L’etica complessa della cybersecurity

La cybersecurity non è una semplice battaglia tra bene e male. Solo nel 2023, le violazioni di dati hanno compromesso oltre 350 milioni di informazioni a livello globale, secondo l’Identity Theft Resource Center. Questa minaccia costante spinge i professionisti della sicurezza, i governi e le aziende a confrontarsi ogni giorno con complessi dilemmi etici.

La verità è che l’etica della cybersecurity è complessa. Non si tratta solo di fermare i criminali. Significa fare scelte difficili su privacy, sorveglianza, sicurezza nazionale e persino guerra digitale. E se proteggere un paese significasse spiare i suoi cittadini? E se rivelare una falla software aiutasse i malintenzionati prima che possa essere d’aiuto agli utenti? Queste domande sono difficili e non ci sono risposte facili.

Cosa significa cybersecurity

La cybersecurity protegge sistemi digitali, reti e dati dagli attacchi. Immaginate di salvaguardare una città moderna. Ha bisogno di polizia, servizi antincendio e manutenzione delle infrastrutture. Nel mondo digitale, questo significa proteggere tutto, dalle vostre email alle reti elettriche nazionali. Facciamo affidamento su questi sistemi per finanza, sanità, comunicazione e servizi essenziali.

Numerosi attori operano in questo mondo digitale. I governi proteggono gli interessi nazionali, conducono operazioni di intelligence e applicano le leggi. Le aziende custodiscono i dati dei clienti, la proprietà intellettuale e le loro operazioni commerciali. I ricercatori di sicurezza, spesso chiamati “ethical hackers”, individuano le vulnerabilità per migliorare le difese. Infine, gli agenti di minaccia – criminali, gruppi sponsorizzati da stati o hacktivisti – sfruttano queste debolezze a fini malevoli. La tensione costante tra questi gruppi crea le nostre sfide etiche.

Difesa digitale: le zone grigie

Nel 2016, i ricercatori di Project Zero di Google hanno trovato una falla critica in Windows. Hanno rilasciato i dettagli dopo che Microsoft non l’aveva corretta entro la scadenza di 90 giorni fissata da Google. Questo mostra un conflitto etico fondamentale: quando e come rivelare le vulnerabilità digitali.

Questa pratica è la vulnerability disclosure. Si verifica quando un ricercatore di sicurezza trova una falla in un software o hardware. Poi deve decidere cosa fare. La maggior parte delle persone ritiene che debba essere segnalata al fornitore. Questo dà all’azienda il tempo di risolvere il problema prima che diventi pubblico.

Questo approccio è la responsible disclosure. Di solito significa dare al fornitore un tempo prestabilito, spesso 90 giorni, per creare e rilasciare una patch. Project Zero di Google si attiene notoriamente a questa tempistica. L’obiettivo è ridurre il rischio per gli utenti. Questo processo protegge tutti.

Project Zero di Google è un rinomato team di analisti della sicurezza dedicato a trovare vulnerabilità zero-day nel software. Sono famosi per la loro rigorosa politica di responsible disclosure di 90 giorni, che hanno applicato nel rivelare una falla critica di Windows nel 2016 dopo che Microsoft aveva mancato la scadenza. (Fonte: fortune.com)

Alcuni invece sostengono la full disclosure. Pubblicano immediatamente tutti i dettagli della vulnerabilità. I sostenitori credono che questo costringa i fornitori ad agire più velocemente. Inoltre, informa il pubblico sui rischi esistenti. Ma lo svantaggio è enorme. Rilasciare i dettagli troppo presto crea un “zero-day exploit”. Questa è una falla sconosciuta al fornitore del software, quindi non esiste una patch. I criminali possono quindi sfruttarla prima che gli utenti possano difendersi. È come annunciare che una cassaforte ha una serratura difettosa prima che arrivi il fabbro.

L’ethical hacking solleva un’altra questione. Questo è un tentativo autorizzato di penetrare in un sistema per trovare vulnerabilità. Gli hacker “white hat” spesso lo fanno per le aziende. Usano le stesse tecniche degli attaccanti malevoli. Immaginate di assumere un professionista scassinatore per testare il vostro caveau bancario. Mirano a trovare le vulnerabilità in modo da poterle risolvere. Le questioni etiche si manifestano in relazione all’ambito, al consenso e ai potenziali danni durante i test. Senza confini chiari, un ethical hack può facilmente diventare non autorizzato.

