Cyber Security in Arabia Saudita: rassegna delle principali aziende governative

Kaspersky cyber attack map: https://cybermap.kaspersky.com/

Nello scenario globalmente diffuso di Cyber Crime caratterizzato da attività criminose che sfruttano componenti della tecnologia dell'informazione sia hardware che software, gli interessi economici ed i conflitti geopolitici fanno del Medio Oriente una calamita per gli attacchi informatici. La regione, che ospita quasi la metà delle riserve petrolifere globali e gran parte del gas naturale mondiale, è continuo bersaglio di tali attacchi.

In tale contesto risulta essere particolarmente interessante una rassegna delle aziende governative operanti nel settore Cyber Security presenti in Arabia Saudita, con lo scopo di focalizzare i prodotti, i servizi e le attività di Research & Development (R&D), in cui tali aziende governative operano.

La Cyber Security, tradotta come sicurezza cibernetica, in Italia è definita dal DPCM del 17 Febbraio 2017 “Direttiva recante indirizzi per la protezione cibernetica e la sicurezza informatica nazionali” come la "condizione per la quale lo spazio cibernetico risulti protetto grazie all'adozione di idonee misure di sicurezza fisica, logica e procedurale rispetto ad eventi, di natura volontaria o accidentale, consistenti nell'acquisizione e nel trasferimento indebiti di dati, nella loro modifica o distruzione illegittima, ovvero nel controllo indebito, danneggiamento, distruzione o blocco del regolare funzionamento delle reti e dei sistemi informativi o dei loro elementi costitutivi”.

La National Cybersecurity Authority dell’Arabia Saudita ha definito la sicurezza informatica come “la protezione dei sistemi e delle reti IT, dei sistemi e dei componenti delle tecnologie operative, compresi i componenti hardware e software, insieme ai servizi forniti e ai dati ivi inclusi, contro modalità illecite di hacking, ostruzione, modifica, accesso, utilizzo o sfruttamento”. 

La Cyber Security si concretizza, come indicato nel documento programmatico pluriennale per la Difesa per il triennio 2019-2021 (Doc. CCXXXIV, n. 2), attraverso la protezione delle postazioni di lavoro, dei dispositivi in mobilità e dei dati in essi contenuti secondo criteri di confidenzialità, disponibilità e integrità (Protezione End Point); la Protezione Perimetrale ossia le attività rivolte alla protezione delle reti e in particolare alla riduzione del perimetro d’attacco; la Sicurezza Applicativa ovvero l'implementazione delle best practice di sicurezza durante il ciclo di vita del software che permetta la realizzazione di un idoneo livello di sicurezza a tutte le componenti che erogano servizi ed infine con la Governance di Sicurezza che riguarda l'insieme di attività e operazioni che consentono di impostare al meglio il processo di gestione di sicurezza delle informazioni al fine di aumentare l’efficacia e l’efficienza delle attività operative legate alla protezione cibernetica.

Prima di entrare nel dettaglio della rassegna delle aziende governative operanti nell'ambito Cyber Security dell'Arabia Saudita è utile tracciare una breve panoramica sulla situazione Cyber in termini di consapevolezza delle minacce e di gestione degli attacchi subiti dal Paese.

Il governo saudita ha pubblicato nel 2011 la National Information Security Strategy (NISS). La necessità di redigere una strategia nazionale in questo ambito è emersa dalla consapevolezza che il Regno stava affrontando maggiori e più articolate minacce alla sicurezza nazionale e al benessere economico. L’interconnessione nazionale e internazionale ha creato nuovi tipi di minacce alle infrastrutture economiche del Regno. La NISS è incentrata su alcuni punti chiave, tra cui un forte investimento in Ricerca e Sviluppo nel settore informatico. Inoltre, con essa viene istituita la National Cybersecurity Authority (NCA), un organo centrale per la gestione degli incidenti cyber e responsabile della prevenzione dei rischi.

In particolare, essa ha le seguenti funzioni:

• Notifica delle minacce
• Condivisione di informazioni
• Redazione di una strategia di sicurezza nazionale
• Risposta agli incidenti

Ciò che ha portato il Paese all'adozione della NISS e all'istituzione del NCA è riconducibile ai principali attacchi informatici subiti dal Paese. Una testata online del 2018 specializzata in difesa ed aerospazio, indica che il primo importante attacco subito dall'Arabia Saudita risale al 2012, quando il malware Shamoon, attribuito all’Iran, prende di mira la compagnia petrolifera Aramco. Nel 2017 lo stesso malware rende totalmente inutilizzabili alcuni computer del Ministero del Lavoro e attaccato un’azienda chimica. Nel 2018 il sito web della General Entertainement Authority (Gea) viene colpito da un attacco informatico. Il Paese stima una perdita fino allo 0,5% del suo Prodotto Interno Lordo (PIL) a causa della debole sicurezza informatica. Già nel 2016 era stato annunciato il Progetto Saudi Vision 2030 il cui principale obiettivo è quello di ridurre la dipendenza dal petrolio dell’Arabia Saudita e diversificare la sua economia entro il 2030.

Contestualmente nel 2018 la Saudi Cyber Security and Programming Federation (SFCSP) firma 3 Memorandum di Intesa con gli Stati Uniti e nel particolare uno con il gigante americano della Difesa Lockheed Martin, azienda impegnata, tra le tante cose, nello sviluppo del programma per la produzione del caccia multiruolo di quinta generazione F-35 Lightning II, un secondo con la Raytheon Company, un'importante azienda statunitense del settore della difesa, ed infine il terzo con la Northrop Grumman, compagnia a stelle e strisce operante nei settori della sicurezza, della difesa e dell’aerospazio.

Passiamo ora alla mappatura delle aziende governative operanti nel settore Cyber Security in Arabia Saudita¹

SAUDI TELECOM COMPANY

La Saudi Telecom Company (STC) è una società di telecomunicazioni con sede in Arabia Saudita che offre rete fissa, mobile, servizi internet e di computer network. La STC, come le altre aziende saudite, offre servizi e prodotti che si collocano nell’ambito dei quattro elementi caratterizzanti la Cyber Security ossia i servizi di Protezione End-Point, di Protezione Perimetrale, di Sicurezza Applicativa e Governance di Sicurezza.

I(TS)^2 CYBER SECURITY

IT Security Training & Solutions -I(TS)^2 è una società fondata nel 2003 a Riyadh, riconosciuta come principale fornitore del Medio Oriente di soluzioni integrate di sicurezza informatica, servizi

di consulenza e corsi di formazione di Cyber Security.

Per risolvere i problemi di sicurezza informatica sempre più crescenti, I(TS)^2 offre svariate soluzioni aventi ad oggetto sia la protezione degli End-Point che l'attuazione della Governance di sicurezza che comprendono sistemi quali il Security Information Event Management (SIEM), firewall di nuova generazione, sistemi di prevenzione perdita di dati (DLP), rilevazione e risposta dell'End-Point, firewall per applicazioni web, protezione antimalware avanzata, sicurezza e-mail web, valutazione del rischio e penetration test, sicurezza dei social network, piattaforme di intelligence sulle minacce, difesa dell'ingegneria sociale e gestione delle vulnerabilità.

