L’ultima puntata di «Wall & Street Live» ha affrontato il caso Equalize, il dossieraggio illegale di 800mila nominativi noti e meno noti da parte di un’agenzia investigativa che ha violato sistemi informatici pubblici e privati. Abbiamo analizzato le implicazioni della vicenda con il contributo di Alessandro Curioni, presidente e fondatore di Di.Gi. Academy.

Come può difendersi un cittadino dalle violazioni digitali della privacy?

«Noi come cittadini possiamo fare del nostro meglio per utilizzare in modo sicuro i dispositivi che abbiamo in dotazione, che ormai sono tantissimi. Non c’è più soltanto lo smartphone, il portatile, il tablet, abbiamo anche i televisori, gli elettrodomestici e tanti altri device connessi a Internet in casa. Quello che in generale si dovrebbe fare è che l’opinione pubblica dovrebbe iniziare a chiedere come requisito di qualsiasi cosa che acquista o di qualsiasi servizio che viene erogato, anche dallo Stato, che la sicurezza sia parte integrante».

Cosa ha contraddistinto il caso Equalize?

«Siamo di fronte allo scenario peggiore possibile, cioè il cosiddetto insider, la talpa all’interno dei sistemi, che di volta in volta poteva essere un ufficiale delle forze dell’ordine, un dipendente o qualcun altro finché non si è arrivati al punto che questo sistema si è industrializzato quando sono riusciti a infiltrare all’interno delle aziende che si occupavano della manutenzione di questi sistemi dei tecnici, quindi degli amministratori di sistema, che quindi hanno permesso a questa agenzia di installare un malware che ha creato una backdoor, cioè una porta sul retro, un canale di comunicazione nascosto, che gli consentiva di esfiltrare in modo massivo i dati presenti».

Come si può migliorare la sicurezza dei sistemi di accesso ai dati governativi? In questo caso è stato violato lo SDI, che è il sistema Interforze del Ministero degli Interni che riguarda le segnalazioni di reati e i reati commessi, però se questa è la prassi, potrebbe essere facile anche arrivare al sistema di interscambio dati dell’Agenzia delle Entrate.

«Qui il punto non è che questi sistemi non abbiano determinate misure di sicurezza, il punto è che nel momento in cui si verificano delle anomalie perché se qualcuno accede a 15.000 fascicoli nel giro di un mese può risultare anomalo, qualcuno deve controllare. Se però nessuno verifica, è evidente che è un gioco facile per chi vuole violare il sistema. Serve allora la deterrenza. Devo avere il dubbio che se faccio qualcosa fuori dagli schemi, qualcosa che non è normale, probabilmente mi vedono, se ne accorgono. E allora questo funziona da deterrente. Per rilevare le anomalie ci sono le tecnologie che fanno il loro lavoro, ma occorre che qualcuno guardi queste anomalie, che le riconosca e che dia seguito con una serie di attività che devono portare all’individuazione non soltanto della persona, ma alla comprensione del caso, ossia se si tratti di una violazione o di un’attività ordinaria. Capisco che poi ci possano essere tutta una serie di implicazioni in materia di privacy, però se riconosciamo che esistono delle banche dati che sono ad altissimo rischio perché contengono dei dati particolarmente sensibili, allora vorrà dire che per lavorare in quel settore ci si deve aspettare una compressione, in qualche modo, dei propri diritti».

E in termini di governance nel settore privato cosa deve cambiare?

«L’Autorità garante per la protezione dei dati un bel po’ di anni fa emanò un apposito provvedimento per imporre alle banche di evitare esattamente il caso accaduto di recente con un dipendente di una banca che ha spiato i rapporti della clientela. Il nostro garante riteneva che si dovesse inibire e controllare, la possibilità per dipendenti di una banca di accedere ai dati, alle informazioni di tutti i clienti della banca e quindi non soltanto di quelli che seguiva lui personalmente. E ancora prima la nostra Autorità garante, nel 2008-2009, varò un provvedimento proprio per la verifica delle attività degli amministratori di sistema. Queste norme sono rimaste sempre sullo sfondo, sono state più o meno adottate da tutte le organizzazioni, ma è evidente che la stessa Autorità garante nei suoi provvedimenti si è scontrata proprio con il tema del diritto del lavoratore, i dati che lo riguardano sul lavoro sono di proprietà del lavoratore, cioè sono elementi fondanti della sua attività lavorativa e quello che fa durante l’attività lavorativa, non può neanche essere monitorato dal punto di vista dello Statuto dei lavoratori, perché non può essere monitorato in assoluto, ma perché sottostante c’è il rischio della valutazione della performance del lavoratore e quindi su questo tema siamo sempre rimasti un po’ in mezzo al guado. Cercare di trovare un equilibrio non è facilissimo, però queste tecnologie sono così pervasive e se la pretesa è tutelare a un livello piuttosto alto la privacy, allora la coperta diventa inevitabilmente troppo corta».

Gian Maria De Francesco