Tornano anche quest’anno gli appuntamenti con i Community talks sulla cyber diplomacy di Kaspersky, giunti alla loro seconda edizione con Anastasiya Kazakova, Senior Public Affairs Manager di Kaspersky, nelle vesti della padrona di casa. Il primo evento digitale della serie ha accolto tre ospiti d’eccezione (Laura Carpini , Coordinatrice Cybersecurity, Ministero degli Affari Esteri e della Cooperazione Internazionale; Isaac Morales Tenorio, Coordinatore per le questioni di sicurezza multidimensionali, Ministero degli Affari Esteri del Messico; David Emm , Principal Security Researcher, Global Research and Analysis Team (GReAT) presso Kaspersky), per parlare delle aspettative sull’OEWG delle Nazioni Unite e su come queste potrebbero supportare gli Stati Aderenti nel mantenimento della sicurezza e della pace internazionale. L’obiettivo di questo tipo di eventi è quello di portare informazioni di qualità al settore privato e alla comunità tecnica per colmare il divario esistente tra i diversi professionisti nel processo di costruzione di una cyber-stabilità sempre più necessaria.
In particolare, questa prima chiacchierata si è svolta subito dopo la prima sessione dell’OEWG delle Nazioni Unite per capire quali aspettative stanno già portando avanti i diversi gruppi di stakeholder – inclusi diplomatici informatici, mondo accademico, industria, comunità tecnica e società civile. Indagare questo tipo di aspettative, infatti, può essere utile per fornire un supporto ai negoziati tra gli Stati per ottenere migliori risultati nel corso di questo primo anno del nuovo processo quinquiennale – UN OEWG (Open-ended-working-group).
LE ASPETTATIVE SULL’UN OEWG
Laura Carpini è partita sottolineando come il nuovo processo quinquiennale (UN OEWG) è una misura di rafforzamento della fiducia (CBM) che fornisce un processo e una piattaforma inclusivi, universali e aperti per tutti gli Stati Membri, che in questo modo possono far sentire le loro voci. L’OEWG rappresenta anche un importante strumento, soprattutto per gli Stati più piccoli, per costruire le proprie strutture di sicurezza informatica. Relativamente alle aspettative secondo Carpini è importante raggiungere una comprensione comune del concetto di stabilità nel cyberspazio e di cosa costituisca effettivamente un’infrastruttura critica. In questa direzione un aiuto può arrivare dal diritto internazionale. Le linee guida concordate in precedenza nei rapporti del GGE delle Nazioni Unite possono essere qui specificamente strumentali per i negoziati interstatali.
Parlando della partecipazione dei multistakeholder, Carpini ha messo in evidenza che gli Stati si sono resi disponibili e che e la loro partecipazione può effettivamente essere utile in conformità con l’ agenda comune del Segretario generale delle Nazioni Unite , che richiede un sistema multilaterale più inclusivo e un coinvolgimento effettivo delle parti interessate. I multistakeholder, in particolare, potrebbero aiutare a comprendere meglio tanti aspetti del “cyber” e, allo stesso tempo, aiutare a rimanere concentrati sull’approccio orientato all’azione che è l’obiettivo di tutti.
Isaac Morales Tenorio ha convenuto che l’OEWG è un CBM e ha aggiunto che la comunità internazionale ora ha l’intero quadro [del comportamento responsabile nel cyberspazio] e l’obiettivo principale ora è quello di diffondere informazioni su questo e concentrarsi sulla sua attuazione. A questo proposito, la rendicontazione – sia attraverso canali ufficiali che non ufficiali – è lo strumento chiave, che aiuterebbe a capire cosa stiamo facendo a livello globale e quali sono le nostre esigenze di cooperazione (anche con il settore privato e la società civile) e di rafforzamento delle capacità. Si spera che l’OEWG possa anche diventare uno spazio tanto necessario in cui diplomatici e tecnici possano scambiare con sempre maggiore frequenza opinioni.