La società infine è anche molto attiva nel fornire formazione e promuovere campagne di Cyber Awareness.

SAUDI ARABIAN MILITARY INDUSTRIES

La Saudi Arabian Military Industries (SAMI) è una holding nazionale partecipata al 100% da un fondo di investimento pubblico di proprietà dell'Arabia Saudita. SAMI sviluppa e supporta le industrie militari in Arabia Saudita e svolge un ruolo importante nella localizzazione delle industrie militari di un territorio che, ricordiamo, è classificato tra i primi cinque paesi in termini di spese militari in tutto il mondo.

La SAMI Company investe sulle ultime tecnologie e sui migliori talenti nazionali per sviluppare prodotti e servizi militari innovativi con standard internazionali attraverso quattro divisioni commerciali: aeronautica, sistemi terrestri, armi e missili ed elettronica di difesa.

È proprio la divisione elettronica di difesa che lavora alla ricerca e sviluppo di tutti gli aspetti delle moderne tecnologie, tra cui: radar e microonde, elettro-ottica, sistemi di comunicazione, guerra elettronica, comando, controllo, comunicazioni, computer e intelligence, guerra cibernetica, sistemi di combattimento navale.

SAUDI PARAMOUNT COMPUTER SYSTEMS

La Saudi Paramount Computer Systems (SPCS) ha iniziato la sua attività nel 2001, specializzandosi nella sicurezza informatica e fornendo una serie di prodotti e servizi per la sicurezza informatica per le grandi imprese e il governo dell'Arabia Saudita.

Essendo un'azienda specializzata in soluzioni di sicurezza informatica e protezione della rete, essa aiuta i clienti a progettare il loro ambiente di sicurezza fornendo prodotti e servizi specifici in base alle esigenze dei soggetti richiedenti. Fra questi ultimi spiccano sicuramente gli enti governativi, fra cui il Ministero della Difesa e il Ministero delle Comunicazioni e dell’Information Technology.

Nell’ambito dei servizi forniti dall’azienda vi sono da segnalare i seguenti:

• sistemi Anti DDos (Distributed Denial of Service),
• ATP (Advanced Persistent Threat),
• SIEM (Security Information and Event Management),
• Intrusion Prevention System (un sistema che monitora una rete per attività dannose come minacce alla sicurezza o violazioni delle policy).

ASE - AL ARABIYAN SYSTEMS ENGINEERING

Al Arabiya Systems Engineering (ASE) è stata fondata come una società saudita specializzata in informatica. La sua attività consiste nel fornire consulenza tecnica specializzata, consulenza strategica, sicurezza informatica, soluzioni infrastrutturali e informatiche, soluzioni di contact center e altre questioni organizzative.

Nell’ambito dei servizi Cyber che l’azienda fornisce, ci sono soluzioni che spaziano dalla consulenza, alla formazione fino alle infrastrutture Cyber; tra le Applications Security nelle infrastrutture rientrano la Data Security, Big Data management, il Cloud Security, l’Identity Assurance, la Cyber Security e il Government, Risk and Compliance.

Di notevole rilievo sono poi i partner cui l’ASE fa riferimento: sono da menzionare Cisco, Dell, Samsung, Oracle, Sharp e Panasonic. Fra i clienti cui vengono erogati i suoi servizi vi è da evidenziare il Ministero dell’Economia e delle Finanze.

MBUZZ

MBUZZ è una delle principali società ICT, la cui fondazione risale al 2007. La sede principale si trova a Riyadh, in Arabia Saudita ed ha una forte presenza geografica in Medio Oriente, Africa, Asia ed Europa. MBUZZ offre soluzioni nei settori di Data Center, Telecom, SDN e NFV, Cyber Security, Artificial Intelligence e Internet of Things. Utilizza le proprie esclusive capacità di ingegneria aziendale per sviluppare nuovi modelli di business volti a risolvere le sfide, generare nuove opportunità e migliorare i processi aziendali e i portafogli esistenti per soddisfare le tendenze del mercato. Essa fornisce, a livello Cyber, servizi di Cyber Defence, Strategy and Risk, Digital Identity, Application Security e Infrastructure Security che permettono alla MBUZZ di avere un approccio integrato alla sicurezza aziendale volto a permettere al cliente di concentrarsi sulle esigenze della propria azienda più che sui rischi connessi alla sicurezza informatica. Come per le altre aziende analizzate, anche la MBUZZ vanta collaborazioni con gli enti governativi sauditi e, nello specifico, nel novero dei suoi clienti (fra i quali spiccano importanti società di telecomunicazioni come Nokia, Huawei ed Ericsson) vi è il Ministero della Salute.

Quello che emerge dall'analisi condotta in merito ai prodotti, servizi ed attività di R&D per ogni azienda governativa analizzata è che l'Arabia Saudita è prettamente orientata nel mercato Cyber all'offerta di servizi che mappano tutti gli elementi caratterizzanti della Cyber Security relativi alla Protezione degli End Point, alla Protezione Perimetrale, alla Sicurezza Applicativa ed alla Governance di sicurezza. Relativamente ai prodotti il mercato Cyber è prettamente orientato all'area della Protezione Perimetrale. Mentre per le attività di R&D, la SAMI è sicuramente l'azienda militare governativa che opera in quei progetti che vanno a mappare tutti i quattro elementi della Cyber Security.

L'Arabia Saudita ha il più grande mercato ICT in Medio Oriente sia per volume di capitale che per spesa che sta rapidamente diventando uno dei più ambiti dalle aziende locali e internazionali. Infatti, mentre l'industria IT saudita contribuisce attualmente solo ad un modesto 0,4% del prodotto interno lordo (PIL) del paese ed il mercato ICT del Regno continua ad essere guidato dalle importazioni - con oltre l'80% della spesa ICT di società straniere – il settore IT è considerato uno dei settori industriali con la più rapida crescita ed enormi opportunità di sviluppo. Nell’ambito IT si stima un tasso di crescita del mercato Cyber Security dell'Arabia Saudita del 16,59% tra il 2018 e il 2023.

Dopo l’attacco del 2012, l’Arabia Saudita ha iniziato a investire ingenti risorse per sviluppare cyber capabilities in chiave difensiva, secondo quanto evidenziato da un report del 2017 realizzato dal Potomac Institute for Policy Studies ed ha fatto sempre più affidamento su società statunitensi per incrementare la cybersecurity a livello nazionale. Gli accordi del 2017 con la Raytheon e del 2018 con la Booz Allen Hamilton, per la fornitura di servizi in ambito cyber, sono emblematici di questa partnership con gli Stati Uniti. Tra le aziende che collaborano attivamente con l’Arabia Saudita, vi sono: IronNet Cybersecurity, Raytheon, Booz Allen Hamilton, Northrop Grumman e Lockheed Martin.

Sonia FORCONI

Davide LO PRETE

Note:

1 G. DI BELLA, S. FORCONI, A. FOSCARINI, R. PERETTO. "Cyber World Technologies and Services Saudi Arabia & United Arab Emirates". Tesi del Master in "Cybersecurity – politiche pubbliche, normative e gestione". Università LUISS "Guido Carli". A.A. 2019/2020.

