Colao: “Serve un’accelerazione, più ingegneri e meno giuristi per affrontare la sfida hacker”

ROMA – Vittorio Colao, ex ceo di Vodafone, già ministro all’Innovazione tecnologica e transizione digitale nel governo Draghi, è il papà dell’Agenzia nazionale per la cybersecurity: l’uomo che, insieme all’ex banchiere centrale e a Franco Gabrielli, allora autorità delegata all’intelligence, istituì nel 2021 la struttura destinata a difendere le reti informatiche, prevenire e contrastare gli attacchi hacker. Manager giramondo ha un’idea precisa di ciò che servirebbe per mettere in sicurezza il Paese: più coordinamento, più risorse e più competenze, soprattutto giovani.

Gli attacchi delle ultime settimane hanno fatto emergere un’enorme fragilità strutturale. Quando era ministro disse che l’Italia partiva molto indietro sul fronte della cybersicurezza. Cinque anni dopo, a che punto siamo?

«Non so bene perché sono andato via da tempo. Però le posso rispondere con quello che dico da sempre: dovremmo smettere di occuparci delle Pec e preoccuparci più delle infrastrutture».

Ce lo può tradurre?

«In Italia abbiamo l’abitudine di privilegiare le cose formali, siamo specialisti in certificazioni di ogni tipo, e di trascurare la sostanza. Se parliamo di cybersecurity, credo si debbano distinguere tre mondi. Il privato, che ha fatto dei progressi, ma non in modo omogeneo: le piccole e medie imprese sono ancora indietro, le grandi società — specie finanziarie — più avanti. Le catene logistiche e transattive sono assai interconnesse. Abbiamo insomma una maggiore superficie di vulnerabilità».

E il secondo mondo?

«È il pubblico, che temo sia ancor più a macchia di leopardo perché avrebbe bisogno di una protezione orchestrata e quindi di un’architettura delle infrastrutture informatiche, che invece non c’è. Penso per esempio alla sanità, dove ogni regione fa per sé, o ai trasporti. Perciò con il governo Draghi avevamo creato l’Agenzia nazionale che rappresenta, appunto, il terzo mondo: un’autorità di sicurezza cibernetica con capacità operative e tecniche molto forti, in grado di aiutare pubblico e privato, in maniera diversa».

La mission che vi eravate dati allora viene rispettata ancora oggi?

«Non sono in condizioni di esprimermi. Anche qui, ripeto: questo è un settore in cui servono più ingegneri e informatici, un po’ meno giuristi ed economisti. E io, purtroppo, appartengo alla seconda categoria. Dopodiché con il Pnrr abbiamo dato una grande accelerazione. L’Acn è stata lanciata in tempi brevi e nelle modalità previste. Che però vanno seguite per anni. C’è bisogno di risorse umane e finanziarie che con l’AI sono diventate ancor più necessarie perché gli attacchi sono cresciuti in scala e in profondità e i tempi per la reazione si sono ridotti».

Le opposizioni denunciano una mancanza di coordinamento fra le diverse strutture cyber create in vari rami dello Stato che rende difficile combattere gli hacker, concorda?

«Coordinare gli interventi in modo rapido, sul piano nazionale e internazionale, è fondamentale: siamo in presenza di minacce collegate che si diffondono a una velocità che quattro anni fa era impensabile. Quindi, quel che posso dire è che nel 2021 l’Italia si è dotata di un nocciolo di difesa cyber su cui dobbiamo continuare a investire. Per implementare il modello a cui allora ci ispirammo».

Qual è questo modello?

«Il National cyber security center, una “filiale” del Servizio di sicurezza digitale inglese, che interfaccia regolarmente aziende ed enti pubblici. Per farlo crescere e funzionare ci vogliono però tante professionalità, altrettante risorse e almeno dieci anni di lavoro, non basta un solo Pnrr».

Quando si è insediato, il governo Meloni ha abolito il ministero all’Innovazione tecnologica e al digitale, spezzettandone i compiti tra tanti dicasteri. Lei aveva raccomandato il contrario, e di mantenere un forte presidio a Palazzo Chigi. È stato un errore?

«Sono scelte politiche insindacabili. Quando il governo Draghi decise di confermare il ministero dell’Innovazione e di ampliarne le attribuzioni, ci eravamo ispirati alla Grecia, che nel campo digitale aveva fatto passi da gigante. Perché la differenza non è come lo chiami, la fanno le persone, le loro conoscenze e competenze».

Cloud, reti, software, AI: in Italia gran parte delle infrastrutture digitali dipendono da tecnologie e fornitori stranieri. Non è un rischio per la sicurezza nazionale?

«È un argomento affrontato da Mario Draghi nel rapporto sulla competitività. In un mondo ideale nessuno vorrebbe dipendere dagli altri, nella realtà però nessuno può essere indipendente, salvo Usa e Cina. Occorre allora mettere in campo una strategia che consenta di raggiungere un’autonomia operativa selettiva, su aree più delicate. Ma la sovranità digitale va sviluppata a livello europeo: siamo tutti troppo piccoli, ogni singolo Paese da solo non ce la può fare».

Buona idea, ma come si fa?

«È giusto usare l’intelligenza artificiale o i chip americani, ma dobbiamo anche sostenere le nostre aziende europee che producono chip, modelli o applicativi più specializzati, con i quali sviluppare rapporti commerciali più bilanciati di quelli attuali. In questo senso un esempio di buon investimento del governo è la Silicon box a Novara, o le gigafactories AI europee».

Se fosse ancora ministro all’Innovazione tecnologica, quali sono le prime tre cose che farebbe?

«Non sono ministro, quindi lascio decidere a chi c’è. Però una cosa la voglio dire: in Italia abbiamo competenze straordinarie che purtroppo non sfruttiamo nella difesa delle nostre infrastrutture digitali perché non siamo in grado di impiegarle. I politecnici di Milano e Torino, le università di Roma e Bologna, quella di Pisa, sono scuole eccellenti nella fisica e nelle tecnologie elettroniche e informatiche. I laureati in cybersecurity del corso congiunto Bocconi-PoliMilano sono ricercatissimi dal privato e anche il pubblico dovrebbe attrezzarsi con ruoli “speciali”, tipo quelli che avevamo per il Pnrr. Soprattutto porsi il problema di come far restare, o tornare dall’estero, questi giovani straordinari. Forse gli unici in grado di capire e neutralizzare le minacce hacker».