Cosa non dobbiamo aspettarci dall’ONU OEWG? Isaac ha delineato due punti. In primo luogo, non dovremmo aspettarci di avere un quadro ampio e olistico per risolvere tutti i problemi informatici, perché l’OEWG delle Nazioni Unite è un processo molto concreto per discutere le TIC nel contesto della sicurezza e della pace internazionali. In secondo luogo, non dovremmo aspettarci uno strumento completo giuridicamente vincolante: il livello di maturità nelle nostre conversazioni non è ancora sufficiente per questo. Concludendo, Isaac Morales Tenorio ha anche sottolineato che è importante mantenere l’equilibrio e prendere in considerazione sia lo sviluppo che le considerazioni sui diritti umani in questi negoziati sulla sicurezza.
David Emm ha arricchito la discussione portando la prospettiva di un ricercatore di sicurezza su dove siamo nel 2022 e sulle aspettative future. Ha osservato che ci saranno sfide significative da affrontare: la tecnologia e la connettività sono saldamente integrate nella vita di tutti i giorni, sia per le organizzazioni che per gli individui, e questo è già sfruttato dai cyber criminali. Inoltre, è probabile che i cambiamenti di natura sia geografica che tecnologica guidino gli sviluppi degli attacchi che vediamo. Si prevede, ad esempio, una crescita degli attacchi focalizzati sull’Africa, man mano che le TIC si svilupperanno ulteriormente, vista anche la sua posizione strategica nel commercio marittimo. Si prevede inoltre un aumento degli attacchi contro provider cloud e servizi in outsourcing. Infine, il fiorente mercato del settore privato degli strumenti di sorveglianza porterà probabilmente un afflusso di nuovi attori delle minacce APT, oltre a supportare gli attori delle minacce già noti.
Dove ci porterà tutto ciò? Emm ritiene che gli Stati inizieranno anche a chiarire le pratiche accettabili di reato informatico: e mentre ciò sarebbe guidato dalla necessità di distinguere tra ciò che vedono come attività legittima da misure mirate ai propri sistemi, avrà anche un aspetto positivo, sottolineando l’importanza di identificare l’uso accettabile e inaccettabile della tecnologia per obiettivi geopolitici. E questo sottolinea l’importanza di conversazioni internazionali come l’Onu OEWG.
Quali altre aspettative hanno i ricercatori di sicurezza? Emm ha affermato che è impossibile ignorare gli aspetti geopolitici con la crescente militarizzazione del cyberspazio. Ecco perché è fondamentale chiedere una maggiore trasparenza nell’uso dei comportamenti accettabili (e inaccettabili) nel cyberspazio. È anche importante riconoscere che ciò che viene sviluppato dai cyber criminali sponsorizzati dagli stati-nazione ha un impatto anche sul più ampio panorama delle minacce, poiché i TTP sviluppati dai più sofisticati cyber pirati si riversano sui gruppi di criminalità informatica.
AGENDA PER L’ONU OEWG
Laura Carpini ha ricordato molte domande aperte lasciate dal precedente OEWG delle Nazioni Unite e ha aggiunto che potremmo già prendere il riassunto del presidente precedente per le discussioni all’interno del nuovo OEWG. Per l’Italia, l’applicazione sia del diritto internazionale che del diritto internazionale umanitario è un tema importante all’ordine del giorno. Per quanto riguarda il rafforzamento delle capacità e l’attuazione più pratica, Laura ha evidenziato il Programma d’azione (PoA), che l’Italia ha co-sponsorizzato con altri stati, e si prevede che ci sarà un’ulteriore discussione su come il PoA come processo complementare e più flessibile potrebbe essere raggiunto.