Fuga di dati riguardanti il sistema balistico nucleare Minuteman III ?

http://www.aiirsource.com/

in-warning-to-kim-jong-un-us-test-launch-nuclear-missile-minuteman-iii/

I ransomware, come sappiamo, continuano da anni a colpire indisturbati e sembra che le cose non siano destinate a migliorare, anzi.
Se è vero che si sente raramente parlare di attacchi contro strutture militari, forse anche perché difficilmente tali attacchi vengono denunciati, è anche vero che le catene logistiche e i fornitori anche delle organizzazioni militari, sono sempre più colpite forse perché considerate più deboli o semplicemente perché è più facile far cassa senza troppo rumore.
La settimana scorsa è accaduto proprio questo, la società Westech International, sub-contractor di Northrup Grumman, ha infatti confermato a Sky News di aver subito un attacco ransomware.
La società Westech International ha infatti ammesso di aver subito un attacco per mezzo del ransomware Maze a seguito del quale molti dati sono stati cifrati, con richiesta dunque di riscatto.
La cosa più preoccupante è però un aspetto secondario di quanto accaduto, infatti i dati (o parte di essi) sono stati esfiltrati per provare la veridicità dell'attacco e resi pubblici: si tratta di dati in qualche modo collegati al sistema di dissuasione nucleare LGM-30 Minuteman III ballistic missile (ICBM), in servizio negli USA.
La pubblicazione on-line di parte dei dati cifrati può infatti avere il duplice scopo di provare la veridicità di quanto fatto ad un più ampio pubblico e di affacciarsi verso potenziali clienti interessati ai dati sottratti. Secondo l'articolo si tratterebbe in particolare di elementi hacker russi che potrebbero aver collaborato con agenzie di spionaggio.
Indipendentemente da chi sia dietro l'atto in se e da quale fosse il vero obiettivo, resta il fatto che un attacco può essere perpetrato ai danni di una grande organizzazione colpendo uno degli anelli deboli della catena e la catena logistica civile è normalmente la più debole in quanto presenta una superficie d'attacco maggiore.

https://www.armscontrol.org/act/2015-07/news/

air-force-drafts-plan-follow-icbm

Mentre le procedure di lavoro, i sistemi informatici e il personale militare sono soggetti a controlli molto stringenti, non si può dire lo stesso per le società esterne, che necessitano, per la loro natura, di scambi informativi molto più frequenti con il mondo civile, dei fornitori e subfornitori, consulenti o con il mondo della ricerca, tutte cose che si traducono in debolezze.
Un altro aspetto importante del caso è da ricercarsi nella minaccia di pubblicare i dati sottratti, indubbiamente allo scopo di sollecitare il pagamento di un riscatto, probabilmente più alto del valore stesso dei dati sottratti, in considerazione della conseguente pardita di immagine, cosa ancor più importante per una società che lavora nel settore militare.
Non dimentichiamo inoltre che il sistema Minuteman III è un sistema di missili balistici nucleari distribuito sulla superficie terrestre e capace di trasportare diverse testate termonucleari ad una distanza di circa 10.000 km per mezzo di missili balistici capaci di raggiungere velocità prossime a MAC 23 (ovvero 28.176 km/ora).
La perdita di informazioni sul sistema Minuteman III è dunque considerabile come una grave compromissione del sistema di deterrenza nucleare americano, basato come noto, su tre pilastri: terrestre (Minuteman III), aereo: armi nucleari trasportate da bombardieri strategici, navale: missile balistico Trident lanciato dai sommergibili nucleari.
L'impiego dei sistemi digitali informatici presenta infatti sempre più spesso il conto sotto forma del cosiddetto capability-vulnerability paradox, ovvero l'aspetto negativo legato all'eccessivo sviluppo digitale che fa si che più i sistemi siano interconnessi e digitalizzati e maggiori siano i rischi cyber da affrontare. La digitalizzazione e informatizzazione da una parte porta i benefici legati alla maggiore capacità di raccolta e trattamento di dati ma allo stesso modo porta tutti i rischi legati all'impiego delle tecnologie suddette.
Sophos, in uno studio spiega in dettaglio il funzionamento del ransomware Maza, mentre in un altro studio, "The State of Ransomware 2020" indica chiaramente che una buona poitica di backup è in linea di massima la scelta migliore per poter ripristinare i dati cifrati senza pagare alcun riscatto.

Naturalmente la cosa funziona se i dati non vengono esfiltrati, caratteristica di Maze, che unisce alla cifratura il fattore reputazionale legato alla minaccia di diffusione dei dati esfiltrati.

Come al solito: fatta la legge, trovato l'inganno!

Alessandro Rugolo


Per approfondire:
- https://news.sky.com/story/hackers-steal-secrets-from-us-nuclear-missile-contractor-11999442
- https://nakedsecurity.sophos.com/2020/06/04/nuclear-missile-contractor-hacked-in-maze-ransomware-attack/
- https://news.sophos.com/en-us/2020/05/12/maze-ransomware-1-year-counting/
- https://cybersecurityreviews.net/2020/06/08/nuclear-missile-contractor-hacked-in-maze-ransomware-attack/

La sicurezza delle infrastrutture e dei servizi di accesso remoto al tempo del Covid-19

Lo scorso 29 marzo La Repubblica pubblicava un articolo il cui incipit era questo: 

“L'attuale crisi sanitaria e sociale, innescata dal COVID-19, ha portato a un aumento esponenziale del numero di persone che lavorano da casa, che adottano lo smart-working per salvaguardare la salute pubblica. Allo stesso tempo, si sta registrando un aumento dei rischi di sicurezza informatica.

Questo principalmente per due fattori. Da un lato, la ridistribuzione delle postazioni di lavoro al di fuori dagli uffici e l'aumento dell'utilizzo di piattaforme di collaborazione virtuale ampliano notevolmente la base dei potenziali attacchi. Questo potrebbe minacciare l'infrastruttura digitale su cui, oggi più che mai, facciamo affidamento per la continuità del business. Se non affrontato in modo proattivo, potrebbe persino minacciare le infrastrutture critiche e la fornitura di servizi critici. Dall’altro, la crisi di COVID-19 offre ai criminali informatici nuove opportunità per attacchi mirati, che si tratti di e-mail di phishing o di altre truffe. Queste tattiche mirano a trarre vantaggio dalla situazione di maggiore vulnerabilità in cui le persone si trovano, in quanto ovviamente preoccupate per la propria salute e sicurezza.”

Personalmente sono d’accordo a metà con quanto riportato dal noto giornale in quanto gli attacchi a cui stiamo assistendo colpiscono, per la stragrande maggioranza, le infrastrutture private che, ahimè, soffrono delle debolezze di cui hanno sempre sofferto e che, in un periodo come questo, in cui vengono sottoposte a stress continuo, mostrano tutta la loro debolezza.

