Intervista alla dott.ssa Federica Maria Rita Livelli

Consulente in Risk Management & Business Continuity, svolge un’attività di diffusione e sviluppo della cultura della resilienza presso varie istituzioni e università italiane e straniere. Ricopre anche il ruolo di Training Director presso BeDisruptive Academy.

Membro de: BCI Cyber Resilience Committee, ANRA – Direttivo & Comitato Scientifico, CLUSIT -Comitato Scientifico & Comitato Artificial Intelligence/AIXA, ENIA – Comitato Scientifico, FERMA – Digital Committe, UNI – Comitato Tecnico UNI/CT 016/GL 89 “Gestione dell’innovazione” (ISO/TC 279).

Relatrice e moderatrice in diversi seminari, conferenze nazionali ed internazionali, è anche autrice di numerosi articoli su diverse riviste online italiane e straniere.

Gentilissima Dottoressa Livelli, esperta di Cybersecurity ed Intelligenza artificiale. Partiamo dalle basi per i non addetti ai lavori. Cosa è questa intelligenza artificiale, di cui molti parlano ma di cui pochi sanno cosa è?

L’intelligenza artificiale, o AI, consiste nella simulazione dei processi mentali umani attraverso la creazione e l’implementazione di algoritmi all’interno di ambienti di calcolo dinamici. In pratica, l’obiettivo dell’AI è rendere i computer capaci di pensare e agire come esseri umani. Per raggiungere questo, sono fondamentali quattro elementi: potenti sistemi di calcolo, una grande quantità di dati, strumenti avanzati per gestirli e algoritmi AI sofisticati.

Il desiderio di creare macchine in grado di replicare la mente umana risale almeno al primo secolo a.C., ma il termine “intelligenza artificiale” fu coniato da John McCarthy nel 1955. Nel 1956, durante la conferenza del Dartmouth Summer Research Project, nacquero concetti oggi centrali come il machine learning, il deep learning e l’analisi predittiva, aprendo la strada alla scienza dei dati.

Oggi, la crescente quantità di dati generata da persone e macchine supera la nostra capacità di gestirla e prendere decisioni complesse. Qui entra in gioco l’AI, che rappresenta la base delle tecnologie di apprendimento automatico e dei futuri processi decisionali. L’AI è diventata così integrata nella nostra vita quotidiana che spesso non ce ne accorgiamo. Nei nostri smartphone, l’AI alimenta il riconoscimento facciale, la correzione automatica della scrittura, l’elaborazione delle foto e l’analisi del testo nelle immagini. Assistenti virtuali e applicazioni come Google Lens utilizzano l’AI per offrire funzionalità avanzate come traduzioni e identificazioni di oggetti.

Nel servizio clienti, i bot gestiscono le richieste semplici, mentre i chatbot permettono conversazioni simulate. Anche la ricerca vocale sta diventando sempre più diffusa. Nel settore industriale, AI e Edge Computing migliorano l’autonomia decisionale e la manutenzione predittiva, ottimizzando la produzione. Nei data center, l’AI aiuta a prevenire problemi di sicurezza, ridurre i blackout e migliorare l’efficienza energetica. Oggigiorno ed in futuro, molte aziende adotteranno l’AI per migliorare i controlli e l’efficienza delle infrastrutture IT e OT.

È doveroso evidenziare che l’AI comporta, altresì, sfide e rischi che devono essere gestiti, oltre a suscitare opinioni contrastanti, tra chi teme un futuro distopico e chi vede prospettive migliori. La sfida è attuare una trasformazione digitale che bilanci tecnologia e umanità, utilizzando l’AI per ridurre il carico cognitivo grazie a dati di qualità. Tuttavia, è essenziale evitare dati errati, che possono distorcere i risultati. Inoltre, l’etica dell’AI è cruciale, coinvolgendo sia chi sviluppa la tecnologia sia le macchine stesse. In quest’ottica l’Unione Europea sta assumendo un ruolo guida globale nella regolamentazione dell’AI, promuovendo sicurezza e innovazione. Inoltre, un Comitato europeo per l’AI coordinerà l’attuazione delle normative e garantirà imparzialità.

Secondo Luciano Floridi – direttore del Digital Ethics Center presso la Yale University oltre che docente di Filosofia ed Etica dell’Informazione nell’università di Bologna – l’AI dovrebbe risolvere problemi concreti piuttosto che imitare l’intelligenza umana. Pur eccellendo nella gestione della complessità, l’AI non può replicare la flessibilità e l’intuizione umana. Inoltre, Paolo Benanti – presbitero e teologo italiano del Terzo ordine regolare di San Francesco che insegna alla Pontificia Università Gregoriana e presso l’Università di Seattle, oltre ad essere consigliere di Papa Francesco sui temi dell’intelligenza artificiale e dell’etica della tecnologia e membro del New Artificial Intelligence Advisory Board delle Nazioni Unite- ricorda che l’innovazione tecnologica ha valore solo se orientata verso il bene comune, mantenendo sempre l’uomo al centro che, grazie alla propria ragion critica, dovrà essere in grado di-trasformare le difficoltà in complessità gestibili con l’aiuto delle macchine, senza esserne dominati.

