto è verificare se sia controllabile, auditabile, sostituibile e compatibile con gli interessi di sicurezza italiani. Su questo terreno, la trasparenza deve prevalere sia sulla fiducia automatica sia sulle accuse non documentate.