A questo riguardo, infatti, vorrei parlarvi della messa in sicurezza delle piattaforme di virtualizzazione del desktop che è una di quelle più utilizzate e che, se non opportunamente configurate, rappresentano un rischio enorme per tutti coloro che non amano o non vogliono utilizzare quelle cloud con buona pace del portafoglio di investimenti in Hardware e Software, gettati, letteralmente, alle ortiche.

Guida alla sicurezza per l’adozione del Remote Desktop

L’aumento rapido dello smart working avvenuto negli ultimi due o tre mesi ha portato molte aziende ad affrettarsi per capire in che modo le infrastrutture e le tecnologie sarebbero state in grado di gestire l'aumento delle connessioni remote. Molte aziende sono state costrette a migliorare le proprie capacità per consentire l'accesso da remoto ai sistemi e alle applicazioni aziendali, molto spesso, facendo affidamento sull'accesso remoto attraverso l’utilizzo del protocollo di desktop remoto, che consente ai dipendenti di accedere direttamente alle workstation e ai sistemi.

Recentemente, John Matherly, fondatore di Shodan, il primo motore di ricerca al mondo per dispositivi connessi a Internet, ha condotto alcune analisi sulle porte accessibili via Internet da cui sono emerse alcune importanti novità. In particolare, c'è stato un aumento del numero di sistemi accessibili tramite la porta tradizionale relativa all’uso del protocollo Remote Desktop Protocol (RDP) e tramite una porta "alternativa" ben nota utilizzata per RDP. Potremmo dire che la ricerca di John ha avuto l’effetto di mettere in evidenza un uso massiccio del protocollo RDP e della sua esposizione a Internet.

Sebbene i servizi di Desktop remoto possano essere un modo rapido per abilitare l'accesso ai sistemi, è necessario considerare una serie di potenziali problemi di sicurezza prima che l’utilizzo di Remote Desktop diventi la strategia definitiva di accesso remoto. Questo perché, come riportato in un mio precedente articolo (Parinacota eCyber Resilience), gli attaccanti provano a fruttare il protocollo ed il relativo servizio, per compromettere le reti aziendali, le infrastrutture, i sistemi e i dati.

Pertanto, è necessario fare alcune considerazioni sulla sicurezza per l’utilizzo del desktop remoto e porre l’attenzione su una serie di elementi che devono, necessariamente, fare parte della strategia atta a mitigare i rischi in merito all’utilizzo di RDP e che possiamo riassumere in:

• Accessibilità diretta dei sistemi su Internet pubblico.
• Vulnerabilità e gestione delle patch dei sistemi esposti.
• Movimento laterale interno dopo la compromissione iniziale.
• Autenticazione a più fattori (MFA).
• Sicurezza della sessione.
• Controllo e registrazione dell'accesso remoto.

In merito a queste considerazioni ho analizzato l’utilizzo dei Microsoft Remote Desktop Services (RDS) come gateway al fine di concedere l'accesso ai sistemi. Il gateway utilizza il protocollo SSL (Secure Sockets Layer) per crittografare le comunicazioni e impedire che il sistema che ospita i servizi di protocollo desktop remoto venga esposto direttamente su Internet.

Per identificare se un’azienda utilizza tali servizi, è necessario eseguire un controllo dei criteri presenti sul firewall ed eseguire la scansione degli indirizzi esposti su Internet e dei servizi utilizzati, per individuare eventuali sistemi esposti. Le regole del firewall possono essere etichettate come "Desktop remoto" o "Servizi terminal". La porta predefinita per i Servizi di Desktop remoto è TCP 3389, quella utilizzata dal protocollo RDP, anche se, a volte, è possibile utilizzare una porta alternativa quale TCP 3388 nel caso in cui la configurazione predefinita sia stata modificata.

Il Servizio di Desktop remoto può essere utilizzato per la virtualizzazione basata sul concetto di sessione, per l'infrastruttura VDI (Virtual Desktop Infrastructure) o per una combinazione di questi due servizi. Microsoft Remote Desktop Service (RDS) può essere utilizzato per proteggere le distribuzioni locali, le distribuzioni cloud e i servizi remoti di vari partner Microsoft quali, ad esempio, Citrix. Sfruttando RDS per connettersi ai sistemi locali migliora la sicurezza riducendo l'esposizione dei sistemi direttamente su Internet.

L’infrastruttura potrebbe essere locale, in cloud o ibrida in funzione delle esigenze, della disponibilità della banda di rete e delle prestazioni.

L’esperienza che nasce dall’utilizzo di Virtual desktop può essere migliorata sfruttando il servizio di Windows Virtual Desktop, disponibile su Microsoft Azure. La definizione di un ambiente cloud semplifica la gestione e offre la possibilità di scalare i servizi di virtualizzazione di applicazioni e desktop virtuali. L'utilizzo di Windows Virtual Desktop, al netto di eventuali problematiche legate alle prestazioni dovute alle connessioni di rete locali che dovranno essere indirizzate con l’aumento della disponibilità di banda di rete, sfrutta le funzionalità di sicurezza e conformità insite nella piattaforma Azure.

Proteggere l'accesso dell'amministratore remoto

I Servizi di Desktop remoto vengono utilizzati non solo dai dipendenti per l'accesso remoto, ma anche da molti sviluppatori di sistemi e amministratori per gestire i sistemi stessi e le applicazioni cloud e locali. Consentire l'accesso amministrativo ai sistemi server e cloud direttamente tramite RDP comporta un rischio poiché gli account utilizzati per questi scopi hanno in genere privilegi di accesso più elevati ai sistemi e alle infrastrutture fisiche e logiche, incluso l'accesso come amministratore di sistema. 

In questo senso, l’utilizzo del cloud Microsoft Azure aiuta gli amministratori di sistema ad accedere in maniera sicura utilizzando i Network Security Groups e le Azure Policies permettendo un’amministrazione remota sicura dei servizi grazie alle funzionalità di accesso JIT (Just-In-Time).

Figura 1 - Attackers target management ports such as SSH and RDP. JIT access helps reduce attack exposure by locking down inbound traffic to Microsoft Azure VMs (Source: Microsoft).

L’accesso JIT migliora la sicurezza attraverso le seguenti misure:

• Workflow approvativo.
• Rimozione automatica dell’acesso.
• Restrizione dell’indirizzo IP permesso per la connessione.

Valutazione del rischio

Le considerazioni per la selezione e l'implementazione di una soluzione di accesso remoto devono sempre tener conto del fattore sicurezza e della propensione alla gestione del rischio dell'organizzazione. L'utilizzo dei servizi di desktop remoto offre una grande flessibilità consentendo ai lavoratori remoti di avere un'esperienza simile a quella di lavoro in ufficio, offrendo una certa separazione dalle minacce sugli endpoint (ad esempio, i dispositivi utente, gestiti e non gestiti dall'organizzazione). Allo stesso tempo, tali vantaggi dovrebbero essere confrontati con le potenziali minacce per l'infrastruttura aziendale (rete, sistemi e quindi dati). Indipendentemente dall'implementazione dell'accesso remoto utilizzato dall'organizzazione, è fondamentale implementare le procedure consigliate per proteggere le identità e ridurre al minimo la superficie di attacco per garantire che non vengano introdotti nuovi rischi.