Vorrei concludere questo breve excursus sull’AI con una frase a me cara dello scienziato Stephen Hawking: “Il successo nella creazione di Intelligenze Artificiali efficaci, potrebbe essere il più grande evento nella storia della nostra civiltà, o il peggiore. Non lo sappiamo quindi non possiamo sapere se saremo infinitamente aiutati dall’Intelligenza Artificiale, o ignorati da essa e fiancheggiati, o presumibilmente distrutti, a meno che non impariamo a prepararci ed evitare i potenziali rischi”.

La cybersecurity è andata a sostituire in questi ultimi anni sempre la sicurezza fisica soprattutto per quel che concerne le infrastrutture critiche e la sicurezza paese. Ci vuole fare un breve excursus della cybersecurity in Italia?

Puntualizziamo che oggigiorno la sicurezza per quanto riguarda le infrastrutture critiche e la sicurezza a livello Paese implica sia la cybersecurity sia la sicurezza fisica che insieme, in modo concertato, garantiscono la resilienza dei vari ecosistemi.

Indubbiamente, in un contesto sempre più digitalizzato e che fa sempre più utilizzo di soluzioni IoT (Internet of things) ed IIOT (Industrial Internet of Things) è quantomai necessario garantire la cyber resilienza dei vari ecosistemi, considerando che la cybersecurity è diventata una priorità globale a causa delle sempre più crescenti minacce informatiche. In Europa, l’Unione Europea ha intensificato gli sforzi per rafforzare la resilienza cibernetica, mentre in Italia l’Agenzia per la Cybersicurezza Nazionale (ACN) coordina le iniziative nazionali. Tra le misure principali vi sono il Perimetro di Sicurezza Nazionale Cibernetica (PSNC) e la Strategia Nazionale di Cybersicurezza 2022-2026, che puntano a proteggere gli asset strategici, rendere la transizione digitale sicura e anticipare le minacce.

L’Italia mira ad implementare 82 misure entro il 2026, promuovendo la collaborazione pubblico-privata, la ricerca e la cooperazione internazionale. L’istituzione dell’ISAC (Information Sharing and Analysis Center) integra gli sforzi europei attraverso la condivisione di informazioni tra settori critici.

Inoltre, lo scorso 17 luglio 2024 è entrata in vigore la Legge 90/2024 “Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici” per potenziare la cybersicurezza in Italia, preparando altresì il terreno per l’adeguamento alla normativa europea NIS2 entro il 18 ottobre 2024. Si tratta – attraverso l’adozione di rigorose misure di sicurezza, una costante valutazione del rischio, un monitoraggio proattivo e una gestione efficiente degli incidenti – di proteggere gli ecosistemi su cui si fonda il Paese e salvaguardare la sicurezza nazionale.

Il messaggio è inequivocabile: una minaccia alla sicurezza di una singola organizzazione può avere ripercussioni sull’intero Stato. È quindi essenziale modernizzare e potenziare l’infrastruttura informatica per il bene collettivo.

Il mio auspicio per il futuro è che i principi di gestione del rischio, continuità operativa e cybersecurity si diffondano ampiamente, contribuendo al raggiungimento degli obiettivi di resilienza cibernetica stabiliti dalle normative europee e nazionali. Non va inoltre trascurata l’importanza della formazione e delle esercitazioni, fondamentali per rafforzare la capacità di reazione e adattamento di fronte alle minacce cyber sempre più crescenti e sofisticate.

Nella sua lunga decennale esperienza, quali sono i tipi di attacchi cyber più diffusi e quali sono quelli di ultima generazione da cui il sistema paese deve guardarsi?

Stiamo sempre più vivendo nel cosiddetto digital wild west – come definito da Clusit, i.e. Associazione Italiana per la Sicurezza Informatica – caratterizzato da attacchi cyber in continuo aumento. Purtroppo, secondo quanto si evince dall’ultimo report della società di cybersicurezza Check Point, si è registrato un aumento del 30% degli attacchi settimanali alle reti aziendali nel secondo trimestre del 2024 rispetto al secondo trimestre del 2023 e un aumento del 25% rispetto al primo trimestre del 2024.

Attacchi determinati da una serie di ragioni, che vanno dal continuo aumento della trasformazione digitale e dalla crescente sofisticazione dei criminali informatici che utilizzano tecniche avanzate come l’intelligenza artificiale e l’apprendimento automatico. Inoltre, l’incremento degli attacchi, come ransomware e phishing, è fortemente spinto da motivazioni economiche, oltre che da tensioni geopolitiche e dalle vulnerabilità nelle catene di approvvigionamento, che continuano ad alimentare significativamente questo fenomeno.

