L’indagine sul prelievo di migliaia di informazioni sensibili da banche dati strategiche nazionali condotta dalla Procura di Milano e dalla Direzione nazionale antimafia, che ha portato al momento a sei misure cautelari, sembra allargarsi in modo imprevedibile, tant’è che il procuratore antimafia Melillo parla di “vicenda allarmante” e di “dimensione imprenditoriale” del fenomeno.
Secondo le indagini sono migliaia le informazioni “sensibili e segrete” che sono state “esfiltrate” dalle banche dati colpite: lo Sdi (usato dalle forze dell’ordine), Serpico (utilizzata dall’Agenzia delle Entrate e dalla Guardia di finanza), il database dell’Inps, l’anagrafe nazionale e il sistema valutario Siva, legato alle cosiddette Sos (segnalazioni di operazioni sospette) di Bankitalia, come pure conti bancari di personalità di spicco del mondo dell’economia, dell’imprenditoria e della politica.
È un tema scottante sui cui il Governo sembra intenzionato a muoversi rapidamente e ad accelerare l’introduzione di nuove regole per la protezione delle banche dati.
“Non siamo al sicuro. I malintenzionati” avverte il ministro della Giustizia, Carlo Nordio “sono sempre più avanti rispetto agli stessi Stati, sono riusciti ad hackerare persino il Cremlino, dobbiamo attivare gli sforzi per allineare la normativa vigente ma anche lavorare di fantasia“.
Il procuratore nazionale antimafia e antiterrorismo, Giovanni Melillo, ha riferito di aver sottoposto ad uno stress test la sicurezza dei sistemi della procura con esiti che ha definito “sconfortanti” perchè sono emerse “vulnerabilità in grado di compromettere l’integrità, la confidenzialità e la disponibilità dei dati trattati“.
Dopo la vicenda del finanziere Pasquale Striano indagato dalla procura di Perugia insieme al magistrato Antonio Laudati, il sottosegretario Alfredo Mantovano ha riunito il governatore della Banca d’Italia, lo stesso Melillo, i vertici di intelligence, Guardia di finanza ed Agenzia per la cybersicurezza nazionale per fare il punto sugli accessi illeciti alle banche dati informatiche pubbliche.
A novembre è previsto un ulteriore vertice a Palazzo Chigi per stabilire in modo definitivo nuove regole con linee guida più vincolanti per rendere più stringente il sistema dei controlli, con adeguati alert atti a scongiurare gli abusi e con verifiche periodiche.
L’obiettivo è quello di limitare le vulnerabilità, risolvendo le criticità emerse dai molteplici ‘data breach’. Ad esempio non potrà più esserci una sola persona ad operare sulle banche dati, ma dovrà esserci un team sottoposto a controlli di legittimità ed i cui componenti varieranno per evitare il cristallizzarsi di posizioni di potere.
Chi fa le ricerche, inoltre, deve lasciare traccia della sua attività. I sistemi dovranno essere a prova di hacker con gli accorgimenti tecnologici suggeriti dall’Agenzia per la cybersicurezza che potrà anche fare dei controlli a campione per testare la vulnerabilità delle infrastrutture informatiche.
Vanno poi affrontati eventuali i rischi derivanti dal passaggio pubblico-privato, ovvero nel caso di funzionari che lasciano la PA per lavorare nel privato, che possono portare con sé, se non documenti riservati, comunque know-how potenzialmente rischioso. Non a caso la legge sulla cybersicurezza dello scorso mese di giugno ha aumentato le pene per i pubblici ufficiali che fanno accessi abusivi portandole d 3 a 8 anni.
“Siamo tutti esposti al rischio dossieraggi“, ha riconosciuto Nordio, che ha messo in guardia anche dagli usi fraudolenti che possono essere fatti con l’utilizzo di strumenti di Intelligenza artificiale. “Il vero problema che si porrà” ha poi osservato “non è tanto quello della captazione dei dati” ma quello della loro manipolazione.
La crescente vulnerabilità delle banche dati nazionali, esposte tanto ad accessi illeciti quanto a possibili manipolazioni, evidenzia l’urgenza di strategie integrate per una protezione più solida e reattiva. Limiti organizzativi, come il controllo centralizzato in mano a pochi, devono lasciare spazio a strutture più robuste, nelle quali la trasparenza operativa e la rotazione dei ruoli siano standard. L’approccio proposto, con team sottoposti a controlli di legittimità e sistemi in grado di registrare ogni operazione, rappresenta un passo avanti per evitare le insidie del potere individuale sui dati, ma anche per ridurre il rischio di violazioni.
Attenzione però, in questo contesto, a non demonizzare l’Intelligenza Artificiale come spesso si tende a fare in casa nostra senza conoscere nel dettaglio la materia. L’AI infatti, pur essendo potenzialmente utilizzabile per captazioni illecite o manipolazioni di dati sensibili, è un’alleata potente nella lotta alla criminalità informatica. Strumenti di AI avanzati possono, infatti, identificare in tempo reale pattern anomali di accesso, rendendo più tempestiva l’identificazione di attacchi e tentativi di accesso non autorizzato. L’Intelligenza Artificiale può anche aiutare nel monitoraggio continuativo e nel rafforzamento dei sistemi di cybersecurity, rendendo più difficile l’abuso di accessi e migliorando la risposta agli attacchi.
In questo contesto quindi, la combinazione di team strutturati e strumenti di AI avanzata crea un perimetro di sicurezza in grado di proteggere in modo efficace le banche dati, perché solo attraverso un approccio multidimensionale – che unisca l’efficacia della tecnologia AI ad una governance di sicurezza centralizzata e trasparente – è possibile ridurre significativamente i rischi e fare un passo avanti verso la protezione dei dati sensibili.
Newsletter – Non perderti le ultime novità sul mondo dell’Intelligenza Artificiale. Iscriviti alla newsletter di Rivista.AI e accedi a un mondo di contenuti esclusivi direttamente nella tua casella di posta!