Carlo Mauceli

La cittadina di Weiz, in Austria, subisce un attacco ransomware

Il 2020 prosegue nel solco tracciato degli attacchi cyber.

Weiz, cittadina austriaca di 11.000 abitanti è stata hackerata. I servizi pubblici online hanno subito furti di dati che poi sono stati pubblicati.
L'autore del gesto ha impiegato una nuovo ransomware, NetWalker, che colpisce i sistemi operativi Windows cifrando i files e eliminando eventuali backup trovati nella rete colpita.

Il mezzo usato per diffondere il malware è quello delle email avente come oggetto "Information about the Coronavirus", un soggetto ricorrente nelle campagne di questi ultimi mesi ma che continua a fungere da buona esca.

Sembra che lo stesso gruppo autore dell'attacco sia implicato in altri attacchi simili in Illinois e in Australia.
Dal sito della città di Weiz si apprende che i dati sottratti ammontano a 27 Gigabyte, provenienti da un vecchio DB di back-up del 2018. Il comune ha dichiarato che grazie alla policy di back-up impiegata, nel giro di poche ore sono stati in grado di ripristinare i servizi e i files cifrati.

Qualche considerazione va fatta in merito al fatto che i ransomware, anche se ben conosciuti, continuano ad essere pericolosi.

Il fatto che il ransomware NetWalker ricerchi in rete e cancelli eventuali back-up trovati è indicativo della  prassi da parte degli amministratori di rete, di salvare i back-up nella stessa rete, cosa da sconsigliare anche quando si possiede una struttura di sicurezza potente.

Solo una attenta politica di back-up può aiutare contro questo tipo di attacco, che si basa sempre più spesso su impiego di tecniche di social engineering per adescare le sue vittime e della cattiva abitudine di sottovalutare l'importanza di una buona politica di back-up nelle aziende. 
Un attacco di questo genere non avrebbe quasi nessun effetto se i back-up fossero presenti e ben gestiti, come sembra essere accaduto in questo caso.

Alessandro Rugolo

Per approfondire:

- https://borncity.com/win/2020/05/22/sterreich-it-der-stadt-weiz-mit-ransomware-infiziert/
- https://www.pandasecurity.com/mediacenter/news/austria-city-ransomware-netwalker/
- https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/Ransom.PS1.NETWALKER.B?_ga=2.193533613.1079877318.1590136763-1671730187.1589220654
- https://www.weiz.at/Update_Hackerangriff_Daten_ueberprueft_Server_ausfindig_gemacht
- https://sicurezza.net/info-news/coronavirus-ransomware-netwalker-distribuito-tramite-campagna-spam

NATO Defence Planning Process: cos'è e perchè è o dovrebbe essere importante

NDPP, un acronimo più o meno sconosciuto per un processo ancora più sconosciuto.

NDPP significa NATO Defense Planning Process ed è uno dei processi più importanti tra quelli impiegati nell'Alleanza Atlantica. 

Il NDPP infatti ha come scopo di offrire un framework in cui le attività di pianificazione capacitiva militare nazionale e NATO possono essere armonizzate per far si che l'Alleanza nel suo complesso possa disporre delle forze necessarie e delle capacità richieste per affrontare le sfide future.

Si potrebbe pensare dunque, a prima vista, che il NDPP sia una cosa che riguarda la NATO, ma in effetti non è proprio così.

Il processo di allocazione delle risorse all'interno del budget della Difesa è considerato dagli studiosi di questioni strategiche "Grand Strategy".

In un interessante articolo dell'amico Jordan Becker e di Robert Bell (1), gli autori sostengono la tesi che in un periodo quale quello che viviamo in questi anni, definito come ambiguo (fog of peace), le considerazioni di carattere militare operativo, in merito alla allocazione di risorse, sono subordinate a politiche nazionali, regionali e solo alla fine a quelle dell'Alleanza.

Viene dunque da chiedersi, se è vero che il NDPP è il processo impiegato in ambito Alleanza Atlantica per pianificare le risorse e le capacità ottimali necessarie per fronteggiare le sfide emergenti ma gli Stati sono interessati in primo luogo a soddisfare i propri bisogni interni e solo in seguito a soddisfare le richieste della Alleanza, quale sia la reale efficacia del processo messo in piedi.

La domanda non è banale, non me la sono posta io, sia ben chiaro, ma è una domanda che si pongono tutti gli studiosi americani di Grand Strategy.

Ricordiamo che gli impegni in ambito Alleanza sono presi dai capi di Stato o di Governo dei paesi Alleati e non dall'ultimo venuto. 

Nel 2014, per esempio, i Paesi dell'Alleanza si sono impegnati ad incrementare le spese per la Difesa portandole almeno al 2% del PIL entro il 2024. Se è vero che un aumento della spesa nazionale nella Difesa non è detto che conduca ad una crescita capacitiva allineata a quanto deciso in ambito NDPP, è però vero che il continuo decremento del budget nazionale degli ultimi anni compromettere seriamente la possibilità di raggiungere gli obiettivi fissati.

Senza alcuna presunzione di esaustività, proviamo a capire qualcosa di più sul NDPP.

Il NDPP è un processo organizzato su cinque passi, che copre un periodo di tempo di quattro anni.

Il primo passo consiste nello stabilire la guida politica del processo (Political Guidance). Si esplicita in un documento, revisionato ogni quattro anni a cura del Defence Policy and Planning Committee Reinforced - DPPC(R) - che stabilisce scopi e obiettivi generali che devono essere raggiunti dall'Alleanza nei quattro anni successivi. E' redatto a partire da documenti di policy di livello superiore (Strategic Concept) ed ha un livello di dettaglio sufficiente affinché i pianificatori possano determinare chiaramente le capacità necessarie. Al suo interno deve essere riportato il "Level of Ambition" dell'Alleanza, le capacità richieste in termini qualitativi e una indicazione dei tempi e priorità per la realizzazione. 

Il secondo passo consiste nel determinare i requisiti capacitivi (Determine requirements) necessari per assolvere agli scopi e obiettivi indicati nella guida politica. Ad identificare la lista dei requisiti (Minimum Capability Requirements) sono i due Comandi Strategici: Allied Command Operations (ACO) e Allied Command Transformation (ACT).

 

Il terzo passo consiste nel suddividere i requisiti capacitivi individuati tra gli alleati (Apportion requirements and set targets), tramite assegnazione individuale o per gruppi di Stati. I Comandi Strategici, sotto la guida di ACT, e aiutati dal NATO International Staff preparano un pacchetto di capacità da assegnare per lo sviluppo ad ogni alleato, con associate priorità e tempi. Per fare ciò si applica il principio del "fair burden sharing" (2). Una volta che il Ministro della difesa del paese assegnatario accetta di sviluppare il pacchetto capacitivo assegnatogli in ambito Alleanza, questo viene inserito nel processo di pianificazione nazionale.

Il quarto passo consiste nel facilitare la realizzazione del piano di sviluppo capacitivo (Facilitate implementation) complessivo e delle nazioni. Questo passo è trasversale a tutti gli altri e non sequenziale come gli altri. 