Isaac Morales Tenorio ha condiviso che nella prima sessione di dicembre un certo numero di Stati ha sollevato nuovi elementi per l’agenda dell’OEWG delle Nazioni Unite, e non è ancora chiaro procederanno le discussioni in seguito. Il ransomware, ad esempio, è stato molto menzionato come una sfida da considerare anche nell’agenda: poiché collega la sicurezza internazionale e la criminalità, si spera che gli stati possano affrontare meglio le rispettive minacce e sfide all’interno dell’OEWG.
Secondo Isaac i nuovi Stati OEWG dovrebbero sviluppare linee guida più precise e puntuali sull’attuazione del quadro concordato e articolare specificamente le migliori pratiche al riguardo. Un altro punto dell’agenda, come ha menzionato Isaac, è spianare la strada a un lavoro più interregionale o interregionale tra diverse regioni e organizzazioni regionali per garantire coerenza nell’attuazione e scambio di migliori pratiche specifiche per regione. Infine, la comunità internazionale ha bisogno di progetti concreti per stimolare la ricerca, raccogliere dati e sensibilizzare con l’aiuto del mondo accademico e delle borse di studio.
Dal punto di vista dei ricercatori sulla sicurezza, David Emm spera che il nuovo OEWG si concentri ulteriormente sull’attuazione delle norme che riguardano la protezione delle infrastrutture critiche, l’integrità delle supply chain e la segnalazione responsabile delle vulnerabilità ICT.
Un altro aspetto, che ha aggiunto Emm, riguarda l’attribuzione in senso geopolitico. Ha affermato che i difensori hanno bisogno di punti di contatto stabiliti all’interno dei loro paesi e dei mezzi per ottenere le informazioni che li aiutino ad affrontare un incidente informatico in modo efficace. Pertanto, una sorta di meccanismo per affrontare importanti incidenti informatici internazionali (ad esempio, che interessano le infrastrutture critiche), è un’altra area in cui ci si aspetta che potranno essere compiuti maggiori progressi. Questo è fondamentale perché questi attacchi richiedono una risposta tempestiva e coordinata da parte degli stati, dei CERT, di coloro che gestiscono le installazioni di infrastrutture critiche e dei fornitori di sicurezza. Anche l’istituzione di norme di comportamento responsabile è importante per i ricercatori sulla sicurezza, per evitare che entrino in contrasto con la legislazione locale.
LA PARTECIPAZIONE DEI MULTISTAKHOLDER
David Emm, in chiusura, ha ribadito che il panorama delle minacce rappresenta un obiettivo in movimento poiché è in costante mutamento, ed è per questo che è essenziale vedere la sicurezza come un processo, piuttosto che come una risposta statica. Pertanto, per il nuovo OEWG è importante garantire un dialogo continuo tra i diversi stakeholder, qualcosa che è centrale ed è stato praticamente già dato per assodato con il Bando di Parigi. L’OEWG può anche fornire un mezzo per ottenere risultati tangibili durante l’intero processo quinquennale, piuttosto che puntare a fornire qualcosa solo alla fine. In questo modo, può fornire consenso su obiettivi raggiungibili senza che la mancanza di consenso su altri metta a repentaglio il processo più ampio.
Isaac ha convenuto che è importante incoraggiare noi stessi a fare un passo avanti e dare un feedback più forte ai multistakeholder rispetto a quello che avevamo all’interno del precedente OEWG. Ha condiviso che gli stati stanno attualmente discutendo possibili modalità per la partecipazione multistakeholder ed è difficile prevedere quale sarà il risultato. Ma il messaggio chiave sarebbe che abbiamo bisogno di più per trarre vantaggio da processi non ufficiali e ufficiali a spettro completo, come l’Internet Governance Forum (IGF) delle Nazioni Unite, e quindi andare oltre le Nazioni Unite per avere un dialogo più fruttuoso con le diverse parti interessate.
Laura Carpini è d’accordo con questo e ha anche aggiunto che è anche nell’interesse dei governi avere multistakeholder in una conversazione per sostenere gli accordi presi con la comunità.