Sorveglianza, privacy e sicurezza nazionale

Le rivelazioni di Edward Snowden del 2013 hanno esposto l’enorme portata dei programmi di sorveglianza. Questi includevano il PRISM della NSA. Ciò ha scatenato un dibattito globale: privacy contro sicurezza. I governi sostengono di aver bisogno di ampi poteri di sorveglianza per fermare il terrorismo e la criminalità. È una ragione potente.

Ma tali poteri spesso vanno a scapito della privacy individuale. È come se la polizia installasse telecamere ovunque in una città senza mandato. Potrebbero catturare criminali. Ma registrano anche persone innocenti. Il dibattito solleva la questione: dove tracciamo il confine? Quanti dati personali possono essere raccolti? Chi supervisiona questi programmi? Cosa ci protegge dagli abusi?

La crittografia è un tema di forte dibattito. Questa tecnologia cifra i dati per proteggere la privacy. I governi spesso fanno pressione per ottenere “backdoor” o “chiavi master” per le comunicazioni crittografate. Dicono che questo aiuta le forze dell’ordine ad accedere ai dati criminali. I sostenitori della privacy e le aziende tecnologiche sono fortemente in disaccordo. Sostengono che qualsiasi backdoor, una volta costruita, potrebbe essere sfruttata da chiunque. Comprometterebbe la sicurezza dei dati di tutti.

Il caso Apple contro FBI nel 2016 ha evidenziato questo conflitto. L’FBI ha chiesto ad Apple di sbloccare un iPhone di uno degli attentatori di San Bernardino. Apple ha rifiutato. L’azienda ha messo in guardia contro la creazione di una “chiave master”. Questa chiave, sostenevano, avrebbe potuto sbloccare qualsiasi iPhone, creando un pericoloso precedente per la privacy degli utenti. Il caso ha mostrato l’enorme tensione tra sicurezza nazionale e diritti digitali individuali.

Edward Snowden, ex contractor della NSA, è diventato una figura globale nel 2013 dopo aver divulgato documenti classificati che hanno rivelato la vasta portata dei programmi di sorveglianza governativi, scatenando un dibattito internazionale su privacy e sicurezza nazionale. (Fonte: britannica.com)

Oltre al governo, le aziende raccolgono enormi quantità di dati. Shoshana Zuboff, in The Age of Surveillance Capitalism, descrive come le aziende traggano profitto dall’osservazione del comportamento degli utenti. Questo “capitalismo della sorveglianza” scambia i dati degli utenti con annunci mirati e previsioni. Il consenso dell’utente spesso è celato nei lunghi termini di servizio. Questo ci fa interrogare sulla vera volontarietà. Gli utenti stanno davvero acconsentendo? O devono semplicemente accettare di utilizzare servizi essenziali?

Guerra digitale: moralità e ritorsione

Nel 2010, il worm Stuxnet ha paralizzato le centrifughe nucleari iraniane. La maggior parte ritiene che sia stata un’operazione congiunta USA-Israele. Questo ha segnato un punto di svolta. È stata la prima arma digitale pubblica a causare danni fisici. Stuxnet ha sollevato profonde questioni etiche sulla guerra cibernetica. I cyberattacchi contro le infrastrutture critiche sono come gli attacchi fisici? Quali sono le regole di ingaggio in questo nuovo spazio?

L’attribuzione è una sfida importante nella guerra cibernetica. È incredibilmente difficile individuare la fonte di un cyberattacco. Gli attaccanti spesso usano tecniche complesse per nascondere le loro tracce. Instradano gli attacchi attraverso molti paesi. Questo rende la ritorsione rischiosa. Uno stato potrebbe colpire il bersaglio sbagliato, intensificando i conflitti senza motivo.

Pensate all’attacco ransomware NotPetya nel 2017. Molti hanno incolpato la Russia. Ha preso di mira l’Ucraina, ma si è diffuso a livello globale, causando miliardi di danni. Ha colpito compagnie di navigazione, ospedali e altri servizi critici. Questo incidente ha mostrato l’enorme “danno collaterale” possibile nella guerra cibernetica. Civili innocenti e obiettivi non intenzionali possono subire gravi conseguenze. I confini tra infrastrutture militari e civili si confondono nel mondo digitale.

La “cyber deterrenza” affronta anch’essa questioni etiche. Questa idea suggerisce che forti capacità cibernetiche possono fermare gli attacchi. Ma questo potrebbe scatenare una corsa agli armamenti. Le nazioni potrebbero costruire armi cibernetiche offensive, aumentando il rischio di conflitto. Il dibattito etico si interroga: lo sviluppo di queste armi è un male necessario per la difesa? O è un percorso pericoloso verso l’instabilità globale? A differenza delle armi chimiche o nucleari, nessun trattato internazionale disciplina la guerra cibernetica. Questo crea un grande divario etico.