Il quinto passo consiste nel revisionare il processo (Review results), a partire dall'esame del livello di raggiungimento degli obiettivi politici iniziali, del livello di ambizione della NATO e delle capacità militari allo scopo di offrire un utile feedback per il ciclo NDPP successivo. Il responsabile della revisione è il Defense Planning Capability Review a guida NATO International Staff.

E' chiaro che il NATO Defense Planning Process è complesso e richiede impegno costante da parte di tutte le nazioni alleate, la NATO infatti si basa su capacità e forze rese disponibili di volta in volta dalle nazioni alleate e non come qualcuno pensa su forze della NATO (spesso letto come USA!).

Se è vero, come discusso dall'amico Jordan Becker, che gli Stati sono più propensi a soddisfare esigenze nazionali, poi regionali e solo dopo dell'Alleanza, allora il rischio è che l'Alleanza prima o poi si trovi nell'incapacità di affrontare le sfide per le quali è stata creata ed ancora esiste.

Allora bisogna fare attenzione a ciò che si dice quando si parla.

Le osservazioni critiche del Presidente americano Trump che bacchetta gli Alleati per non aver mantenuto l'impegno del 2%, come le risposte stizzite dei partners europei verso una Alleanza incapace di adattarsi alle nuove esigenze non servono a niente, o probabilmente sono controproducenti, meglio è allora lasciar parlare la diplomazia, più usa a cercare il compromesso! 

Una Alleanza rispecchia infatti i rapporti di forza esistenti tra elementi di un dato ambiente internazionale, non è certo uno strumento magico per la risoluzione di problemi che esistono da sempre.

Alessandro Rugolo.  

Per approfondire:

1. Jordan Becker & Robert Bell (2020): Defense planning in the fog of peace: the transatlantic currency conversion conundrum, European Security, DOI: 10.1080/096628 39.2020.1716337 al link https://www.tandfonline.com/doi/full/10.1080/09662839.2020.1716337;

2. Con "burden sharing" si intende la distribuzione dei costi e dei rischi tra i membri di un gruppo nel processo di raggiungere un obiettivo. Foster & Cimbala, The US, NATO and military burden sharing, 2005. 

- https://www.nato.int/cps/en/natohq/topics_49202.htm;

- https://foreignpolicy.com/2009/04/08/what-is-grand-strategy-and-why-do-we-need-it/;

- https://www.nato.int/cps/en/natohq/events_112136.htm;

La regione "Ile de France" rilancia sulla Intelligenza Artificiale

La Francia è lanciata all'inseguimento dei big sulla strada dell'Intelligenza Artificiale. Non è una novità infatti la sua aspirazione al raggiungimento di una certa indipendenza in quelli che sono considerati settori strategici del mondo della tecnologia.

Le nuove tecnologie, e tra queste l'Intelligenza Artificiale in primis, sono infatti da sempre oggetto di interessi nazionali.

Il governo del mondo è controllato sempre più dalle nuove tecnologie.
L'Intelligenza Artificiale consente l'accelerazione nello sviluppo di molti campi della conoscenza della nostra società in quanto aiuta l'uomo nel governo di enormi masse di dati e nella ricerca di pattern dagli usi più disparati.

L'impiego di strumenti dotati di Intelligenza Artificiale è sempre più presente all'interno dei governi, delle imprese e della società in generale ed in particolare nel settore di "supporto alle decisioni".
Sempre più organizzazioni, civili e militari, fanno ricorso a strumenti di analisi predittiva basati su Intelligenza Artificiale per lo sviluppo del proprio business e gli Stati si attrezzano, forse troppo lentamente, per governare questo nuovo campo di ricerca.

Nel settembre 2017 il Primo Ministro francese, Edouard Philippe, ha assegnato ad un matematico francese di chiara fama, Cédric Villani, il compito di preparare un rapporto sulla Intelligenza Artificiale incentrato sui provvedimenti necessari affinché la Francia fosse in condizione di sfruttarne tutte le possibilità.
Villani mise in piedi un gruppo di lavoro composto da sette persone con background differente che lavorasse a tempo pieno per il raggiungimento dell'obiettivo assegnato.
Qualche mese dopo il rapporto viene presentato e pubblicato.
La prima parte dello studio, "Une politique économique articulée autour de la donnée", riconosce l'importanza dei dati nella società attuale e il sempre crescente interesse per lo sviluppo economico e sociale.

Il rapporto, che consiglio di leggere con attenzione a chi è interessato all'argomento, è ricco di spunti e seppure incentrato sulla Francia può essere una ottima guida anche per l'Italia.

La Francia ha dunque lanciato una sua strategia per l'Intelligenza Artificiale e in modo molto pragmatico la segue.
Come effetto della strategia nazionale si può considerare il "Plan IA 2021" per lo sviluppo della Intelligenza Artificiale nella regione "Ile de France".
Il piano, molto sintetico e chiaro, è basato su quattro linee di condotta a loro volta articolate in quindici punti. Vediamoli assieme.

La prima linea di indirizzo consiste nel mettere l'IA al servizio della economia della regione "Ile de France" (che comprende Parigi) e in particolare della sua industria.
Si articola in sette misure pratiche o obiettivi:
1. Facilitare l'uso della AI per le piccole e medie imprese (PME) e per le imprese di taglia intermedia (ETI).
2. Rendere leggibile l'offerta e i servizi di IA ed avvicinare l'offerta agli utilizzatori.
3. Favorire l'innovazione in IA mettendo in comune i dati industriali.
4. Dare accesso ad una potenza di calcolo e di stoccaggio dei dati competitivo e sovrano.
5. Proporre una offerta di ricerca in IA per le PME, ETI e start-up: il progetto INRIATECH, e favorire il reclutamento di dottorandi.
6. Realizzare dei percorsi formativi accessibili ai giovani e a chi cerca lavoro.
7. Creare il primo liceo IA di Francia.

La seconda linea d'indirizzo consiste nel rafforzare la leadership e l'attrattività internazionale dell'Ile de France in materia di IA. Si articola in tre obiettivi:
8. Sostegno al progetto DIGIHALL.
9. Accelerare le cooperazioni internazionali con il Québec, la Baviera e la Corea del Sud.
10. Una strategia di comunicazione internazionale relativa a "IA Paris Region", per mezzo di Paris Region Entreprise (PRE) e degli ambasciatori IA.

La terza linea d'indirizzo consiste nel togliere i freni tecnologici sulle filiere regionali prioritarie.
11. L'IA al servizio della Sanità - sfida "IA Oncologie" e dispiegamento dell'ospedale del futuro.
12. L' IA al servizio dell'industria - sfide "IA de confiance" e "transfer Learning".
13. l'IA al servizio dei cittadini - sfida "AI emploi".
14. Innov'Up: promuovere ed adattare gli aiuti regionali nel settore innovazione per favorire l'uso della IA.

Ed infine la quarta linea d'indirizzo che consiste nel pilotare e valutare tutto il processo messo in opera.
15. Mettere in opera una governance federatrice e strutturata.

Per ognuno degli obiettivi sono indicati i partners strategici e le modalità per il raggiungimento, comprensive di tempi e investimenti o progetti messi in campo. 

