F-Secure avverte sulla dipendenza digitale dagli USA

Immaginate un'impiegata di un ospedale che arriva al lavoro il lunedì mattina. L'edificio è intatto, i cavi di rete sono al loro posto, i server nel seminterrato continuano a funzionare. Ma la schermata di accesso respinge la password. Non per un attacco informatico o per un'interruzione di corrente, bensì perché la società americana che gestisce il sistema di autenticazione dell'ospedale ha modificato le condizioni di accesso. Le cartelle cliniche dei pazienti sono a pochi metri da lei. Eppure non può raggiungerle.

La dipendenza digitale, nella pratica, somiglia a questo. Non cavi tranciati, non data center in fiamme, ma un proprietario di casa che cambia il codice del portone mentre dormite. Quando questo mese Timo Laaksonen, amministratore delegato della finlandese F-Secure, ha avvertito che l'Europa dipende in profondità da servizi critici controllati dagli Stati Uniti, descriveva esattamente questa esposizione strutturale, silenziosa e per questo più difficile da vedere (Yle).

Il codice della porta non è in Europa

Per capire dove si annidi la vulnerabilità, bisogna seguire ciò che accade prima ancora che quell'impiegata veda la casella di posta.

Inserisce le credenziali in un sistema di login. Molte organizzazioni europee si affidano a servizi di identità gestiti da operatori statunitensi, fra cui Entra ID di Microsoft è il più diffuso, per verificare chi siano i dipendenti. Se quel fornitore si blocca o revoca l'accesso, tutte le applicazioni che dipendono da quel passaggio diventano irraggiungibili nello stesso momento (Hypergate). Una sola porta chiusa, con decine di stanze dietro.

Poi c'è quello che si potrebbe chiamare il telecomando dell'infrastruttura cloud: la dashboard da cui i team informatici creano server, amministrano database e gestiscono le serrature digitali che proteggono i dati sensibili. Le cartelle cliniche di un ospedale possono trovarsi fisicamente su un server a Francoforte. Ma se la dashboard, l'account di fatturazione e quelle serrature digitali dipendono tutti da una società madre americana, «ospitato in Europa» non significa «controllato dall'Europa» (JRC).

Lo stesso schema si ripete nella posta elettronica, nell'archiviazione dei documenti, negli aggiornamenti software e persino nella rubrica di internet, il DNS, che dice ai browser dove trovare i siti. Una ricerca tedesca ha rilevato che circa il 96% delle aziende tedesche dipende da tecnologie digitali importate, mentre i fornitori cloud statunitensi controllano oltre il 70% del mercato europeo (egovernment.de).

Quando la serratura ha davvero girato

Tre casi recenti mostrano che non si tratta di teoria.

Anthropic, la società di intelligenza artificiale, ha sospeso ad alcuni utenti l'accesso ai modelli più recenti per rispettare i controlli americani sulle esportazioni. Nessun server è stato staccato dalla corrente: è bastato un ordine giuridico perché una capacità digitale sparisse da certi schermi (AP, Reuters).

Nei Paesi Bassi, un tribunale ha bloccato l'acquisizione di Solvinity, la società che ospita DigiD, il sistema di identità digitale usato dai cittadini olandesi per tasse e sanità, da parte dell'americana Kyndryl. Il motivo è che, in base al diritto statunitense, dal CLOUD Act al FISA, le società di proprietà americana possono essere obbligate a consegnare dati indipendentemente dal luogo in cui si trovino. Un sistema nazionale di identità non può vivere sotto quell'ombrello giuridico (Ius Mentis).

In Francia, un'inchiesta dell'Assemblea nazionale ha accertato che circa l'80% degli acquisti pubblici di software passa attraverso operatori statunitensi, per un valore di circa 1,5 miliardi di euro l'anno. Ministeri, gestori dell'energia e reti di trasporto dipendono tutti da fornitori che, almeno in teoria, potrebbero limitare l'accesso sotto pressione politica o legale (Banque des Territoires, Clubic).

Piani di riserva, non fantasie

L'Europa non può ricostruire da zero l'intera pila tecnologica americana. Le economie di scala rendono questo obiettivo poco realistico nel breve periodo. Può però ridurre il numero di cose che si rompono quando scompare un singolo livello di accesso.

La Francia ora richiede che i servizi cloud certificati per gli usi sensibili dello Stato non possano subire, per effetto di leggi straniere, obblighi tali da far perdere il controllo dei dati o dell'infrastruttura (CER). La Germania sta sviluppando openDesk, una suite da ufficio open source. Il Tech Sovereignty Package della Commissione europea inquadra il problema tenendo insieme chip, intelligenza artificiale, cloud e software aperto (European Commission).

Il ricercatore finlandese di cybersicurezza Mikko Hyppönen aggiunge un punto che spesso sfugge: anche gli strumenti difensivi diventano dipendenze. Un firewall installato a Helsinki, ma alimentato dall'estero con intelligence sulle minacce, firme antivirus e aggiornamenti software, continua a dipendere dall'accesso ininterrotto a un servizio straniero. Se quel flusso si interrompe, il muro resta in piedi ma diventa cieco (YouTube / Hyppönen).

Il test pratico, per qualunque ospedale, comune o ministero europeo, è semplice: se domani mattina sparissero un account di fornitore, un provider di identità o un flusso di aggiornamenti, il personale riuscirebbe ancora ad accedere, recuperare documenti e comunicare? Le istituzioni che possono rispondere sì hanno sovranità. Le altre sono in affitto, e non hanno ancora controllato chi tenga davvero le chiavi.