Esistono molti tipi di attacchi informatici, tra cui malware, phishing, attacchi alle password, man-in-the-middle (MITM) e iniezioni SQL (Structured Query Language), che minacciano la sicurezza delle reti e dei sistemi, i.e. l’attacco viene eseguito iniettando un codice dannoso in una casella di ricerca di un sito Web vulnerabile, facendo in modo che il server riveli informazioni cruciali, consentendo all’attaccante di visualizzare, modificare ed eliminare le tabelle nei database. Gli aggressori possono anche ottenere diritti amministrativi tramite questo attacco.

l malware includono virus, spyware, ransomware e trojan. Senza dimenticare gli attacchi Denial-of-Service (DoS) e Distributed Denial-of-Service (DDoS) che inondano sistemi, server o reti di traffico per esaurire le loro risorse, rallentandoli o bloccandoli, impedendo così il servizio legittimo.

Dobbiamo altresì ricordare anche le cosiddette minacce interne che provengono da individui all’interno di un’organizzazione che, per negligenza o malizia, possono causare danni significativi.

Mentre il Cryptojacking utilizza il computer di una vittima per estrarre criptovalute senza che questa se ne accorga, invece gli attacchi exploit zero-day sfruttano vulnerabilità non ancora risolte.

Ancora, lo spoofing DNS manipola i record DNS di un sito per controllarne il traffico.

Altri attacchi includono ransomware, che crittografa i dati e richiede un riscatto, e spam, usato per diffondere phishing. Mentre whale-phishing e spear-phishing prendono di mira personaggi di alto profilo o gruppi specifici per rubare informazioni sensibili, mentre attacchi brute force cercano di violare le password. Gli attacchi Cross-Site Scripting (XSS) iniettano codice dannoso in applicazioni web, e il software spia raccoglie dati sensibili come password e numeri di carte di credito. L’ingegneria sociale, invece, manipola gli utenti per ottenere informazioni o azioni non autorizzate.

Con l’evoluzione dell’AI, i cybercriminali stanno adottando nuove tecniche avanzate di attacco. Gli attacchi basati sull’AI si concentrano su vari fronti, quali: phishing, compresi vishing (phishing vocale) e deepfake phishing, alimentati da schemi generativi AI; deepfake sempre più sofisticati creati con l’AI generativa; documenti falsi creati con l’AI, i.e. piattaforme come OnlyFake sfruttano l’AI per creare identità false, utilizzate per bypassare i controlli KYC negli scambi di criptovalute; jailbreak di modelli AI, i.e. attacchi che spingono i modelli di linguaggio AI a violare le proprie policy di sicurezza e produrre output non autorizzati o censurati.

Pertanto, a fronte di quanto sopra, risulta quanto mai strategico e fondamentale diffondere sempre più una cultura della cybersecurity nelle organizzazioni e che tutti gli stakeholder siano coinvolti prevedendo la progettazione di corsi di formazione ed esercitazioni ad hoc per sviluppare sempre più il muscolo della cyber resilienza.

L’uso di sistemi predittivi tramite algoritmi sofisticati è così precisa? non teme che l’estrema utilizzazione di tali meccanismi possa indurre l’attore a dimenticarsi di variabili non prevedibili legate all’elemento umano?

I sistemi predittivi rappresentano una svolta fondamentale nella cybersecurity, offrendo un livello di protezione proattiva mai visto prima. Tuttavia, è importante sottolineare che non sono una panacea. Per massimizzare i benefici e mitigare i rischi, è necessario un approccio integrato che combini l’intelligenza artificiale con le competenze umane, le migliori pratiche di sicurezza e una continua valutazione del rischio.

Inoltre, la qualità dei dati, la capacità di prevedere eventi imprevisti e la presenza di bias negli algoritmi sono fattori che possono influenzare l’accuratezza delle previsioni. Pertanto, è necessario un approccio equilibrato che valorizzi sia le potenzialità dei sistemi predittivi sia il ruolo insostituibile del giudizio umano. Di fatto, l’uomo, con la sua capacità di comprendere il contesto, di essere creativo e di gestire l’incertezza, può integrare le informazioni fornite dagli algoritmi, superando i limiti di questi ultimi e garantendo decisioni più informate e flessibili.

È doveroso ricordare che, se l’integrazione dell’intelligenza artificiale, in particolare dell’IA generativa, nella cybersecurity rappresenta una svolta epocale – offrendo nuove e potenti armi per fronteggiare le minacce informatiche sempre più sofisticate – dall’altro lato, questa evoluzione richiede una profonda riflessione sulle implicazioni etiche e legali, nonché sull’importanza di un approccio olistico alla sicurezza. Le organizzazioni devono adottare, quindi, una strategia che coniughi l’efficacia dell’IA con la competenza umana, la formazione continua e meccanismi di difesa adattabili, il tutto in un quadro normativo sempre più stringente. Inoltre, è fondamentale che lo sviluppo e l’implementazione di algoritmi di IA siano guidati da principi di trasparenza, equità e responsabilità. Solo in questo modo potremo sfruttare appieno il potenziale dell’IA, mitigandone i rischi e costruendo un futuro digitale sicuro e affidabile.

Concludendo, adelante con juicio.