In alcuni casi si tratta "semplicemente" di mettere a sistema le varie iniziative sorte nel tempo per avere una chiara visione di ciò che accade, in altri casi si tratta di veri e propri investimenti.

Un esempio per tutti: il punto 7 consiste nel creare il primo liceo francese , progetto sviluppato in collaborazione con Education nationale, Thales, Microsoft, IBM, Qwant e alcune start-up, con lo scopo di formare circa 200 ragazzi all'anno. I programmi prevederanno studi sull'IA e su varie branche della matematica e statistica.
Una delle sfide per la buona riuscita di questo progetto consiste nella preparazione degli insegnanti, inizialmente le risorse umane saranno reperite all'interno delle società e delle istituzioni accademiche più avanti nel settore.

Cosa sta accadendo in contemporanea in Italia?

Per provare a dare una risposta possiamo utilizzare varie fonti, tra le quali il rapporto di Oxford Insights sulla AI per l'anno 2019 che indica la preparazione complessiva di una nazione in ambito AI. 
Mentre eravamo al corrente dell'altissimo livello raggiunto da Singapore (facilitato dalle dimensioni…), ci ha sorpreso vedere la Cina al ventesimo posto. 
Secondo il rapporto la Francia è nel gruppo di testa in Europa, assieme a Germania, Finlandia e Svezia, mentre l'Italia si colloca al quindicesimo posto a livello mondiale e ottava in Europa con un valore dell'indice sensibilmente più basso rispetto ai paesi di testa. 
Anche tenendo in considerazione eventuali distorsioni dovute all'approccio metodologico usato nella realizzazione del report (la posizione della Cina sembra essere un evidente indizio), il ritardo dell'Italia è evidente, nonostante l'ottimo livello della ricerca accademica e industriale, come testimoniato lo scorso anno durante il primo convegno nazionale del CINI sull'Intelligenza Artificiale.
Quello che è mancato finora all'Italia è la messa a sistema delle conoscenze e competenze distribuite tra Università, centri di ricerca e imprese.
Le ultime notizie dalle commissioni nominate lo scorso anno, una presso il Ministero dell'Università e Ricerca e una presso il MISE risalgono rispettivamente al mese di marzo e di agosto 2019.

Un anno è passato senza che sia stata approvata una strategia nazionale e allocati dei fondi per sostenere lo sviluppo.
Un tempo incompatibile con la velocità della trasformazione in atto.


Alessandro Rugolo e Giorgio Giacinto

Per approfondire:

- https://www.iledefrance.fr/la-region-ile-de-france-presente-son-plan-regional-sur-lintelligence-artificielle-ia-2021-et-les

- https://www.enseignementsup-recherche.gouv.fr/cid128577/www.enseignementsup-recherche.gouv.fr/cid128577/www.enseignementsup-recherche.gouv.fr/cid128577/rapport-de-cedric-villani-donner-un-sens-a-l-intelligence-artificielle-ia.html

- https://www.enseignementsup-recherche.gouv.fr/cid114739/rapport-strategie-france-i.a.-pour-le-developpement-des-technologies-d-intelligence-artificielle.html

- https://uk.ambafrance.org/Strategie-de-la-France-en-intelligence-artificielle

- https://www.sciencesetavenir.fr/high-tech/intelligence-artificielle/rapport-villani-la-plan-de-la-france-pour-devenir-leader-sur-l-intelligence-artificielle_122549

- https://www.insee.fr/fr/metadonnees/definition/c2034

1,5 miliardi di dollari in Italia: mega investimento Microsoft

Qualche giorno fa Microsoft ha annunciato il più grande investimento della sua storia in Italia, ossia la realizzazione della Datacenter Region. Si tratta di un investimento di 1,5 miliardi di dollari con un piano di attività di supporto per accompagnare i nuovi servizi cloud con risorse per competenze, tecnologie avanzate e sostenibilità.

La cosa non è passata inosservata e così abbiamo chiesto a Carlo Mauceli, Chief Technology Officer per Microsoft Italia, di raccontarci in cosa consiste il progetto.

CM: L’annuncio che Microsoft abbia deciso di aprire un nuovo Data Center Region ci ha colti quasi di sorpresa, anche se il lavoro preparatorio fatto ci dava delle ottime chances. La notizia e l’eco che ha avuto ci ha un pò stupiti piacevolmente e ora sappiamo per certo che anche le aspettative, sia in azienda che in tutta Italia, sono alte. L’investimento di 1,5 miliardi di dollari è per la creazione di una “Data Center Region” e per gestire tutto ciò che serve per aiutare il paese nella crescita digitale. Abbiamo la convinzione che l’apertura del Data Center porterà tanto in Italia, sia in termini di investimenti diretti ma soprattutto di indotto e di sviluppo della conoscenza. Dobbiamo dare qualche dettaglio tecnologico per spiegare di cosa stiamo parlando perché l’architettura su cui si basano i Datacenter di Microsoft non ha uguali in nessun’altra realtà, sia essa privata oppure pubblica. Tutte le informazioni, in ogni caso le potete trovare qui.

I tre concetti di base sono i seguenti:

Aree o Region

Un'area è un set di data center distribuiti entro un perimetro definito dalla latenza e connessi tramite una rete regionale dedicata a bassa latenza.
Con un numero di aree globali superiore rispetto a qualsiasi altro provider di servizi cloud, Azure offre ai clienti la flessibilità necessaria per distribuire le applicazioni dove necessario. Azure è disponibile a livello generale in 58 aree nel mondo, a cui si devono aggiungere Polonia, Nuova Zelanda e Italia.

Aree geografiche

Un'area geografica è, in genere, rappresentato da un territorio specifico, che include in genere due o più aree e che soddisfa i requisiti relativi a residenza dei dati e conformità.
Le aree geografiche consentono ai clienti con esigenze specifiche, che possono essere normative oppure tecnologiche, di mantenere la cosiddetta Data Residency e utilizzo delle applicazioni con latenza molto bassa. Le aree geografiche garantiscono alta affidabilità, Disaster Recovery, Business Continuity e Geo Replication.

Zone di disponibilità

Le zone di disponibilità sono località separate fisicamente entro un'area o Region di Azure. Ogni zona di disponibilità è costituita da uno o più data center dotati di impianti indipendenti per l'energia, il raffreddamento e la rete.
Le zone di disponibilità consentono ai clienti di eseguire applicazioni cruciali con disponibilità elevata e replica a bassa latenza.

Ingegnere, in poche parole, cos’è un Data Center Region? 

E come potrebbe aiutare la crescita della digitalizzazione?

CM: Un Data Center Region è un insieme di data center per la erogazione dei servizi, installato in una determinata area geografica, nel nostro caso in Italia. 

Si tratta dunque di un certo numero di data center distribuiti sul territorio, progettati e realizzati per garantire uno SLA (livello di servizio) del 99,99999 %, ovvero con valori di resilienza elevatissimi. Diciamo che se nella classificazione standard dei data center il livello massimo è quattro, un Data Center Region è progettato per raggiungere un livello 5 !

Ogni singolo data center è totalmente indipendente dagli altri in merito alle strutture di protezione ed alimentazione ed è pronto a sopperire alle eventuali mancanze di uno dei data center dell'area (vedi figura precedente).