Costruire un futuro digitale etico

Nel 2018, l’Unione Europea ha implementato il Regolamento Generale sulla Protezione dei Dati (GDPR). Questa legge storica ha rafforzato notevolmente i diritti individuali alla privacy dei dati. Ha dimostrato che la regolamentazione può iniziare a risolvere alcuni problemi etici. Tuttavia, l’etica della cybersecurity rimane complessa, senza soluzioni facili.

Una vista delle centrifughe nucleari iraniane, probabilmente presso la struttura di Natanz, che sono state notoriamente prese di mira e paralizzate dal worm Stuxnet nel 2010. Questo attacco ha segnato un punto di svolta critico, dimostrando come le armi digitali possano causare danni fisici significativi. (Fonte: gettyimages.com)

Un passo fondamentale è una maggiore trasparenza. I governi e le aziende devono essere più trasparenti riguardo alla raccolta dei dati e alle pratiche di cybersecurity. Gli utenti devono capire chi detiene i loro dati. Devono anche sapere come vengono utilizzati e quali protezioni esistono. Questo costruisce fiducia e consente un consenso informato.

È anche importante sviluppare quadri etici chiari. Questi quadri possono guidare le nuove tecnologie, come l’intelligenza artificiale. La Raccomandazione UNESCO sull’etica dell’intelligenza artificiale, adottata nel 2021, ne è un esempio. Fornisce linee guida per lo sviluppo responsabile dell’IA, affrontando temi come i pregiudizi e la responsabilità. Abbiamo bisogno di principi simili per le operazioni di cybersecurity.

La cooperazione globale è importante. Le minacce alla cybersecurity attraversano i confini nazionali. Accordi e norme internazionali sono importanti per gestire la guerra cibernetica, fermare la diffusione delle armi digitali e perseguire i cybercriminali. Anche con le tensioni geopolitiche, i paesi devono trovare un terreno comune. Devono proteggere le infrastrutture digitali condivise.

Il futuro dell’etica della cybersecurity dipende da un dialogo e un adattamento continui. Dobbiamo continuare a chiederci: che tipo di società digitale vogliamo? Una in cui la sicurezza prevale su tutto? O una che bilancia la sicurezza con i diritti fondamentali? Queste non sono solo domande per esperti tecnici. Richiedono la partecipazione attiva di cittadini, responsabili politici ed eticisti di tutto il mondo. Stiamo ancora scrivendo le regole per questo nuovo mondo digitale.

Domande frequenti

Cos’è l’ethical hacking? L’ethical hacking, spesso chiamato hacking “white hat”, implica tentativi autorizzati di penetrare sistemi o reti informatiche. L’obiettivo è identificare le vulnerabilità prima che attori malevoli possano sfruttarle. Gli ethical hacker lavorano per migliorare la sicurezza, non per causare danni.

Tutti i cyberattacchi sono non etici? La maggior parte dei cyberattacchi sono non etici. Comportano accesso non autorizzato, furto di dati o interruzione, causando danni. Alcuni casi di “hacktivism” o di divulgazione di vulnerabilità possono accendere il dibattito sulla loro eticità, anche se legalmente discutibili.

Come possono gli individui proteggere meglio la loro privacy? Gli individui possono usare password forti e uniche, abilitare l’autenticazione a due fattori ed essere cauti nel condividere dati personali online. Comprendere le impostazioni sulla privacy di app e browser e utilizzare strumenti di comunicazione crittografati aiuta anche.

Chi stabilisce gli standard etici della cybersecurity? Gli standard etici provengono da molte fonti. Questi includono organizzazioni internazionali (come NIST, ISO) e organismi professionali (ad esempio, ISC2). I governi nazionali stabiliscono gli standard attraverso leggi (come il GDPR), così come le migliori pratiche del settore. I dibattiti etici spesso influenzano la definizione di questi standard in evoluzione.

Questi cavi sottomarini in fibra ottica critici costituiscono la spina dorsale di internet globale, trasportando oltre il 99% del traffico dati intercontinentale e rappresentano infrastrutture digitali condivise vitali, vulnerabili a minacce cibernetiche e tensioni geopolitiche. (Fonte: accutechcom.com)

---

Potrebbe interessarti anche:

👉 12 maggio 2017: WannaCry, il cyberattacco che mise in ginocchio il NHS

👉 Centinaia di falle: l’aggiornamento vitale per il tuo dispositivo

👉 Metaverso: l’illusione di Zuckerberg – la tua libertà virtuale è un miraggio