Inoltre, cosa da non sottovalutare, la strategia Microsoft è quella di avere un basso impatto ambientale, cercando di sfruttare le opportunità del territorio sia per alimentare che per raffreddare i

data centers come parte del piano che abbiamo lanciato per diventare carbon negative entro il 2050.

Sicuramente una iniziativa complessa. 

Ingegner Mauceli, quali sono i motivi che hanno spinto Microsoft a questo investimento? Perché l’Italia è stata scelta per l’installazione di un Data Center Region?

CM: Le motivazioni alla base di una scelta simile sono tante, sicuramente c’è la volontà di migliorare I servizi resi alle società italiane, poi la presenza di un Data Center Region è un facilitatore dell’innovazione dei processi di digitalizzazione. 

Non bisogna poi dimenticare che l’Italia è un paese complesso in cui la normativa per la sicurezza e per la privacy sono declinate, interpretate e poste in essere in modo tale da soddisfare le proprie esigenze principalmente nazionali, oltre che internazionali, il Data Center Region, sul territorio nazionale, consentirà di aderire ancora meglio alle policy nazionali per esempio in materia di custodia dei dati sensibili sul territorio. 

Questo significa che il data center in Italia ha anche una valenza nazionale e che Microsoft crede nel potenziale digitale dell’Italia, probabilmente fino a questo momento, inespresso.

E riguardo la complessità? 

Avete intenzione di fare tutto da soli o vi farete aiutare?

CM: Il progetto è ambizioso e complesso sotto tanti punti di vista ma in Europa vi sono altri Data Center Region per cui non partiamo da zero. 

Il nostro amministratore delegato Satya Nadella, da quando guida la società, ha inaugurato un nuovo corso. La società è ora sempre più vicina al mondo esterno, cerca partnership con coloro che possono apportare conoscenze particolari in un campo limitrofo. 

Questo progetto ha anche la pretesa di coinvolgere nel processo di sviluppo digitale le Università e le imprese che avranno qualcosa di costruttivo da apportare al progetto. 

Noi siamo italiani e per definizione geniali in tantissimi campi, ma spesso ci perdiamo in diatribe e non guardiamo un progetto nel suo insieme. Per raggiungere un obiettivo ambizioso occorre essere geniali ma anche superare le rivalità interne e riuscire a fare sistema. Il Data Center Region vuol essere un’occasione per l’Italia per superare queste difficoltà e fare crescere il Paese dal punto di vista della digitalizzazione. È inaccettabile che l’Italia sia al quart’ultimo posto per competenze digitali, come espresso dall’indice DESIⁱ. Un paese come il nostro merita ben altro e, siccome in un mondo globalizzato, è difficilissimo riuscire a emergere da soli, l’idea è proprio quella di sfruttare questa occasione per stringere alleanze e rapporti tra pubblico e privato. 

Siamo sicuri di potercela fare e la recente crisi pandemica ha funzionato da stimolo per far crescere l’Italia esattamente in questo senso. In pochi mesi sono state fatte delle scelte che in dieci anni hanno sempre trovato ostacoli enormi, basta guardare cosa è successo nel campo del telelavoro o della didattica a distanza.

Ingegnere, cosa ci dice dei tempi? 

Su quanti anni si sviluppa il progetto?

CM: Ancora non ho dati esatti, sicuramente è un progetto pluriennale, che dovrà coinvolgere tanti partners, istituzionali e privati, penso sicuramente alle università che dovranno in qualche modo aiutarci nella preparazione dei ragazzi che verranno a lavorare da noi o che vorranno sviluppare esperienze basate sulle tecnologie messe a disposizione. Sicuramente avremo bisogno di ingegneri e tecnici hardware e software ma non solo. Occorreranno anche manager capaci nel settore della gestione del rischio, nella sicurezza informatica ed esperti della normativa italiana. Quindi le Università saranno uno dei nostri partners privilegiati. Comunque, come ho già detto, noi siamo aperti a tutti coloro che hanno un obiettivo chiaro.

Non bisogna dimenticare che la nostra tecnologia è un mezzo per far raggiungere ad imprese e persone i loro obiettivi e siamo tutti convinti che la multidisciplinarietà sia un valore aggiunto, questo per dire che il Data Center Region, ancora una volta, fungerà da acceleratore in tutti

i campi in cui si potrà sfruttare la creatività e il genio tutto italiano

Posso aggiungere che se usiamo delle stime realizzate dal Politenico di Milano School of Management, anche dalle esperienze della creazione degli altri distretti, per i prossimi cinque anni vi sarà un indotto di circa 10.000 posti di lavoro dall’indotto, dalle assunzioni dirette ai partners a tutti i livelli, fino alle imprese che potranno realizzare nuovi progetti sulla nostra piattaforma.

E nel campo della ricerca e dello sviluppo software?

CM: Come ho accennato prima il Data Center Region è una piattaforma abilitante, per cui il limite è la fantasia degli italiani e la propensione alla trasformazione digitale delle società. Se vi saranno start-up o imprese che vogliono sviluppare software o specifiche soluzioni tecnologiche in qualsiasi campo, noi li aiuteremo mettendo a disposizione quelle che sono le potenzialità della piattaforma. Stessa cosa vale per l’Intelligenza Artificiale o altri settori tecnologici relativamente nuovi. Ancora una volta, il limite non sarà Microsoft ma, eventualmente, la mancanza di immaginazione, ma non credo sia il caso degli italiani.

Mi piace dire che Microsoft è un abilitatore, il cloud è una piattaforma disponibile per essere sviluppata e per far sorgere progetti e soluzioni.

Ingegner Mauceli, una domanda un pò scomoda. 

Pensa realmente che la classe dirigente italiana sia pronta a questo salto? Noi abbiamo tante volte accennato alla mancanza di consapevolezza nel settore digitale e in particolare nel settore della cybersecurity a causa della impreparazione della classe dirigente e della bassa propensione al rischio…

CM: Io sono fiducioso. 

Negli ultimi anni abbiamo visto tante aziende che sono state capaci di cambiare, con alcune abbiamo stretto delle partnership mentre con altre, stiamo lavorando assieme per farlo, con altre ancora, magari, ci sarà la possibilità di farlo in un prossimo futuro. 

Il mondo sta cambiando, l’Italia si sta muovendo verso il futuro. Anche altre grosse industrie, nostre dirette concorrenti in alcuni casi, se ne sono accorte e hanno fatto la nostra stessa scelta, investire nel Bel Paese, per aiutarlo a crescere e crescere insieme.

Alessandro Rugolo, Giorgio Giacinto, Danilo Mancinone

Per approfondire:

- https://news.microsoft.com/europe/2020/05/08/microsoft-announces-1-5-billion-investment-plan-to-accelerate-digital-transformation-in-italy-including-its-first-cloud-datacenter-region/;

i Il DESI (Indice di digitalizzazione dell'economia e della società) è lo strumento mediante cui la Commissione europea monitora la competitività digitale degli Stati membri dal 2015. https://ec.europa.eu/digital-single-market/en/desi